Beveiliging
Organisatorisch
ISO 27001-gecertificeerd
Een onafhankelijke auditor controleert onze beveiliging elk jaar. Niet omdat we van audits houden - het is niet onze favoriete dag van het jaar - maar omdat "vertrouw ons" niet goed genoeg is. De certificering dekt de hele organisatie, inclusief risicobeoordelingen, toegangsbeheer, incidentrespons en leveranciersbeheer.
Tegelijkertijd is het belangrijk om je bewust te zijn van wat ISO wel - en vooral niet - is.
Download ISO 27001-certificaat → Download Statement of Applicability →
ISO-gecertificeerde datacenters
Biometrische toegang, dieselgeneratoren, brandblussystemen - jouw data staat in meerdere zwaarbeveiligde gebouwen waar zelfs Fort Knox nog een puntje aan kan zuigen. Elke faciliteit is minstens ISO-gecertificeerd.
Bekijk onze datacenters →
Europees & AVG-compliant
Jouw data staat in Europa, wordt beheerd door een Europees team en blijft op Europese bodem, op onze eigen hardware. Geen Amerikaans moederbedrijf dat jouw data stilletjes doorsluist naar "verwerkingspartners" in Verweggistan.
Lees wat we over Europa vinden →
Screening
Iedereen bij Cyberfusion is uitgebreid gescreend, en bezit een door de overheid verstrekte Verklaring Omtrent het Gedrag (VOG).
Beveiligingsbewustzijn
Elk teamlid volgt een doorlopende security-awareness-training over phishing, social-engineering, privacy en aangrenzende onderwerpen. Uitgangspunt is dat security voortdurend top-of-mind is zodat het meegewogen wordt bij iedere dagelijkse beslissing. Immers: de meeste security-incidenten uit de geschiedenis begonnen niet met een fikse hack, maar doordat iemand zo vriendelijk was de deur open te houden voor een vreemde.
Identiteitsverificatie via het platform
Wil je confidentiële informatie opvragen, of een wijziging laten doorvoeren? Dat gaat altijd via het beveiligde platform. Krijgen we toch zo'n verzoek binnen per e-mail of telefoon, dan verwijzen we je door: iedereen kan tenslotte net doen alsof die Bill Gates is.
Technisch
Meerdere datacenters
Onze diensten draaien op geografisch gescheiden locaties. Als een heel datacenter offline gaat, hebben we de technische mogelijkheid om jullie diensten - in uitzonderlijke gevallen - te verplaatsen. Back-ups staan ook nog eens elders.
Bekijk onze datacenters →
Periodiek onderhoud
We verbeteren en updaten onze infrastructuur continu. Minstens één keer per maand voeren we updates uit.
Doorlopende security-patching
We houden nieuwe kwetsbaarheden continu in de gaten. Als een update uit veiligheidsoverwegingen niet kan wachten, voeren we die direct door om jullie data veilig te houden. Dat hoor je dan altijd van ons.
Lees hoe we een recente kwetsbaarheid hebben aangepakt →
Moderne internetstandaarden
IPv6, DNSSEC, RPKI en een schare andere moderne internetstandaarden - die projecten veiliger maken - zijn standaard. Internet.nl heeft ons opgenomen in hun Hall of Fame.
Bekijk de Internet.nl Hall of Fame → Bekijk RPKI op Routinator →
Core: namespacing
Op Core wordt standaard namespacing toegepast (voor UNIX users & FPM pools) middels Linux-namespaces. Binnen namespaces zijn alle SUID-binaries onbruikbaar (zoals sudo): dat maakt de kans op misbruik van Local Privilege Escalation (LPE)-kwetsbaarheden nihil.
Jouw tools
Dwing twee-factor-authenticatie af
Wil je al jouw team-leden verplichten om met twee-factor-authenticatie (2FA / TOTP) in te loggen? Zet het schuifje aan en het is geregeld.
Losse inloggegevens per persoon / audit-log
Elk van jouw teamleden heeft een eigen set inloggegevens om in te loggen op het platform. Daardoor kun je precies zien wie wat wanneer gedaan heeft. Op het platform vind je onder 'Activity log' ook alle API-calls, sessies en mutaties terug.
Core: MariaDB database encryption at rest
In Core is het mogelijk om databases 'at rest' te encrypten: als men toegang zou hebben tot de 'rauwe' database-bestanden, is de data niet leesbaar en dus onbruikbaar. Database-encryptie aanzetten? Dat doe je via Core, of vraag het ons.
Transparantie
Responsible disclosure
Een onvolkomenheid in onze systemen gevonden? We horen het graag.
Bekijk ons responsible disclosure-beleid →