Beveiliging

Beveiligde infrastructuur

Onze diensten worden gehost op de infrastructuur van Amazon Web Services (AWS). Wij hosten of beheren geen eigen routers, load balancers, DNS-servers of fysieke servers. De datacenters van Amazon zijn voorzien van 24 uur per dag bemande beveiliging, biometrische toegangscontrole, videobewaking en fysieke sloten. Alle systemen, netwerkapparaten en verbindingen worden voortdurend bewaakt. De AWS-faciliteiten zijn gecertificeerd volgens ISO 27001, SOC 1 en SOC 2/SSAE 16/ISAE 3402 (voorheen SAS 70 Type II), PCI Level 1, FISMA Moderate en Sarbanes-Oxley (SOX). Lees meer over de beveiliging van AWS.

Gehost in de VS of de EU – de keuze is aan u

Verenigde Staten – bediend door datacentra en subverwerkers die in de VS zijn gevestigd, waarbij onze belangrijkste diensten worden gehost in Noord-Virginia; en de Europese Unie – bediend door datacentra in de EU, waarbij onze belangrijkste diensten worden gehost in Frankfurt, Duitsland. Sommige subverwerkers, zoals die voor e-mailverzending, betalingen, foutregistratie, applicatiebewaking en optionele AI-content en beeldgeneratie, verwerken gegevens buiten de EU. Op onze pagina over subverwerkers vindt u een overzicht van alle subverwerkers en de locaties waar zij gegevens verwerken.

Altijd versleuteld

Versleuteling tijdens verzending – Alle gegevens die naar of vanuit onze infrastructuur worden verzonden, worden tijdens de verzending versleuteld volgens de beste praktijken in de sector, met behulp van Transport Layer Security (TLS 1.2 of 1.3). Onze SSL-configuratie krijgt van Qualys SSL Labs een A+ beveiligingsbeoordeling.

Versleuteling in rust – Al onze gebruikersgegevens worden in onze databases versleuteld met behulp van het beproefde AES256-versleutelingsalgoritme.

Veilige betalingen

Wij houden ons niet bezig met het verwerken of opslaan van creditcardnummers – uw kaartgegevens worden rechtstreeks vastgelegd en veilig opgeslagen door Braintree (een PayPal-onderneming), onze betalingsprovider. Braintree is gecertificeerd als PCI Level 1-conform en staat vermeld als Visa® Global Compliant Provider en MasterCard® Compliant Provider (SDP). Wij voeren jaarlijks een PCI DSS-zelfbeoordeling uit in samenwerking met Braintree. Lees meer over de beveiliging en naleving door Braintree.

Monitoring van de beveiliging van applicaties

• Wij maken gebruik van een oplossing voor beveiligingsmonitoring om inzicht te krijgen in de beveiliging van onze applicaties, aanvallen te detecteren en snel te reageren op een datalek.
• Wij maken gebruik van technologieën om uitzonderingen en logbestanden te monitoren en afwijkingen in onze applicaties op te sporen.
• Wij verzamelen en bewaren uitgebreide logbestanden om een controlespoor van de activiteiten binnen onze applicaties te kunnen bieden. Onze logbestanden vormen de basis voor geautomatiseerde waarschuwingen, die door ons team worden onderzocht.
• Beveiligingsincidenten worden geregistreerd en bij kritieke aanvallen worden meldingen verzonden, zodat deze snel kunnen worden verholpen.

Beveiliging van applicaties

• Wij maken gebruik van de Amazon Web Application Firewall om onze gebruikers te beschermen tegen een breed scala aan kwetsbaarheden. AWS WAF biedt bescherming tegen de meest kritieke categorieën aanvallen, zoals SQL-injecties en cross-site scripting. Het blokkeert aanvallen in realtime en waarschuwt ons wanneer aanvallers onze applicaties onder druk zetten.
• De formulieren op onze website maken gebruik van Cloudflare Turnstile om bots te blokkeren.
• Wij maken gebruik van beveiligingsheaders om onze gebruikers tegen aanvallen te beschermen. Onze diensten hebben van SecurityHeaders.io het cijfer A+ gekregen.

Incidentbeheer

Vermoedelijke beveiligingsincidenten, waaronder alle inbreuken op de logische en fysieke beveiliging, worden geregistreerd, bijgehouden en opgelost volgens ons beleid en onze procedures inzake incidentbeheer. Waar dit krachtens de toepasselijke wetgeving, waaronder de EU-wet inzake cyberweerbaarheid, vereist is, stellen wij de relevante autoriteiten (zoals ENISA) binnen de voorgeschreven termijnen in kennis van significante beveiligingsincidenten. Indien een inbreuk op persoonsgegevens gevolgen heeft voor uw gegevens, zullen wij de betrokken klanten hiervan zonder onnodige vertraging en binnen 48 uur na bevestiging op de hoogte stellen. Wij stellen toezichthouders en betrokken personen in kennis zoals de wet dat voorschrijft. Mocht u vragen hebben of vermoeden dat er zich een incident heeft voorgedaan, neem dan contact op met security@groupmap.com.

Rapportage van stilstand

Zodra wij incidenten hebben vastgesteld die de beschikbaarheid beïnvloeden, plaatsen wij deze op onze statuspagina. Bij een incident met de ernstgraad ‘Hoog’ of ‘Kritiek’ (zoals vastgesteld in ons Incidentbeheerbeleid) sturen wij tevens een e-mail naar de door onze zakelijke klanten aangewezen contactpersonen. Ons hostingplatform zorgt er doorgaans voor dat er geen downtime nodig is wanneer wij wijzigingen aanbrengen in onze diensten. Wij plannen onderhoudswerkzaamheden om verstoringen tot een minimum te beperken en vermelden deze op onze statuspagina.

Uw privacy wordt beschermd

U blijft eigenaar van uw gegevens; deze zijn uitsluitend toegankelijk voor degenen met wie u ervoor kiest deze te delen. TeamRetro (en het GroupMap Technology-team) heeft alleen in beperkte gevallen toegang tot uw gegevens, bijvoorbeeld wanneer dit wettelijk vereist is of om technische ondersteuning te verlenen. Uitgebreide informatie hierover vindt u in het privacybeleid van TeamRetro.

Bewaring en verwijdering van gegevens

Wij bewaren de gegevens van onze gebruikers gedurende een periode van 365 dagen na afloop van hun proefperiode of abonnement. Daarna worden alle gegevens volledig uit de applicatie verwijderd. Gebruikers kunnen te allen tijde verzoeken om verwijdering van hun gegevens door hun account te verwijderen of contact op te nemen met de klantenservice van TeamRetro. Lees meer over onze privacy-instellingen in ons privacybeleid.

Bedrijfscontinuïteit en noodherstel

Wij maken back-ups van al onze kritieke bedrijfsmiddelen en voeren regelmatig testherstelprocedures uit om een snel herstel te garanderen in geval van een ramp. Elke 24 uur maken wij een volledige back-up van de klantgegevens. De back-ups worden veilig versleuteld en gedurende 30 dagen bewaard, waarna zij op veilige wijze worden vernietigd. Wij hebben plannen voor bedrijfscontinuïteit en rampenherstel opgesteld en evalueren deze jaarlijks.

Veilig programmeren

Onze ontwikkelaars zijn verplicht zich te houden aan ons formeel vastgelegde beleid inzake applicatiebeveiliging en de beste praktijken en raamwerken op het gebied van beveiliging (OWASP Top 10, SANS Top 25) na te leven. Wij hanteren de volgende beste praktijken om het hoogste beveiligingsniveau in onze software te waarborgen:

• Ontwikkelaars nemen deel aan regelmatige beveiligingstrainingen om meer te weten te komen over veelvoorkomende kwetsbaarheden en bedreigingen
• Elke wijziging wordt door collega’s beoordeeld, ook wat betreft beveiligingskwetsbaarheden: indien mogelijk voordat deze wordt samengevoegd, en anders achteraf, tijdens een maandelijkse beoordeling van alle wijzigingen die zonder goedkeuring zijn samengevoegd. Productiereleases moeten tevens worden goedgekeurd voordat ze worden geïmplementeerd.
• Wij werken onze afhankelijkheden regelmatig bij en zorgen ervoor dat geen van deze bekende kwetsbaarheden vertoont
• Wij maken gebruik van Static Application Security Testing (SAST) om elementaire beveiligingskwetsbaarheden in onze codebase op te sporen
• Wij maken gebruik van Dynamic Application Security Testing (DAST) om onze applicaties te scannen
• Door gebruik te maken van Datadog kunnen wij kwetsbaarheden die aan het licht zijn gekomen door beveiligingstests, audits of het programma voor het melden van kwetsbaarheden, efficiënter verhelpen. Elke productierelease wordt gescand op componenten met bekende kwetsbaarheden, en Dependabot stelt wekelijks updates voor de afhankelijkheden voor.

Kwetsbaarheidsscans

TeamRetro wordt maandelijks, en na belangrijke releases, door intruder.io gescand om mogelijke kwetsbaarheden in de infrastructuur, het platform en de applicaties op te sporen. Eventuele geïdentificeerde kwetsbaarheden worden beoordeeld en verholpen in overeenstemming met ons beleid inzake applicatiebeveiliging.

Penetratietests

Wij laten regelmatig onafhankelijke penetratietests uitvoeren om de beveiliging van het TeamRetro-platform te toetsen. Wij lossen alle kritieke problemen binnen 48 uur op en problemen met een hoge ernstgraad binnen 7 dagen.

Risicobeoordelingen

Er wordt jaarlijks een risicobeoordeling uitgevoerd om bedreigingen en kwetsbaarheden voor de TeamRetro-systemen in kaart te brengen. Op basis van de resultaten van de risicobeoordeling worden risicobeperkende maatregelen uitgewerkt.

Beveiliging van het systeem

CONTAINERISATIE VAN SERVERS – TeamRetro maakt gebruik van OS-containerisatie via AWS Fargate om ervoor te zorgen dat de toegang tot de gegevens en code van TeamRetro op de juiste wijze wordt beperkt. Alle diensten van TeamRetro draaien op speciale rekenresources die zijn geïsoleerd in hun eigen virtuele netwerk.

TIJDELIJKE BESTANDSYSTEMEN OP DE SERVER – De servers van TeamRetro maken gebruik van een tijdelijk bestandssysteem, dat minimaal één keer per dag, of telkens wanneer er een nieuwe versie wordt geïmplementeerd, wordt teruggezet naar een nieuwe kopie van de meest recent geïmplementeerde code.

SYSTEEMUPDATES – Er worden voortdurend updates op platformniveau (besturingssysteem, systeembibliotheken en services) uitgevoerd voor de TeamRetro-applicatie- en databaseservers.

PATCHES VOOR TOEPASSINGEN – TeamRetro zorgt voortdurend voor het aanbrengen van patches voor toepassingen (toepassingsbibliotheken enz.).

COMPUTERS – Alle apparatuur van het team (zoals laptops en desktopcomputers voor ontwikkeling) maakt gebruik van versleutelde opslag en wordt beschermd door up-to-date antivirussoftware.

Uitgebreide logboekregistratie

Wij houden uitgebreide logbestanden bij van elke transactie in het systeem, met specifieke registratie van inlogpogingen. Ons team maakt gebruik van deze logbestanden en de geautomatiseerde waarschuwingen die hieruit voortvloeien om pogingen tot ongeoorloofde toegang te onderzoeken.

De toegang van ons team

• Ons team heeft alleen toegang tot gebruikersgegevens met toestemming van ons beveiligingsteam, en uitsluitend wanneer dit wettelijk vereist is of om technische ondersteuning te verlenen. Uitgebreide informatie hierover vindt u in ons privacybeleid.
• Onze medewerkers en contractanten ondertekenen een geheimhoudings- en vertrouwelijkheidsovereenkomst om de gevoelige informatie van onze klanten te beschermen.
• Onze medewerkers en ingehuurde krachten worden gescreend door een toonaangevende dienst voor achtergrondonderzoek.
• Het toegangsniveau van elk van onze medewerkers wordt bepaald op basis van de behoefte, periodiek geëvalueerd en ingetrokken indien dit niet langer noodzakelijk is. Wij hanteren meervoudige authenticatie voor alle kritieke TeamRetro-systemen.
• Voor beheerderstoegang is tweefactorauthenticatie vereist.

Verantwoorde openbaarmaking

Wij moedigen iedereen die zich houdt aan de beginselen van verantwoorde melding en onze beleidsregels en gebruiksvoorwaarden naleeft, aan om deel te nemen aan ons programma voor het melden van kwetsbaarheden. Vermijd alstublieft geautomatiseerde tests en voer beveiligingstests uitsluitend uit met uw eigen gegevens. Maak alstublieft geen informatie over de kwetsbaarheden openbaar totdat wij deze hebben verholpen. Wij kunnen, naar eigen goeddunken, erkenning toekennen voor rapporten van hoge kwaliteit die een grote impact hebben. Lees meer over het programma voor verantwoorde melding van TeamRetro.