Trust Center

Controle op productietoegang

Onze information security officer beoordeelt en keurt eens per jaar goed wie toegang heeft tot de productieconsole.

Incidentregistratie

Wij leggen elk beveiligingsincident vast, samen met het onderzoek en de reactie volgens onze incidentprocedure.

Kwetsbaarhedenscans

Wij scannen het platform regelmatig op kwetsbaarheden.

Centrale registratie van kwetsbaarheden

Elke kwetsbaarheid die wij vinden wordt centraal bijgehouden en verholpen binnen de termijn die ons kwetsbaarhedenbeleid vastlegt.

Meldingen bij wijzigingen

Sleutelpersonen krijgen een melding zodra een wijziging naar productie gaat, zodat alleen goedgekeurde wijzigingen live komen.

Goedgekeurde toegang

Toegang tot kritieke systemen wordt pas verleend na goedkeuring door bevoegde medewerkers, voor een individuele behoefte of een vooraf bepaalde rol.

Toegang intrekken bij vertrek

Als iemand vertrekt, wordt de toegang die niet meer nodig is direct ingetrokken.

Toegang tot productiedatabases

Alleen mensen die het voor hun werk nodig hebben, kunnen bij de productiedatabases.

Multifactorauthenticatie

Elke medewerker met toegang tot een kritiek systeem logt in met multifactorauthenticatie.

Controle op bevoegdheden

Het senior management of de information security officer controleert regelmatig of toegang tot kritieke systemen beperkt blijft tot wie die nodig heeft.

Controle op beheerderstoegang

Beheerderstoegang tot kritieke systemen wordt op dezelfde manier regelmatig gecontroleerd.

Versleuteling van opgeslagen data

Alle productiedatabases met klantdata zijn versleuteld in rust.

Inventaris van infrastructuur

Wij houden een actuele inventaris bij van onze infrastructuursystemen, met de gegevens die nodig zijn om te weten wie voor elk systeem verantwoordelijk is.

Back-ups

Gebruikers- en systeemdata wordt regelmatig geback-upt om aan onze doelen voor hersteltijd en herstelpunt te voldoen, en elke back-up wordt op integriteit gecontroleerd.

Hersteltests van back-ups

Wij testen back-ups periodiek om te bevestigen dat ze hersteld kunnen worden en dat de data intact is.

Monitoring van maatregelen

Onze systemen genereren informatie die wij beoordelen om te zien of de interne maatregelen werken.

Geen openbare databasetoegang

Productiedatabases en SSH toegang tot onze infrastructuur zijn niet bereikbaar vanaf het openbare internet.

Firewall die standaard blokkeert

Elke productiehost zit achter een firewall die al het verkeer blokkeert, tenzij het expliciet is toegestaan.

Versleuteling tijdens transport

Data die onderweg is wordt versleuteld met gangbare methoden, waaronder HTTPS via TLS.

Detectie van bedreigingen

Auditgebeurtenissen worden geanalyseerd om ongebruikelijke of verdachte activiteit op te sporen.

Capaciteitsmonitoring

Kritieke systemen worden continu bewaakt, met waarschuwingen over capaciteit, om de prestaties op peil te houden en te beschermen tegen denial of service aanvallen.

Bescherming van testdata

Klantdata die buiten productie wordt gebruikt, krijgt dezelfde bescherming als in productie.

Centrale securitylogs

Alle kritieke systemen leggen beveiligingsrelevante acties vast in auditgebeurtenissen, die op één plek worden verzameld.

Openbare privacyverklaring

Onze website toont actuele informatie over onze diensten en een duidelijke link naar onze privacyverklaring.

Wijzigingsbeheer

Wijzigingen in onze productieomgeving volgen een vastgelegde procedure.

Goedkeuring van wijzigingen

Wijzigingen in de productieomgeving moeten worden goedgekeurd voordat ze worden uitgevoerd.

Meldingen bij rolwijzigingen

Als iemand van rol verandert, laat continue monitoring het securityteam weten dat de toegang moet worden aangepast.

Bescherming tegen malware

Laptops en andere apparaten met toegang tot kritieke servers of data draaien malwarebescherming.

Apparaatversleuteling

Deze apparaten gebruiken volledige schijf- of containerversleuteling.

Apparaatcontroles

Voordat een apparaat verbinding maakt met onze interne systemen, worden de softwareversies en patches gecontroleerd.

Schermvergrendeling

Apparaten met toegang tot kritieke servers of data vergrendelen automatisch na 15 minuten inactiviteit.

Versleutelde kritieke apparaten

Elk kritiek apparaat is versleuteld tegen ongeautoriseerde toegang.

Gedragscode

Een schriftelijke gedragscode bepaalt de norm voor hoe wij ons gedragen.

Organisatiestructuur

Onze structuur legt vast wie welke bevoegdheden en verantwoordelijkheden heeft.

Rollen en verantwoordelijkheden

Medewerkers weten wat hun rol en verantwoordelijkheden zijn.

Gekwalificeerd securitypersoneel

Functies rond beveiliging worden vervuld door mensen met de juiste vaardigheden.

Antecedentenonderzoek

Mensen worden gescreend op beveiligingsrisico's voordat zij toegang krijgen.

Beleid bij indiensttreding

Nieuwe medewerkers bevestigen dat zij het bedrijfsbeleid dat voor hen geldt hebben gelezen.

Training over security en privacy

Medewerkers krijgen training over security en privacy die bij hun functie past.

Functioneringsgesprekken

Mensen in klantgerichte, IT, engineering en securityrollen worden periodiek beoordeeld op hun verantwoordelijkheden.

Periodieke bevestiging van beleid

Medewerkers bevestigen het toepasselijke beleid met regelmaat opnieuw.

Interne incidentmelding

Ons beleid vertelt medewerkers hoe zij storingen, incidenten en zorgen over onze diensten of systemen melden.

Incidentmelding door klanten

Klanten weten hoe zij storingen, incidenten en zorgen bij ons kunnen melden.

Jaarlijkse risicobeoordeling

Eens per jaar voeren wij een formele risicobeoordeling uit om bedreigingen voor onze beveiligingsverplichtingen op te sporen.

Risicoscores

Elk risico krijgt een score voor kans en impact op beveiliging, beschikbaarheid en vertrouwelijkheid en is gekoppeld aan de maatregelen die het verkleinen.

Fraudegevaar

Het risico op fraude maakt deel uit van onze risicomatrix.

Risicobeoordeling van leveranciers

Eens per jaar beoordelen wij welke leveranciers van cruciaal belang zijn voor onze beveiligingsverplichtingen.

Information security officer

Het senior management heeft een information security officer aangesteld die het beveiligings- en privacyprogramma leidt.

Continue interne audit

Sprinto volgt de gezondheid van het beveiligingsprogramma en rapporteert daarover aan de information security officer en andere belanghebbenden.

Beoordeling van het programma

Het senior management beoordeelt en keurt het beveiligingsprogramma, het beleid en de procedures goed op gezette tijden en na ingrijpende wijzigingen.

Beoordeling van het organigram

Het senior management beoordeelt en keurt het organigram elk jaar goed.

Beoordeling van het risicorapport

Het senior management beoordeelt en keurt het rapport van de risicobeoordeling elk jaar goed.

Beoordeling van het leveranciersrisicorapport

Het senior management beoordeelt en keurt het rapport van de leveranciersrisicobeoordeling elk jaar goed.

Evaluatie van subverwerkers

Wij evalueren onze onderaannemers periodiek, zodat wij onze toezeggingen aan klanten kunnen nakomen.

Functiescheiding

Verantwoordelijkheden en taken worden over mensen verdeeld om het risico voor de diensten die wij leveren te verkleinen.

Tests van het noodplan

Wij testen ons noodplan regelmatig om te controleren of wij klaar zijn om het uit te voeren.

PCI DSS verantwoordelijkheden

Wij houden een lijst bij van welke PCI DSS eisen elke serviceprovider beheert en welke wij zelf beheren.

Eigenaarschap van assets

Elke asset heeft een eigenaar die verantwoordelijk is voor de bescherming ervan.

Wettelijke en regelgevende eisen

Wij houden een lijst bij van de wettelijke en regelgevende eisen die gelden voor onze informatiebeveiliging.

Trainingsregistratie bij indiensttreding

Nieuwe medewerkers volgen tijdens hun onboarding een training over security en privacy, en wij bewaren de registratie.

Trainingsregistratie

Wij leggen de trainingsactiviteiten van elke medewerker vast, volgen ze en bewaren ze.

Bijhouden van de inventaris

De systeeminventaris wordt bijgewerkt zodra systemen worden geïnstalleerd, verwijderd of bijgewerkt.

Apparaatinventaris

Wij houden een inventaris bij van alle apparaten, met de gegevens die nodig zijn om te weten wie voor elk apparaat verantwoordelijk is.