Beveiligingsprotocol

Dit beveiligingsprotocol is onderdeel van de overeenkomst die de klant, als verwerkingsverantwoordelijke, en Frontis BV, als verwerker, met elkaar hebben gesloten. Het beschrijft de technische en organisatorische maatregelen die Frontis heeft getroffen om persoonsgegevens en andere vertrouwelijke informatie te beschermen. Ook voor klanten die geen afzonderlijke verwerkersovereenkomst met Frontis hebben gesloten, kan dit protocol als referentie dienen.

Onder de AVG is de verwerkingsverantwoordelijke verantwoordelijk voor de beoordeling of de getroffen maatregelen passend zijn voor de aard, omvang, context en gevoeligheid van de verwerking. Frontis treft als verwerker passende maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. De AVG verlangt daarbij onder meer aandacht voor versleuteling, beschikbaarheid, herstel na incidenten en het periodiek testen en beoordelen van beveiligingsmaatregelen.

Heeft u vragen over dit document of over onze beveiligingsmaatregelen? Neem dan contact op via [email protected].

Netwerkbeveiliging

Netwerkverkeer wordt beschermd door firewall-, netwerksegmentatie- en beveiligingsmaatregelen die ongeautoriseerde toegang, kwaadaardig verkeer en bekende aanvalspatronen detecteren en blokkeren.

Beveiligde externe toegang

Toegang tot interne systemen vanaf externe locaties vindt uitsluitend plaats via beveiligde verbindingen. De identiteit van de gebruiker wordt gecontroleerd voordat toegang wordt verleend.

Endpointbeveiliging

Werkstations, laptops en servers zijn voorzien van beveiligingssoftware die bescherming biedt tegen malware, ransomware, virussen en andere digitale dreigingen. Beveiligingsmeldingen worden actief opgevolgd. Het gebruik en de monitoring van endpointbeveiliging zijn ook onderdeel van de interne beveiligingscontroles.

Back-ups

Van systemen en gegevens worden regelmatig back-ups gemaakt. Back-ups worden gescheiden van de productieomgeving opgeslagen, zodat gegevens bij storingen, verwijdering of andere calamiteiten kunnen worden hersteld.

Herstel en continuïteit

Herstelprocedures en back-ups worden periodiek getest. Hiermee wordt gecontroleerd of systemen en gegevens bij een storing of beveiligingsincident tijdig en correct kunnen worden hersteld.

Updates en patches

Servers, werkplekken, applicaties en andere software worden actief bijgewerkt met beveiligingsupdates en patches. Hiermee worden bekende kwetsbaarheden zo snel mogelijk verholpen.

Versleutelde verbindingen

Websites, applicaties en beheeromgevingen zijn bereikbaar via beveiligde verbindingen. Gegevens die over het netwerk worden verzonden, worden door middel van actuele versleutelingsprotocollen beschermd tegen onderschepping.

Wachtwoorden en authenticatie

Toegang tot systemen wordt beveiligd met sterke wachtwoorden en passende authenticatiemethoden. Wachtwoorden worden veilig beheerd en niet leesbaar opgeslagen.

Voor beheertoegang en andere risicovolle toegangsvormen wordt multifactor-authenticatie toegepast.

Laptops en mobiele apparaten

Bedrijfsapparatuur is voorzien van beveiligingsmaatregelen, waaronder schijfversleuteling en toegangsbeveiliging. Hierdoor blijven gegevens beschermd bij verlies of diefstal van een apparaat.

Hosting en datacenters

Productiesystemen worden primair gehost binnen de Europese Economische Ruimte. De gebruikte datacenters beschikken over passende fysieke beveiliging, toegangscontrole, klimaatbeheersing, branddetectie en noodvoorzieningen.

Voor ondersteunende netwerk-, beveiligings- en clouddiensten kunnen gegevens of netwerkverbindingen buiten de primaire hostinglocatie worden verwerkt. Waar persoonsgegevens worden verwerkt, worden passende privacy- en beveiligingsafspraken gemaakt.

Reverse proxy, caching en CDN

Websiteverkeer kan via een beveiligde tussenlaag en een verspreid netwerk van servers worden afgehandeld. Deze voorzieningen functioneren als reverse proxy en kunnen onderdelen van websites tijdelijk cachen.

Hierdoor worden de prestaties, beschikbaarheid en weerbaarheid van websites verbeterd en wordt de rechtstreekse blootstelling van de onderliggende webserver beperkt.

Web Application Firewall

Webapplicaties worden beschermd door een Web Application Firewall. Deze beveiligingslaag controleert binnenkomende verzoeken en kan bekende aanvalstechnieken, misbruikpogingen en verdachte verzoeken detecteren en blokkeren.

Bescherming tegen bots

Geautomatiseerd en ongewenst verkeer wordt herkend en waar nodig beperkt of geblokkeerd. Hiermee wordt misbruik van formulieren, inlogpagina’s, API’s en andere onderdelen van websites tegengegaan.

Bescherming tegen DDoS-aanvallen

Er worden maatregelen toegepast om grote hoeveelheden ongewenst netwerkverkeer op te vangen en te filteren. Hierdoor wordt het risico verkleind dat websites en applicaties door een DDoS-aanval onbereikbaar worden.

Beheer van AI-crawlers

Voor websites kan worden ingesteld in hoeverre geautomatiseerde AI-systemen gepubliceerde content mogen verzamelen. Hiermee kan het gebruik van websitecontent door dergelijke systemen worden beperkt.

Deze maatregel heeft voornamelijk betrekking op website- en contentbeheer en geldt niet als primaire maatregel voor de bescherming van persoonsgegevens.

Monitoring

Servers, websites en applicaties worden actief gemonitord. Afwijkingen, storingen en beveiligingsmeldingen kunnen hierdoor tijdig worden gedetecteerd en opgevolgd.

Logging

Relevante beveiligingsgebeurtenissen, toegangspogingen en systeemwijzigingen worden waar passend vastgelegd. Deze logging wordt gebruikt voor monitoring, onderzoek naar incidenten en verbetering van de beveiliging.

Incidentmanagement

Beveiligingsincidenten worden geregistreerd, onderzocht en afgehandeld volgens een vastgesteld incidentmanagementproces.

Wanneer een incident mogelijk gevolgen heeft voor persoonsgegevens, wordt beoordeeld of sprake is van een datalek. Datalekken worden volgens de gemaakte afspraken en geldende wettelijke verplichtingen gemeld en afgehandeld. Het interne informatiebeveiligingsbeleid bevat afspraken over het melden van incidenten.

Productieomgevingen

Toegang tot productieomgevingen is beperkt tot geautoriseerde medewerkers die deze toegang nodig hebben voor hun werkzaamheden. Toegangsrechten worden periodiek beoordeeld en waar nodig aangepast of ingetrokken.

Update- en upgradebeleid

Frontis voert voor zijn applicaties een actief update- en upgradebeleid. Applicaties worden periodiek voorzien van relevante beveiligingsupdates.

De frequentie en omvang van upgrades kunnen afhankelijk zijn van de gebruikte techniek, het risicoprofiel, de gemaakte klantafspraken en de ondersteuning door de leverancier van de gebruikte software.

Encryptie

Wachtwoorden worden niet in leesbare vorm opgeslagen. Hiervoor worden passende cryptografische technieken gebruikt. Ook andere gevoelige gegevens en instellingen worden waar passend versleuteld opgeslagen.

Validatie

Applicaties bevatten controles op ingevoerde gegevens aan zowel de gebruikerszijde als de serverzijde. Hiermee wordt ongewenste of schadelijke invoer zo veel mogelijk voorkomen.

Veilige foutafhandeling

Foutmeldingen worden zo weergegeven dat geen onnodige technische details, persoonsgegevens of andere vertrouwelijke informatie aan onbevoegden worden prijsgegeven.

Rechten en rollen

Elke medewerker beschikt over een persoonlijk account en krijgt uitsluitend de rechten die nodig zijn voor de uitvoering van de functie. Toegang wordt beheerd volgens het principe van minimale bevoegdheden.

Rollen en verantwoordelijkheden voor informatiebeveiliging zijn vastgelegd binnen het managementsysteem van Frontis.

Leveranciers en subverwerkers

Leveranciers en subverwerkers die toegang hebben tot persoonsgegevens of deze namens Frontis verwerken, worden beoordeeld op passende privacy- en beveiligingsmaatregelen.

Waar vereist worden contractuele afspraken gemaakt over gegevensbescherming, informatiebeveiliging, vertrouwelijkheid, incidentmelding en de inzet van andere subverwerkers.

Geheimhouding

Medewerkers zijn contractueel gebonden aan geheimhouding. Vertrouwelijke informatie en persoonsgegevens mogen uitsluitend worden gebruikt voor de uitvoering van de werkzaamheden waarvoor toegang is verleend.

Werkplekbeveiliging

Medewerkers zorgen ervoor dat vertrouwelijke informatie niet onbeheerd achterblijft. Apparatuur wordt vergrendeld wanneer een medewerker de werkplek verlaat. Toegang tot kantoor- en werkruimten is beperkt tot bevoegde personen.

Bewustwording en training

Medewerkers worden periodiek geïnformeerd en getraind op het gebied van informatiebeveiliging en privacy. Daarbij wordt onder andere aandacht besteed aan phishing, social engineering, veilig gebruik van systemen en het melden van incidenten.

Bewustwordingsactiviteiten en controles maken aantoonbaar deel uit van de beveiligingsaanpak van Frontis.

Risicobeoordeling en verbetering

Beveiligingsmaatregelen worden periodiek beoordeeld en aangepast wanneer risico’s, technieken, wetgeving of bedrijfsprocessen veranderen. Beveiligingsrisico’s en verbetermaatregelen worden binnen het managementsysteem geregistreerd en opgevolgd.