Beveiliging is bij ons geen add-on die we er achteraf bij plakken, en ook geen vinkje dat we net voor een audit afvinken. Het bepaalt hoe we het platform ontwerpen, bouwen en beheren. Onze klanten vertrouwen ons hun gegevens toe, en die beschermen is een wezenlijk onderdeel van ons product.
Onze beveiligingsprincipes
Ingebouwd vanaf dag één. Elke nieuwe functionaliteit start met een ontwerpreview en een risicoanalyse, nog voor er één regel code wordt geschreven.
Verdediging in de diepte (defence in depth). We gaan ervan uit dat elke afzonderlijke controle kan falen. Organisatorische maatregelen, zero-trust toegang, encryptie en monitoring zijn gelaagd, zodat één zwakte nooit meteen tot een inbreuk leidt.
Minimale toegang standaard (least privilege). Mensen en systemen krijgen enkel de toegang die ze strikt nodig hebben, en dat voor zo kort mogelijk. Toegang wordt op een vast ritme herzien en ingetrokken wanneer iemand van rol verandert of uit dienst gaat.
Uw gegevens blijven van u. We verzamelen enkel wat het platform nodig heeft, bewaren het enkel zo lang als nodig voor u of wettelijk verplicht, en versleutelen het zowel tijdens verzending als in rust.
Verifiëren, niet aannemen. Geautomatiseerde code- en dependency-scans lopen bij elke wijziging, en onafhankelijke derde partijen testen onze controles via penetratietests en externe audits.
Transparantie. Als een incident uw gegevens raakt, hoort u dat snel en met concrete details van ons.
ISO/IEC 27001:2022-certificering
ISO/IEC 27001 beschrijft de vereisten voor een information security management system (ISMS) en is de meest erkende standaard binnen de ISO/IEC 27000-familie.
Zero Friction beheert een gecertificeerd ISMS. Onze certificering tegen ISO/IEC 27001:2022 is uitgereikt door Brand Compliance en wordt aangehouden sinds december 2022.
Om ons certificaat en onze Statement of Applicability op te vragen, mail naar [email protected]. We beoordelen elke aanvraag en antwoorden snel.
Infrastructuur en architectuur
Hosting. We beheren geen eigen datacenters. Alle kerninfrastructuurleveranciers zijn gecertificeerd volgens ISO/IEC 27001 of beschikken over een SOC 2 Type II-rapport, dat hun fysieke beveiliging, veerkracht en beschikbaarheid dekt.
Beschikbaarheid.
Het platform valt onder een gegarandeerde beschikbaarheid van minstens 99,5%. De volledige voorwaarden staan in onze Service Level Agreement.
Scheiding van omgevingen.
Development, staging en productie draaien in aparte omgevingen met aparte authenticatiemechanismen, en diensten zijn op netwerkniveau geïsoleerd. Productiegegevens worden nooit zonder toestemming van de klant naar een lagere omgeving gekopieerd.
Encryptie.
Klantgegevens worden versleuteld, zowel ‘in transit’ als ‘at rest’.
Privacy en gegevensbeheer
Waar uw gegevens zich bevinden. Kernplatformgegevens worden opgeslagen binnen de Europese Economische Ruimte of de Verenigde Staten. Optionele integraties kunnen andere regio's betrekken; elk daarvan staat vermeld in ons overzicht van subverwerkers.
Hoe lang we ze bewaren. Bewaartermijnen verschillen per type gegeven, en gegevens worden verwijderd zodra hun termijn is verstreken. Het volledige schema staat in ons beleid rond gegevensbewaring.
Product- en applicatiebeveiliging
Secure development.
Beveiligingsvereisten maken vanaf het begin deel uit van projectplanning en risicoanalyse. Architecturen worden ontworpen volgens zero-trust- en privacy-by-design-principes. In de praktijk betekent dit: veilige coderingsstandaarden, regelmatige training van developers, beschermde broncode, beheerde externe bibliotheken, versleutelde en geauthenticeerde gegevensuitwisseling over publieke netwerken, en beveiligings- en acceptatietests voordat iets in productie gaat. Persoonlijke of gevoelige gegevens die voor tests worden gebruikt, worden geanonimiseerd.
Testen en assurance.
We laten jaarlijks een penetratietest van onze omgeving uitvoeren en ondergaan elk jaar interne en externe ISO/IEC 27001-audits.
Incidentrespons en continuïteit
Melding. Als een beveiligingsincident uw gegevens raakt, ontvangt elke getroffen klant binnen 24 uur een eerste melding en binnen 72 uur een gedetailleerde verklaring.
Disaster recovery. Onze gedocumenteerde doelstellingen zijn een Recovery Point Objective van 15 minuten en een Recovery Time Objective van 8 uur. We kunnen gegevens herstellen vanaf elk moment in de voorbije 30 dagen, en we testen herstel tegen echte back-ups elk jaar.
Meld een beveiligingsprobleem
Iets gevonden? Mail naar [email protected].