Informatiebeveiligingsbeleid

ISO 27001

Ons managementsysteem voor informatiebeveiliging (ISMS) is ingericht op basis van ISO 27001. Hierin leggen we beleid, risico’s, verantwoordelijkheden en verbetermaatregelen vast. We werken toe naar certificering.

Uitgangspunten

• We stemmen beveiliging af op risico’s en wettelijke en contractuele verplichtingen.
• We beperken toegang tot wat nodig is voor het werk.
• We werken met beheerde apparatuur, goedgekeurde software en vastgelegde processen.
• We leren van incidenten en controles en verbeteren onze werkwijze.

Organisatie

De directie is eindverantwoordelijk. De security officer coördineert informatiebeveiliging en de privacy officer adviseert over de bescherming van persoonsgegevens. Ons personeel is gescreend en krijgt doorlopend instructies en awareness-trainingen, waaronder phishingoefeningen.

Ons pand is beveiligd met toegangsbeperking, een alarmsysteem met alarmopvolging en camerabewaking.

Technische maatregelen

• Centraal beheer: met beheersoftware bewaken we de inrichting, software en updates van onze zakelijke werkplekken. We gebruiken goedgekeurde software en volgen afwijkingen op.
• Toegangsbeveiliging: we beperken en controleren toegangsrechten, gebruiken afzonderlijke beheeraccounts en verplichten multifactorauthenticatie voor beheeraccounts.
• Wachtwoorden en geheimen: we bewaren wachtwoorden, sleutels en andere geheimen in een daarvoor bestemde beveiligde voorziening en delen ze niet via e-mail.
• Veilige overdracht: we dragen geheimen en vertrouwelijke gegevens via beveiligde kanalen over, uitsluitend aan bevoegde ontvangers.
• Controle van verzoeken: bij twijfel over een verzoek om toegang of vertrouwelijke informatie controleren we de identiteit en bevoegdheid via een bekend contactkanaal.
• Werkplek en documenten: we vergrendelen onze werkplek wanneer we die verlaten en laten vertrouwelijke documenten niet onbeheerd achter.
• Detectie en opvolging: XDR-software helpt dreigingen en afwijkend gedrag te detecteren en te beperken. MDR (Managed Detection & Response) ondersteunt de analyse en opvolging van beveiligingsmeldingen door specialisten.
• Logging en monitoring: we registreren relevante beveiligingsgebeurtenissen en beheerhandelingen en onderzoeken verdachte activiteiten.
• Kwetsbaarheden en updates: we beoordelen beveiligingsrisico’s, houden systemen actueel en pakken urgente kwetsbaarheden versneld aan.
• Netwerk en gegevens: we gebruiken toegangsbeperkingen, risicogebaseerde netwerksegmentatie, versleutelde verbindingen en schijfversleuteling op zakelijke werkplekken.
• Back-ups en continuïteit: we beheren back-ups gescheiden van de productieomgeving. Ons beleid voorziet in hersteltesten en afspraken om bij verstoringen de dienstverlening te herstellen.

Leveranciers en onderaannemers

We beoordelen leveranciers op beveiliging, privacy en continuïteit, passend bij hun risico en rol in onze dienstverlening. Met leveranciers die als verwerker persoonsgegevens voor ons verwerken, sluiten we een verwerkersovereenkomst. We maken passende afspraken over incidenten, toegang en het einde van de samenwerking en beoordelen leveranciers periodiek opnieuw.

Incidenten en datalekken

We registreren en onderzoeken incidenten, beperken de impact en nemen maatregelen om herhaling te voorkomen. Bij een datalek informeren we als verwerker de opdrachtgever zonder onredelijke vertraging en ondersteunen we bij eventuele meldverplichtingen. Wanneer XSbyte zelf verwerkingsverantwoordelijke is, melden we datalekken waar wettelijk vereist bij de Autoriteit Persoonsgegevens en informeren we betrokkenen volgens de AVG.

Evaluatie

We beoordelen ons beleid minimaal jaarlijks en bij relevante veranderingen. We gebruiken ervaringen en nieuwe inzichten om onze beveiliging en werkwijze te verbeteren.