Ontdekt u onverwacht toegang tot gegevens? Stop zodra u de afwijking kunt beschrijven. Zoek het CVD-beleid van de systeemhouder en gebruik diens meldkanaal. CVD betekent gecoördineerd melden: u geeft de beheerder ruimte om het lek te beoordelen en te verhelpen voordat details breder worden gedeeld.
Maak uw bevinding controleerbaar met zo weinig mogelijk onderzoek en gevoelige gegevens.
Beschrijf waarneming en mogelijke impact apart
Vermeld het systeemadres, tijdstip, uw eigen gebruikersrol en de handelingen die u al uitvoerde. Schrijf wat u zag en wat u nog niet weet. "Ik zag één vreemde naam" is preciezer dan "alle klantgegevens liggen op straat". Verwijder persoonsgegevens uit het bewijs dat u meestuurt.
Het NCSC adviseert niet meer onderzoek te doen dan nodig is om het probleem aan te tonen en geen gegevens te kopiëren, wijzigen of verwijderen. Bij een systeem buiten de Rijksoverheid meldt u eerst bij de eigenaar. Zonder adequate reactie kan het NCSC als intermediair helpen.
Voorbeeld: een naam in uw eigen account
Fictief: na het openen van haar eigen factuur ziet Noor de naam van een andere klant. Zij noteert de gevolgde menustappen en stopt. Zij probeert geen andere factuurnummers en downloadt geen reeks bestanden. In haar melding noemt zij het tijdstip en vraagt zij een beveiligde route voor eventuele technische details.
Vraag om ontvangstbevestiging en een technisch contactpersoon. Bewaar uw minimale melding en de reactie. Een melding is geen afspraak om verder te testen of te publiceren: stem eventuele vervolghandelingen apart af. Het gratis meldkanaal van de eigenaar is doorgaans voldoende; daarvoor hoeft u geen briefproduct te kopen.