Omschrijving # Prijs Totaal Setup objecten en URL s Setup Probe / vprobe Setup Canary / vcanary

Transcriptie

1 OPDRACHTBEVESTIGING Bij dezen bevestigt de besloten vennootschap met beperkte aansprakelijkheid [invullen], gevestigd te [invullen] aan de [invullen] (hierna te noemen Klant ), jegens de besloten vennootschap met beperkte aansprakelijkheid Guardian360 B.V., gevestigd te ROTTERDAM aan Weena Zuid 108 (hierna te noemen Guardian ), de opdracht tot het navolgende. Investeringsoverzicht éénmalig Omschrijving # Prijs Totaal Setup objecten en URL s Setup Probe / vprobe Setup Canary / vcanary TOTAAL Prijzen en tarieven zijn exclusief btw. Investeringsoverzicht per maand Omschrijving # Prijs Totaal Scanning IP (extern) Scanning IP (intern) Web scanning URL Probe / vprobe Canary / vcanary Compliancy module Strippenkaart TOTAAL Prijzen en tarieven zijn exclusief btw. Wat de verschillende diensten inhouden, staat beschreven in de dienstencatalogus van Guardian360 met kenmerk GRDN_DNST_V1 welke u bij deze opdrachtbevestiging ter hand gesteld hebt gekregen. Bijzondere bepalingen # Bepaling De bijzondere bepalingen prevaleren boven de in dit document beschreven algemene bepalingen. GRDN_OVK_V1_KVK-INSCHRIJFNUMMER Pagina 1 van 8

2 Voorwaarden - Algemene voorwaarden. Op deze opdrachtbevestiging zijn onze algemene voorwaarden van toepassing (versie 1.0, van 4 november 2015). Deze algemene voorwaarden zijn in te zien op Door ondertekening van deze opdrachtbevestiging gaat u akkoord met het feit dat Guardian de algemene voorwaarden, via een URL, aan u ter beschikking heeft gesteld. - Overeenkomst. Deze getekende opdrachtbevestiging vormt samen met de hiervoor genoemde algemene voorwaarden, en de bijlagen bij deze opdrachtbevestiging de overeenkomst tussen partijen. - Facturatie. De eenmalige investering wordt na akkoord op opdrachtbevestiging gelijk gefactureerd. De periodieke investering wordt per kwartaal gefactureerd na oplevering. - Betaling. De door Guardian uitgereikte facturen dienen binnen 30 dagen netto voldaan te zijn. - Opvolging gevonden zaken en prioriteit. De afspraken over opvolging van door de Guardian360 diensten gevonden zaken, hebben partijen vastgelegd in bijlage 4. - Servicelevels. De diensten van Guardian worden uitgevoerd conform de servicelevel agreement van Guardian. Deze servicelevel agreement is uiteengezet in bijlage 1. - Strippenkaart. De uren van de strippenkaart hebben een geldigheid van 12 maanden. - Risico s en mitigerende maatregelen. De diensten die Guardian360 levert kennen bepaalde risico s. In de bijlage 3 bij deze opdrachtbevestiging worden deze risico s uiteengezet, waarbij ook wordt aangegeven welke mitigerende maatregelen Guardian360 ter zake genomen heeft. - Objecten. In bijlage 2 staan de objecten benoemd waarop de dienstverlening van Guardian360 betrekking heeft. In die bijlage staat ook beschreven waar in het netwerk van u de objecten van Guardian geplaatst worden (de probes en canaries). Zonder goedkeuring van Guardian is het niet toegestaan de objecten te verplaatsen. - Looptijd. De overeenkomst kent na oplevering een looptijd van een (1) jaar. Bijlagen 1. Servicelevel agreement. 2. Objectenlijst. 3. Risico s en mitigerende maatregelen. 4. Opvolging en prioriteiten. GRDN_OVK_V1_KVK-INSCHRIJFNUMMER Pagina 2 van 8

3 Akkoordverklaring Voor akkoord: Namens Klantnaam Initialen en naam Plaats en datum Handtekening Namens Guardian360 B.V. Initialen en naam Plaats en datum Handtekening GRDN_OVK_V1_KVK-INSCHRIJFNUMMER Pagina 3 van 8

4 Bijlage 1 Service Level Agreement Onderwerp Prestatieafspraken Beschikbaarheid De beschikbaarheid van het Guardian platform is 99,9%. Deze beschikbaarheid wordt berekend op jaarbasis volgens onderstaande berekening: A = 100% * [1 (t: T)] t = het aantal minuten dat het Guardian platform gedurende 12 maanden niet beschikbaar was T = totaal aantal minuten per 12 maanden De verantwoordelijkheid van Guardian met betrekking tot beschikbaarheid zijn niet van toepassing wanneer: geplande werkzaamheden worden uitgevoerd; het Guardian platform niet beschikbaar is als gevolg van storing(en) in de telecommunicatie-infrastructuur van derden; het Guardian platform niet beschikbaar is door een door de Klant aangevraagde wijziging; het Guardian platform niet beschikbaar is door ongeautoriseerde handelingen door werkzaamheden van de Klant in de objecten van Guardian; overmacht. Scanning Actualiteit kwetsbaarheden Garanties op het vinden van kwetsbaarheden Serverscanning IP zal ieder uur plaatsvinden. Web scanning URL zal eens per dag plaatsvinden. Het Guardian platform zal minimaal eenmaal per dag haar database met kwetsbaarheden waarop gescand wordt actualiseren. Guardian kan geen garanties afgeven op het aantal kwetsbaarheden dat zij vindt. Ook kan Klant er niet vanuit gaan dat het Guardian platform alle kwetsbaarheden vindt in de bijlage 2 benoemde objecten. Vergoedingsregeling Indien Guardian de in deze bijlage beschreven Beschikbaarheid niet waarmaakt zal Guardian een creditnota verstrekken. Voor ieder cumulatief uur of gedeelte van een uur dat het platform onbeschikbaar is zal een creditering plaats vinden voor het pro-rata gedeelte van het maandbedrag dat de Klant normaal berekend krijgt voor de dienst. Onder het maandelijkse bedrag wordt verstaan het abonnementsgeld in eéń kalendermaand, exclusief meerkosten die op basis van nacalculatie worden berekend. GRDN_OVK_V1_KVK-INSCHRIJFNUMMER Pagina 4 van 8

5 Bijlage 2 Objectenlijst In onderstaande tabel worden de objecten benoemd waarop de dienstverlening van Guardian360 betrekking heeft. Omschrijving Scanning IP (extern) Scanning IP (intern) Web scanning URL IP-adressen IP-adressen Websites IP-adressen / URL s In onderstaande tabel wordt beschreven op welke fysieke locatie de Guardian objecten geplaatst zijn. Omschrijving Probe / vprobe Canary / vcanary Fysieke locatie / netwerk locatie Adres / kamernummer / IP-adres /subnet Adres / kamernummer / IP-adres /subnet GRDN_OVK_V1_KVK-INSCHRIJFNUMMER Pagina 5 van 8

6 Bijlage 3 Risico s en mitigerende maatregelen Het Guardian platform scant doorlopend op kwetsbaarheden. Het is van groot belang dat de scanresultaten als hoogst vertrouwelijk worden behandeld. Guardian heeft een aantal maatregelen getroffen om dit te realiseren, in onderstaand overzicht worden de risico s en mitigerende maatregelen beschreven die zowel Guardian als Klant moeten respecteren. Risico Beschrijving Maatregel(en) Kwetsbaarheden worden bekend buiten organisatie Het overzicht met kwetsbaarheden kan publiek gemaakt worden 1) Conform de strikte eisen van zowel ISO27001 en NEN7510 gaat Guardian zorgvuldig om met vertrouwelijke gegevens op geautomatiseerde systemen. Guardian is door Lloyd s Register Quality Assurance gecertificeerd volgens de internationale normeringen ISO27001 en ISO9001. Bovendien is Guardian gecertificeerd volgens de Nederlandse norm NEN ) Het overzicht is alleen bereikbaar voor Guardian medewerkers en de in de tabel hieronder gespecificeerde medewerkers van Klant 3) Het overzicht is beveiligd via https en two-factor-authenticatie 4) De kwetsbaarheden zijn binnen de Guardian organisatie als hoogst vertrouwelijk bestempeld en worden als dusdanig behandeld. Probe/vProbe/ Canary/vCanary zorgen voor een kwetsbaarheid Hoster staakt dienstverlening Data komt in het buitenland De Guardian objecten worden in het netwerk van Klant geplaatst en kunnen een kwetsbaarheid veroorzaken. Een hostingpartij kan de web scanner bestempelen als misbruik en de hosting staken Data zou op buitenlandse servers opgeslagen kunnen worden 1) De Guardian objecten krijgen in overleg met Klant een IP-adres toegekend en worden in overleg met Klant op een bepaalde fysieke locatie geplaatst. 2) De Guardian objecten maken alleen via secure ftp-verbinding met het Guardian360 platform. 3) De Guardian360 objecten slaan alleen scanresultaten op. Klant zal met zijn hostingpartij afstemmen over de Guardian dienstverlening en, waar nodig, een servicewindow afspreken met Guardian. De data wordt opgeslagen op servers van Intermax Hosting BV, deze servers zijn ondergebracht op fysieke locaties in Nederland. De data wordt op geen enkele wijze buiten de landsgrenzen gebracht. GRDN_OVK_V1_KVK-INSCHRIJFNUMMER Pagina 6 van 8

7 Wijzigen van gegevens Het Guardian platform kan gegevens wijzigen doordat bijvoorbeeld formulieren ingevuld worden 1) Klant draagt conform de algemene voorwaarden zorg voor een back-up. 2) Het Guardian platform scant standaard alle poorten en/of de gehele web applicatie van de bijlage 2 genoemde objecten, tenzij klant expliciet aangeeft welke poorten/onderdelen niet gescand mogen worden. In de tabel hieronder worden de personen beschreven die namens Klant toegang krijgen tot het overzicht met kwetsbaarheden op Naam Functie adres GSM GRDN_OVK_V1_KVK-INSCHRIJFNUMMER Pagina 7 van 8

8 Bijlage 4 Opvolging en prioriteiten Wanneer u een strippenkaart afneemt bij Guardian360, dan geldt de hieronder beschreven werkwijze en prioritering. Bij afwijkingen van verwachte configuratie vindt alarmering plaats naar ons Security Operations Center (SOC), die de melding zal analyseren. Een security engineer evalueert binnen 1 werkdag wat dit incident betekent en hoe urgent de vondst is. Critical issues krijgen voorrang op issues met een lagere prioriteit. In de tabel hieronder wordt wordt de prioritering weergegeven. Classificatie Critical High Medium Low Informationele Service level Nieuwe meldingen worden binnen 24 uur in behandeling genomen. Nieuwe meldingen worden binnen 48 uur in behandeling genomen. Nieuwe meldingen worden binnen 60 uur in behandeling genomen. Nieuwe meldingen worden binnen 72 uur in behandeling genomen. Alleen registratie in het platform, geen directe actie noodzakelijk. De gevonden kwetsbaarheden worden daarnaast ontdaan van zogenaamde false positives. Waar nodig wordt Klant per , danwel telefonisch geïnformeerd over deze kwetsbaarheden. De gevonden kwetsbaarheden zijn daarnaast doorlopend inzichtelijk via het Guardian360 dashboard op GRDN_OVK_V1_KVK-INSCHRIJFNUMMER Pagina 8 van 8