Voluit Suite en veiligheid

Veiligheid en risicobeheer bij onze Amerikaanse software

De belangrijkste focus van onze Amerikaanse software op het gebied van veiligheid is het beschermen van de gegevens van onze klanten. We hebben flink geïnvesteerd in de juiste maatregelen om onze klanten te beschermen en van dienst te zijn. Dit betekent dat we speciale beveiligingsprogramma's hebben opgezet voor ons bedrijf, onze producten en onze infrastructuur. Ons juridische team werkt samen met andere afdelingen om ervoor te zorgen dat deze programma's goed worden uitgevoerd.

Onze doelen voor veiligheid en naleving

We hebben ons beveiligingsraamwerk ontwikkeld met de beste praktijken voor de SaaS-industrie in gedachten. Onze belangrijkste doelen zijn:

Vertrouwen en bescherming van klanten: topproducten en -diensten leveren en tegelijkertijd de privacy en vertrouwelijkheid van gegevens beschermen.

Beschikbaarheid en continuïteit van diensten: zorgen dat de dienst beschikbaar blijft en risico's voor de continuïteit minimaliseren.

Integriteit van informatie en diensten: ervoor zorgen dat klantinformatie nooit onterecht wordt aangepast of beschadigd.

Naleving van normen: streven naar het voldoen aan of overtreffen van de beste praktijken in de industrie.

Beveiligingsmaatregelen van onze Amerikaanse software

Om de gegevens die aan ons zijn toevertrouwd te beschermen, gebruikt onze Amerikaanse software verschillende lagen van administratieve, technische en fysieke beveiligingsmaatregelen in onze hele organisatie. In de volgende secties vind je antwoorden op de meest gestelde vragen over onze beveiligingsmaatregelen.

Beveiliging van de infrastructuur

Cloud hosting provider

Onze Amerikaanse software slaat geen productsystemen of gegevens op in fysieke kantoren. In plaats daarvan maken we gebruik van toonaangevende cloud infrastructuur providers zoals Google Cloud Platform Services en Amazon Web Services voor het hosten van onze productinfrastructuur. Deze infrastructuur bevindt zich in de Verenigde Staten. We vertrouwen op de gecontroleerde beveiligings- en nalevingsprogramma's van Google en AWS voor de effectiviteit van hun fysieke, omgevings- en infrastructurele beveiligingscontroles.

Google garandeert een maandelijkse uptime van minstens 99,5% voor klanten. Je kunt meer informatie vinden over de controles, processen en nalevingsmaatregelen van Google op hun openbaar beschikbare Compliance Resource Center.

AWS belooft tussen de 99,95% en 100% betrouwbaarheid van hun diensten, met redundantie voor alle stroom-, netwerk- en klimaatbeheersystemen. De bedrijfscontinuïteits- en disaster recovery plannen voor AWS-diensten zijn onafhankelijk gevalideerd als onderdeel van hun SOC 2 Type 2 rapport en ISO 27001 certificering. De nalevingsdocumentatie en auditrapportages van AWS zijn openbaar beschikbaar op de AWS Cloud Compliance Page en het AWS Artifacts Portal.

Netwerk en perimeter

De productinfrastructuur van onze Amerikaanse software zorgt voor meerdere lagen van filtering en inspectie op alle verbindingen binnen onze webapplicatie, logische firewalls en beveiligingsgroepen. We hebben netwerktoegangsbeheerlijsten ingesteld om ongeautoriseerde toegang tot onze interne productinfrastructuur en bronnen te voorkomen. Standaard zijn firewalls zo ingesteld dat ze netwerkverbindingen weigeren die niet expliciet zijn toegestaan. Wijzigingen aan onze netwerk- en perimeterssystemen worden beheerst door standaard wijzigingsbeheerprocessen. Firewall-regels worden regelmatig gecontroleerd om ervoor te zorgen dat alleen noodzakelijke verbindingen zijn geconfigureerd.

Configuratiebeheer

Automatisering zorgt ervoor dat onze Amerikaanse software kan meegroeien met de behoeften van onze klanten. Streng configuratiebeheer is verweven in onze dagelijkse infrastructuurverwerking. De productinfrastructuur is een sterk geautomatiseerde omgeving die capaciteit uitbreidt wanneer nodig. Alle serverconfiguraties zijn ingebed in images en configuratiebestanden, die worden gebruikt wanneer nieuwe containers worden opgezet. Elke container heeft zijn eigen geharde configuratie en wijzigingen aan de configuratie en standaard images worden beheerd via een gecontroleerd wijzigingsproces.

Serverinstanties worden strikt gecontroleerd van ingebruikname tot buitengebruikstelling. We zorgen ervoor dat afwijkingen van de basisconfiguratie worden gedetecteerd en teruggedraaid volgens een vooraf bepaald schema. Als een productieserver afwijkt van de basisconfiguratie, wordt deze binnen 30 minuten overschreven met de basislijn. Patchbeheer wordt uitgevoerd met geautomatiseerde configuratiebeheerhulpmiddelen of door serverinstanties te verwijderen die niet meer voldoen aan de verwachte basislijn.

Logboekregistratie

Acties en gebeurtenissen binnen de applicatie van onze Amerikaanse software worden consistent en uitgebreid gelogd. Deze logs worden geïndexeerd en opgeslagen in een centrale logging-oplossing in onze cloudomgeving. Beveiligingsrelevante logs worden ook bewaard, geïndexeerd en opgeslagen om onderzoek en reactieactiviteiten te vergemakkelijken. De bewaartermijn van logs hangt af van de aard van de gelogde gegevens. Schrijftoegang tot de opslagdienst waarin logs worden bewaard, is streng gecontroleerd en beperkt tot een kleine groep engineers die toegang nodig hebben.

Waarschuwingen en monitoring

Onze Amerikaanse software investeert in geautomatiseerde monitoring, waarschuwings- en responsmogelijkheden om voortdurend potentiële problemen aan te pakken.

De productinfrastructuur van onze Amerikaanse software is zo ingesteld dat het engineers en beheerders waarschuwt wanneer er afwijkingen optreden. Met name foutpercentages, misbruikscenario's, applicatie-aanvallen en andere afwijkingen activeren automatische reacties of waarschuwingen naar de juiste teams voor respons, onderzoek en correctie. Veel geautomatiseerde triggers zijn ook ontworpen om onmiddellijk te reageren op afwijkende situaties. Bijvoorbeeld, verkeersbeperking, procesbeëindiging en vergelijkbare functies worden geactiveerd bij vooraf gedefinieerde drempels.

Beveiliging van de applicatie

Verdediging van webapplicaties

Alle klantinhoud op het platform wordt beschermd door een firewall en applicatiebeveiliging. De monitoringtools houden de applicatielaag actief in de gaten en kunnen waarschuwen voor verdacht gedrag op basis van type en sessiefrequentie. De regels die we gebruiken om kwaadaardig verkeer te detecteren en blokkeren, volgen de best practices van het Open Web Application Security Project (OWASP), vooral de OWASP Top 10 en vergelijkbare aanbevelingen. We hebben ook bescherming tegen DDoS-aanvallen ingebouwd, zodat de websites van klanten en andere onderdelen van onze Amerikaanse software altijd beschikbaar blijven.

Ontwikkeling en releasemanagement

Onze Amerikaanse software verbetert haar producten door een moderne aanpak van continue levering in softwareontwikkeling. We implementeren regelmatig nieuwe code. Voor de implementatie voeren we codereviews en tests uit en keuren we de samenvoeging goed. We voeren regelmatig statische code-analyse uit op onze code-repositories om bekende foute configuraties tegen te houden. Goedkeuring wordt geregeld door aangewezen repository-eigenaren. Na goedkeuring wordt de code automatisch naar de continue integratie-omgeving van onze Amerikaanse software gestuurd voor compilatie, verpakking en unittests.

We voeren periodiek dynamische tests uit om beveiligingskwetsbaarheden in onze applicaties op te sporen. Nieuw ontwikkelde code wordt eerst naar een aparte testomgeving gestuurd voor de laatste testfase, voordat deze naar productie gaat. Segmentatie op netwerk- en projectniveau voorkomt ongeoorloofde toegang tussen test- en productieomgevingen. Alle code-implementaties zijn geautomatiseerd en bij fouten kunnen de wijzigingen worden teruggedraaid. Het implementatieteam beheert meldingen over de gezondheid van hun applicaties. Als er een fout optreedt, worden er meteen terugdraaiprocedures gestart. We gebruiken uitgebreide softwaregating en verkeersmanagement om functies te beheren op basis van klantvoorkeuren (privébèta, openbare bèta, volledige lancering).

Onze Amerikaanse software biedt naadloze updates en omdat het een SaaS-applicatie is, is er geen downtime bij releases. Grote functiewijzigingen worden gecommuniceerd via berichten in de app en/of productupdate-posts.

Beheer van kwetsbaarheden

Het team van onze Amerikaanse software hanteert een gelaagde aanpak voor het beheer van kwetsbaarheden. We gebruiken verschillende erkende tools en dreigingsfeeds om onze technologiestack volledig te dekken. We voeren regelmatig kwetsbaarheidsscans uit met adaptieve scanlijsten voor het ontdekken van assets en de nieuwste signatures voor het detecteren van kwetsbaarheden. Jaarlijks voeren we penetratietests uit op onze applicaties en infrastructuren om kwetsbaarheden op te sporen die beveiligingsrisico's kunnen vormen. Relevante bevindingen worden beoordeeld en oplossingen worden geprioriteerd.

Bescherming van klantgegevens

Gegevensclassificatie

Volgens de servicevoorwaarden van onze Amerikaanse software zijn onze klanten verantwoordelijk voor het vastleggen van alleen gepaste informatie ter ondersteuning van hun marketing-, verkoop-, service-, contentbeheer- en bedrijfsprocessen. De producten van onze Amerikaanse software mogen niet worden gebruikt om gevoelige informatie te verzamelen of op te slaan, zoals credit- of debetcardnummers, financiële rekeninggegevens, burgerservicenummers, paspoortnummers, financiële of gezondheidsinformatie, tenzij anders toegestaan.

Scheiding van huurders

Onze Amerikaanse software biedt een multi-tenant SaaS-oplossing waarbij klantgegevens logisch gescheiden zijn met unieke ID's om gegevens en objecten aan specifieke klanten te koppelen. Autorisatieregels zijn ingebouwd in de ontwerparchitectuur en worden continu gevalideerd. Daarnaast loggen we applicatie-authenticatie en bijbehorende wijzigingen, beschikbaarheid van de applicatie, en toegang en wijzigingen door gebruikers.

Versleuteling

Alle gegevens worden versleuteld tijdens transport met TLS versie 1.2 of 1.3 en 2.048-bits sleutels of beter. Transport Layer Security (TLS) is ook standaard voor klanten die hun websites hosten op het platform van onze Amerikaanse software.

Onze Amerikaanse software gebruikt verschillende technologieën om opgeslagen gegevens te versleutelen. Platformgegevens worden opgeslagen met AES-256-versleuteling. Wachtwoorden van gebruikers worden gehashed volgens de beste praktijken in de industrie en versleuteld opgeslagen.

Sleutelbeheer

De versleutelingssleutels voor zowel gegevens onderweg als in rust worden veilig beheerd door onze Amerikaanse software. TLS-privésleutels voor versleuteling onderweg worden beheerd via onze contentleveringspartner. Volume- en veldniveau-versleutelingssleutels voor gegevens in rust worden opgeslagen in een beveiligd sleutelbeheersysteem (KMS). Sleutels worden met verschillende frequenties geroteerd, afhankelijk van de gevoeligheid van de gegevens die ze beschermen. Over het algemeen worden TLS-certificaten jaarlijks vernieuwd. Onze Amerikaanse software kan momenteel geen door klanten geleverde versleutelingssleutels gebruiken.

Gegevensback-up en Disaster Recovery

Systeembetrouwbaarheid en Herstel

Onze Amerikaanse software zet zich in om systeemuitval tot een minimum te beperken. Alle productdiensten van onze Amerikaanse software zijn gebouwd met redundantie. De serverinfrastructuur is strategisch verdeeld over meerdere beschikbaarheidszones en virtuele privécloudnetwerken binnen onze infrastructuurproviders. Alle web-, applicatie- en databasecomponenten zijn geïmplementeerd met een point-in-time herstel.

Back-upstrategie

Systeemback-ups

We maken regelmatig back-ups van systemen volgens vaste schema's en frequenties. We bewaren zeven dagen aan back-ups voor elke database, zodat je ze gemakkelijk kunt herstellen als dat nodig is.

We houden de back-ups in de gaten om te zien of ze goed verlopen. Als er iets misgaat, krijgen we daar meteen een melding van. We onderzoeken en lossen problemen met back-ups snel op. Elke dag maken we een back-up van de gegevens in de lokale regio. We controleren ook of het kopiëren van gegevens goed gaat en lossen eventuele problemen snel op.

Fysieke Back-upopslag

Omdat we gebruik maken van openbare clouddiensten voor hosting, back-up en herstel, heeft onze Amerikaanse software geen fysieke infrastructuur of fysieke opslagmedia voor onze producten. We maken over het algemeen geen gebruik van andere soorten fysieke media (zoals papier of tape) om onze producten aan klanten beschikbaar te stellen.

Bescherming van Back-ups

Standaard worden alle back-ups beschermd door toegangsbeperkingen en write-once-read-many (WORM) bescherming op de productinfrastructuurnetwerken van onze Amerikaanse software. Ook gebruiken we toegangscontrolelijsten op de bestandssystemen waar de back-upbestanden worden opgeslagen.

Herstel van Klantgegevensback-ups

Klanten van onze Amerikaanse software hebben geen toegang tot de productinfrastructuur op een manier die een door de klant gestuurde failover mogelijk zou maken. Disaster recovery en veerkrachtoperaties worden beheerd door de productengineering teams van onze Amerikaanse software. In sommige gevallen kunnen klanten de prullenbak gebruiken om contacten, kansen, aangepaste velden, aangepaste waarden, tags, notities en taken tot 30 dagen na verwijdering direct te herstellen. Wijzigingen in webpagina's, blogberichten of e-mails kunnen worden hersteld naar eerdere versies van inhoud met behulp van versiegeschiedenis. Als je extra back-ups van je gegevens wilt maken, biedt het platform van onze Amerikaanse software veel manieren om ervoor te zorgen dat je hebt wat je nodig hebt.

Veel functies binnen je portal van onze Amerikaanse software bevatten exportopties, en de openbare API-bibliotheek van onze Amerikaanse software kan worden gebruikt om je gegevens te synchroniseren met andere systemen.

Identiteits- en Toegangsbeheer

Productgebruikersbeheer

De producten van onze Amerikaanse software bieden gedetailleerde autorisatieregels. Je kunt zelf gebruikers in je portals aanmaken en beheren, de juiste rechten toewijzen en de toegang beperken zoals jij dat wilt.

Inlogbeveiliging

Je kunt inloggen op je account van onze Amerikaanse software met hun eigen inlogmethode. Deze heeft een standaard wachtwoordbeleid dat minimaal 8 tekens vereist, met een mix van hoofdletters, kleine letters, speciale tekens en cijfers. Als je deze inlogmethode gebruikt, kun je dit beleid niet aanpassen. Je account is ook beveiligd met tweefactorauthenticatie. Beheerders kunnen dit verplicht stellen voor alle gebruikers.

Toegang van medewerkers tot klantgegevens

Toegang tot productie-infrastructuur

De toegang tot interne gegevensopslag en productie-infrastructuur wordt streng gecontroleerd. Medewerkers van onze Amerikaanse software krijgen toegang via een rolgebaseerd toegangscontrolemodel (RBAC). Dagelijkse toegang is beperkt tot het engineeringteam en permanente beheerderstoegang is gelimiteerd. Directe netwerkverbindingen met productie-infrastructuur via SSH of vergelijkbare protocollen zijn verboden. Engineers moeten eerst inloggen via een bastion host of 'jump box', of een toegewezen IAM-rol hebben voor ze bij serveromgevingen kunnen.

Toegang tot klantportals

Standaard kunnen klantenservice, dienstverlening en andere klantenteams beperkt toegang krijgen tot delen van je account om je te helpen. Onze Amerikaanse software gebruikt ook een JITA-model (Just-In-Time Access) om medewerkers tijdelijk toegang te geven tot een klantportal (Portal JITA). Elk Portal JITA-verzoek wordt gelogd. De toegang is gekoppeld aan een specifiek klantportal voor maximaal 24 uur. Er wordt ook risicogebaseerde monitoring gebruikt om ongewone Portal JITA-activiteit op te sporen.

Bij toegang via Portal JITA kunnen medewerkers geen risicovolle acties uitvoeren, zoals:

• Domein- of SSO-instellingen wijzigen
• Gebruikers/contacten exporteren
• Privé app-sleutels bekijken/aanmaken/verwijderen/roteren
• Gegevens importeren in de CRM
• Contacten, bedrijven, deals en tickets verwijderen

Gebruikersinloggegevens, toegang van medewerkers, beveiligingsactiviteiten en contentactiviteiten worden gelogd.

Bedrijfsauthenticatie en -autorisatie

Voor toegang tot het bedrijfsnetwerk van onze Amerikaanse software is MFA vereist. Het wachtwoordbeleid volgt de beste praktijken uit de industrie voor lengte, complexiteit en hoe vaak je moet wisselen. Er zijn wachtwoordkluizen voor bepaalde beheerdersaccounts, en toegang daartoe wordt geregeld via rolgebaseerde toegangscontrole of het JITA-proces. We hebben een uitgebreid ondersteuningssysteem om ons beveiligingsbeheer en onze nalevingsactiviteiten te stroomlijnen en te automatiseren.

Naast vele andere functies zorgen we ervoor dat toegangsrechten passend zijn, personeelszaken goed worden beheerd, toegang tijdig wordt ingetrokken, wijzigingslogboeken effectief worden verzameld en nalevingsbewijzen worden bewaard. De toegang en rechten van medewerkers voor belangrijke interne systemen worden halfjaarlijks handmatig gecontroleerd om er zeker van te zijn dat de toegekende rechten nodig zijn voor hun functie.

Organisatorische en bedrijfsbeveiliging

Achtergrondcontroles en onboarding

Medewerkers van onze Amerikaanse software ondergaan een externe achtergrondcontrole voordat ze een formeel arbeidsaanbod krijgen. Referentiecontrole wordt naar eigen inzicht van de manager uitgevoerd. Bij indiensttreding moeten alle medewerkers het personeelshandboek en de gedragscode lezen en bevestigen. Deze helpen de verantwoordelijkheden van medewerkers te definiëren voor het beschermen van bedrijfsmiddelen en gegevens.

Beleidsbeheer

Om ervoor te zorgen dat al onze medewerkers op één lijn zitten wat betreft gegevensbescherming, hebben we schriftelijke beleidsregels en procedures opgesteld. We hebben een kernbeleid voor informatiebeveiliging dat verschillende onderwerpen behandelt, zoals vereisten voor gegevensverwerking, privacyoverwegingen en disciplinaire maatregelen bij beleidsovertredingen.

Het beleid wordt jaarlijks herzien en goedgekeurd.

Training in beveiligingsbewustzijn

Medewerkers van onze Amerikaanse software moeten een cyberveiligheidstraining volgen als ze in dienst treden. Deze training wordt daarna jaarlijks aangeboden en omvat ook bewustwording over phishing.

Leveranciersbeheer

We kunnen externe dienstverleners inzetten om de ontwikkeling van ons product en onze interne activiteiten te ondersteunen. We zorgen ervoor dat onze leveranciers passende beveiligings- en privacycontroles hebben als onderdeel van onze contractuele relatie met hen. We houden ook een lijst bij van onze subverwerkers (die van tijd tot tijd kan veranderen) in onze gegevensverwerkingsovereenkomst.

Eindpuntbeveiliging

Door het bedrijf uitgegeven laptops worden centraal beheerd en zijn ingesteld met volledige schijfversleuteling. We gebruiken een Mobile Device Management-oplossing die IT-beheerders een centraal platform biedt om mobiele apparaten in de organisatie te beheren en te monitoren. Dit omvat het configureren van apparaatinstellingen, het afdwingen van beveiligingsbeleid, het implementeren van apps en het zorgen voor naleving van bedrijfsbeleid.

Naleving

Verwerking en opslag van gevoelige gegevens

Kijk in onze servicevoorwaarden en ons privacybeleid voor meer informatie over hoe en waarom we gegevens verwerken. Let op: hoewel klanten van onze Amerikaanse software met creditcard kunnen betalen, slaan we geen creditcardgegevens op die klanten bij ons indienen. We zijn niet PCI-DSS-compliant. We gebruiken PCI-conforme betalingsverwerkers om ervoor te zorgen dat onze betalingstransacties veilig worden afgehandeld.

Privacy

Zoals beschreven in ons privacybeleid verkopen we je persoonlijke gegevens niet aan derden. De beschermingsmaatregelen die in dit document worden beschreven en andere maatregelen die we hebben genomen, zijn bedoeld om ervoor te zorgen dat je gegevens privé en ongewijzigd blijven.

Gegevensbewaring en -verwijdering

Klantgegevens worden bewaard zolang je een actieve klant bent. Huidige en voormalige klanten kunnen schriftelijk verzoeken om bepaalde gegevens te laten verwijderen. Onze Amerikaanse software zal aan deze verzoeken voldoen zoals vereist door privacy-regels en -voorschriften. We bewaren bepaalde gegevens zoals logboeken en gerelateerde metadata om te voldoen aan beveiligings-, nalevings- of wettelijke vereisten. Op dit moment kunnen klanten geen eigen gegevensbewaarbeleid instellen.

Privacyprogrammabeheer

Het juridische team van onze Amerikaanse software werkt samen met onze engineering- en productontwikkelingsteams om een effectief privacyprogramma te implementeren. Informatie over onze toewijding aan de privacy van je gegevens vind je in meer detail in ons privacybeleid en onze gegevensverwerkingsovereenkomst.

Reactie op datalekken

Onze Amerikaanse software zal klanten op de hoogte stellen zoals wettelijk vereist als we ons bewust worden van een datalek dat invloed heeft op je persoonlijke gegevens.

GDPR

Onze Amerikaanse software streeft ernaar functies aan te bieden waarmee onze klanten gemakkelijk kunnen voldoen aan de GDPR-vereisten. Kijk op onze GDPR-pagina voor meer informatie GDPR Compliance en Data Privacy (link onderaan).

Reikwijdte en gebruik van dit document

Dit document is bedoeld als hulpbron voor onze klanten. Het is niet bedoeld om een bindende of contractuele verplichting te creëren tussen onze Amerikaanse software en andere partijen, of om bestaande overeenkomsten tussen de partijen te wijzigen, veranderen of herzien. We verbeteren voortdurend de beschermingsmaatregelen die we hebben geïmplementeerd, dus onze procedures kunnen onderhevig zijn aan verandering.