Beveiliging
We zijn bij OverNite Software Europe BV (OSE) dagelijks bezig om de veiligheid van onze applicaties te waarborgen. Daarom hebben we uitgebreide procedures en processen voor onze datacenters, netwerken en applicaties om de data van onze klanten continu te beschermen.
De veiligheid en vertrouwelijkheid van de gegevens heeft onze hoogste prioriteit. We zijn dan ook al jaren ISO 27001:2017 gecertificeerd.
We hanteren branchestandaard beveiligingsmaatregelen om de bescherming van gegevens te waarborgen. Desondanks kan de veiligheid van informatie nooit volledig worden gegarandeerd. We aanvaarden geen aansprakelijkheid voor de onderschepping of onderbreking van communicatie via het internet, evenals voor eventuele wijzigingen in of verlies van informatie.
Om de informatie van klanten te beschermen, kan het nodig zijn om het gebruik van een website/software applicatie op te schorten, zonder voorafgaand bericht, in afwachting van een onderzoek, als er een inbreuk op de veiligheid wordt vermoed.
Datacenters en servers
De applicaties die we ontwikkelen en beschikbaar stellen aan klanten staan altijd op servers die eigendom zijn van OSE. Deze servers zijn ondergebracht in gespecialiseerde datacenters.
Datacenters
Onze servers staan fysiek bij datacenters die voldoen aan de strengste fysieke en digitale beveiligingsmaatregelen. Er is camerabewaking en datacenters worden 24/7 door beveiligingspersoneel bewaakt. De datacenters hebben meervoudige omgevingswaarborgen en back-upsystemen voor energiebeheer, waaronder brandbestrijding, connectiviteit, verwarming, ventilatie en airconditioning, met minimaal N+1 redundantie.
De fysieke toegang tot de servers is enkel mogelijk door geautoriseerde medewerkers.
De datacenters zijn ISO27001 en BORG3 gecertificeerd.
Servers
De servers waarop onze applicaties staan zijn in ons eigen beheer en eigendom. Dat geeft ons volledige controle.
De gehele infrastructuur is redundant uitgevoerd en heeft diverse failover mechanismen om de beschikbaarheid te garanderen.
Van de systemen worden er regelmatige back-ups gemaakt en deze worden op meerdere locaties, zowel on- als offline opgeslagen.
Beheertoegang tot servers is enkel mogelijk via een veilige verbinding en met goedgekeurde apparaten, waarbij het principe van least privilege access wordt toegepast. Dit minimaliseert het risico op ongeautoriseerde toegang.
Om storingen zo snel mogelijk op te merken en te verhelpen worden servers continue gemonitord en is er een actief signaleringsprotocol in werking. Daarnaast wordt gelet op performance en capaciteit van de servers en waar nodig pro-actief actie ondernomen.
Netwerkbeveiliging
Er wordt gewerkt met gescheiden netwerken, zowel fysiek als virtueel. Daarnaast zijn er zogenaamde Intrusion Detection Systems (IDS) en Intrusion Prevention Systems (IPS) actief om verdacht netwerkverkeer te detecteren en preventief te blokkeren. Hiermee kunnen ook DDoS aanvallen afgevangen worden.
Er wordt periodiek een penetratietest uitgevoerd om te controleren of alle beveiligingsmechanismen goed functioneren, en waar nodig aan te passen.
Data-encryptie
We gebruiken krachtige encryptietechnologieën om passieve klantdata en klantdata-in-transit te beschermen. OSE maakt gebruik van het AES-algoritme (Advanced Encryption Standard) met een ‘key size’ van 256 bits.
Alle softwareapplicaties van OSE maken gebruik van SSL (Secure Socket Layer). Hierdoor is alle informatie tijdens het transport vertrouwelijk en niet leesbaar voor derden.
Transport Layer Security (TLS) beschermt gebruikerstoegang via internet en beveiligt het netwerkverkeer tegen passief afluisteren, actieve sabotage of vervalsing.
Data at rest, zoals o.a. backups, worden met eenzelfde versleuteling opgeslagen.
Applicatie
Elke stap in ons proces voor de ontwikkeling, het testen en implementeren van applicaties is erop gericht de veiligheid van onze producten te waarborgen.
Ontwikkelprocedure
OSE ontwikkelt software volgens de OTAP-methode: Ontwikkeling, Test, Acceptatie, en Productie. Een nieuwe release start in de ontwikkelomgeving, gaat naar de testomgeving voor interne tests, vervolgens naar de acceptatieomgeving voor klantentests, en uiteindelijk naar de productieomgeving. Deze aanpak minimaliseert de kans op fouten in de productieomgeving. Daarbij geldt voor iedere stap dat er goedkeuring nodig is van een tweede ontwikkelaar die de code controleert. Het zogenaamde vierogenprincipe. Hiermee worden fouten nog verder beperkt.
Applicatiebeveiliging
Aan de hand van meerdere maatregelen in de software wordt geprobeerd het misbruiken of het verkrijgen van onrechtmatige toegang te voorkomen. Zo wordt alle binnenkomende data gecontroleerd of deze voldoet aan verschillende voorwaarden. Onjuiste input en andere security incidenten, zoals foutieve loginpogingen en ongeautoriseerde acties worden gelogd zodat deze altijd terug te vinden zijn. Overige acties in de applicatie worden gelogd in een gedetailleerde audittrail waardoor ten alle tijden terug te vinden is welke wijzigingen door welke gebruiker gedaan zijn.
De gegevens van klanten worden volledig gescheiden van elkaar opgeslagen om cross-tenant kwetsbaarheden te voorkomen.
Periodiek wordt er door een extern bedrijf een penetratietest uitgevoerd om zeker te zijn dat onze applicaties nog voldoen aan de veiligheidseisen van moderne applicaties. Eventuele nieuwe bevindingen uit deze test worden geanalyseerd en mogelijk verwerkt in onze applicaties.
Toegang
Om toegang te krijgen tot onze softwareapplicaties verifiëren we elke gebruiker. Inloggen gaat met een unieke loginnaam en wachtwoord. Bij sommige applicaties kan ook gebruik gemaakt worden van tweefactorauthenticatie (2FA), single-sign-on en IP-begrenzing. Na correct inloggen komen gebruikers in hun gepersonaliseerde omgeving terecht.
Wachtwoorden worden opgeslagen op in de vorm van een beveiligde hash, in plaats van het wachtwoord zelf. Voor auditdoeleinden worden zowel niet-geslaagde inlogpogingen als geslaagde inlog/uitlogactiviteiten geregistreerd.
Klanten kunnen zelf middels instellingen ook de toegang beperken of begrenzen. Zo kunnen de wachtwoordregels ingesteld worden en kan de sessie time-out bepaald worden waarbij inactieve sessies automatisch worden uitgelogd. Ook is het voor de klant mogelijk om autorisaties van gebruikers in te stellen. De klant is zelf verantwoordelijk voor de instellingen en gevolgen.
Gebruikers dragen de verantwoordelijkheid voor de veiligheid van hun inloggegevens. Het is verboden inloggegevens met anderen te delen. Ongeoorloofde toegang tot de software is ten strengste verboden en kan juridische stappen tot gevolg hebben.
Contact
Heb je een vraag of opmerking over deze pagina?
Neem dan contact met ons op:
OverNite Software Europe BV
Transportlaan 93
6163 CX Geleen
Nederland