Zo werken wij veilig
Hoe we werken telt net zo zwaar als wat we bouwen
Hier staat hoe we omgaan met infrastructuur, toegang, data en wijzigingen. Bedoeld voor de IT-verantwoordelijke of compliance-lezer die wil weten wat er achter onze software zit.
Infrastructuur
- Onze applicaties draaien op Microsoft Azure, in datacenters in Europa.
- Ontwikkel-, acceptatie- en productieomgevingen zijn van elkaar gescheiden. Testen gebeurt nooit op productiegegevens.
- Infrastructuur richten we zoveel mogelijk in als code, zodat een omgeving reproduceerbaar is en wijzigingen herleidbaar zijn.
Toegang
- Inloggen via Microsoft Entra ID met tweestapsverificatie, voor gebruikers en voor ons eigen team.
- Rollen bepalen wie wat ziet en mag. Iedereen krijgt de minimale toegang die nodig is voor zijn werk.
- Toegang van medewerkers is persoonlijk en herleidbaar. Sleutels en wachtwoorden staan in Azure Key Vault, nooit in code.
Data
- Gegevens zijn versleuteld in rust en onderweg.
- Back-ups draaien automatisch in Azure en herstel wordt periodiek getest.
- Persoonsgegevens verwerken we volgens de AVG, met een verwerkersovereenkomst en afgesproken bewaartermijnen. Data blijft binnen de EU.
Wijzigingen en releases
- Alle code staat in versiebeheer en wordt door een collega beoordeeld voordat hij live gaat.
- Builds en deployments zijn geautomatiseerd. Een release gaat eerst naar de acceptatieomgeving en na akkoord naar productie.
- Elke release kan worden teruggedraaid. Wat er wanneer veranderde, is achteraf na te gaan.
Beheer en monitoring
- Applicaties worden bewaakt op beschikbaarheid en fouten. Bij een storing weten wij het voordat jij belt.
- Frameworks en pakketten houden we actueel, inclusief beveiligingsupdates en het einde van ondersteuning van platformversies.
- Reactietijden, beschikbaarheid en rapportage staan in de SLA die bij de beheerovereenkomst hoort.
Wet- en regelgeving
- We kennen DORA en NIS2 en weten wat die vragen van financiële instellingen en hun ICT-leveranciers: contractuele afspraken, incidentmelding en inzicht in risico's bij derden.
- We werken mee aan leveranciersbeoordelingen en due diligence en leveren de documentatie die daarvoor nodig is.
- We richten onze processen in langs de lijnen van ISO 27001. Certificering staat op de planning.
Dezelfde uitgangspunten, ook buiten .NET
C#, .NET en Azure zijn onze specialiteit. Kiezen we voor een situatie een andere techniek, zoals Next.js en Vercel voor een marketingsite, dan gelden dezelfde uitgangspunten voor toegang, data en wijzigingen.
Vragen van je compliance-afdeling?
Stuur je leveranciersvragenlijst of plan een gesprek met ons. We beantwoorden de vragen en leveren de documentatie die je nodig hebt.