Hosting en beveiligingCuraçao
Hosting en beveiligingCuraçao
Een agent die uw documenten leest, is maar zo veilig als de machine waarop hij draait. De gebruikelijke manier om een applicatie online te zetten is een poort openen en die verdedigen. Wij openen de poort niet.
App, data en agents op een server zonder publieke poorten.
Directe pogingen stoppen bij de muur. De server accepteert niets van buitenaf.
De server legt zelf contact en opent de tunnel, van binnenuit.
Bezoekers bereiken de edge en komen alleen via de tunnel binnen.
Engineers beheren hem via een privé-mesh. Verder niemand.
Elke nacht offsite gekopieerd, en daarna nog eens, versleuteld, naar een apart account.
Bezoekers bereiken de edge. De edge bereikt uw server alleen via de tunnel die de server zelf opende. Al het andere stopt bij de muur.
Publiek verkeer komt binnen via een uitgaande tunnel en het beheer loopt over een versleutelde privé-mesh. Database- en beheerpoorten zijn niet bereikbaar vanaf het internet.
Gezondheid, schijfruimte, geheugen, certificaten en uptime worden dag en nacht bewaakt, en meldingen gaan rechtstreeks naar onze telefoons. Een tweede machine controleert of de monitoring zelf nog draait.
Elke nacht wordt elke database offsite gekopieerd en daarna nog eens, versleuteld, naar een apart account. Eén gestolen login kan ze niet allebei verwijderen.
Eens per maand zet een automatische test de laatste back-up van elke database terug op een wegwerpmachine en controleert die.
Elke week controleren we de software op onze servers op bekende beveiligingslekken. Elke dag controleren we elke WordPress-site die we hosten.
Een AI-assistent leest de monitoring-, update- en back-uplogs voor onze engineer, en elk antwoord vermeldt waar hij heeft gekeken.
In plaats van in elk dashboard in te loggen, stelt onze engineer een vraag. De operator controleert de machines, leest de logs en antwoordt met wat hij vond en waar hij het vond.
Hij kan een oplossing voorstellen, en een mens beslist of die wordt uitgevoerd.
Voorbeeldgesprek. Hostnamen en cijfers verwijderd.
We schreven onze eigen beveiligingsstandaard en koppelden elke regel aan de frameworks waar een auditor of een inkoopteam naar zal vragen. De tabel laat zien waar we vandaag staan ten opzichte van elk daarvan. Waar 'in uitvoering' staat, is het werk nog gaande.
| Standaard | Wat het vraagt | Waar we staan | Status |
|---|---|---|---|
| CIS Controls v8Implementation Group 1 | Basale beveiligingshygiëne: ken uw machines, patch ze, maak er back-ups van, configureer ze veilig. | De basis is onderdeel van hoe elke server wordt beheerd: een inventaris, patchrapporten, geteste back-ups en gesloten netwerken. | Ingevoerd |
| NIST CSF 2.0Zelfbeoordeling | Een manier om volwassenheid te meten op identificeren, beschermen, detecteren, reageren en herstellen. | Gebruikt als onze maatstaf tussen formele audits. Elke functie heeft maatregelen in onze standaard. | In gebruik |
| OWASP ASVS 4.0.3Niveau 1 en 2 | Hoe applicaties omgaan met inloggen, sessies, invoer, toegangscontrole en geheimen. | Het meeste zit standaard in elke app die we maken. De resterende punten worden app voor app afgerond. | In uitvoering |
| AVGEU 2016/679 | De wet over persoonsgegevens: doel, minimalisatie, bewaartermijnen, rechten, meldplicht bij datalekken. | De technische maatregelen zijn ingevoerd. De documenten erachter (gegevenskaarten, verwerkersovereenkomsten, bewaarschema's, een datalekprocedure) worden nu geschreven. | In uitvoering |
| ISO/IEC 27001:2022Certificering | Een gecertificeerd managementsysteem voor informatiebeveiliging, elk jaar geaudit. | De meeste technische maatregelen worden al gedekt door onze standaard. Het managementsysteem eromheen volgt, te beginnen zodra een klant het certificaat nodig heeft. | Gepland |
| BIO2Baseline van de Nederlandse overheid | Jaarlijks bewijs dat een leverancier van Nederlandse overheidsorganisaties voldoet aan de beveiligingsbaseline van de overheid. | ISO 27001 is de gebruikelijke manier om dat aan te tonen, en dat is de route die we willen volgen. | Gepland |
| SOC 2 Type IIAmerikaanse attestatie | Een rapport van een Amerikaanse auditor dat de maatregelen gedurende een periode van maanden elke dag hebben gewerkt. | Niet nagestreefd, tenzij een Amerikaanse klant het vereist. Klanten in het Caribisch gebied en Europa vragen meestal om ISO 27001. | Niet gepland |
Onze standaard beslaat elf gebieden, en elke regel is gekoppeld aan de clausule waar een auditor naar zal vragen. Als uw inkoopteam een beveiligingsvragenlijst stuurt, bestaan de antwoorden al.
Het assessment brengt in kaart waar uw data staat.
