Security
Wij verwerken weinig gegevens en beschermen ze zorgvuldig. Hieronder staat wat wij doen, en ook wat wij niet doen.
Hoe wij uw gegevens beschermen
Gescheiden klantgegevens
Elke tabel met klantgegevens is gekoppeld aan één organisatie. De database dwingt af dat gebruikers alleen gegevens van hun eigen organisatie zien of wijzigen. De server controleert dit nog een keer. Geautomatiseerde tests met twee testorganisaties bewaken dit bij elke wijziging.
Inloggen
E-mailadres bevestigen is verplicht. Wachtwoorden hebben minimaal 12 tekens. Tweestapsverificatie met een authenticator-app is beschikbaar voor klanten en verplicht voor onze beheerders. Herhaalde mislukte pogingen worden tijdelijk geblokkeerd, en een CAPTCHA remt geautomatiseerd raden.
Rollen en rechten
Binnen uw organisatie zijn er drie rollen: eigenaar, beheerder en lezer. Wijzigingen in leden en rollen worden vastgelegd in een auditlog dat niet achteraf aan te passen is.
Webbeveiliging
Versleutelde verbindingen, een strikte Content Security Policy en beveiligingsheaders. Geheime sleutels staan alleen op de server, nooit in uw browser.
Back-ups
De database staat in een datacenter in de EU. Vóór elke databasewijziging maken wij een back-up, en het terugzetten van een back-up is getest.
Ontwikkeling
Elke wijziging doorloopt automatische tests, een scan op gelekte geheimen en een controle van afhankelijkheden voordat die live gaat.
Welke gegevens wij verwerken
Alleen wat nodig is voor de dienst: uw e-mailadres, de gegevens van uw organisatie, het technologieprofiel dat u opgeeft en uw feedback op signalen. Geen netwerkgegevens, logbestanden of inhoud uit uw systemen.
Meer hierover in de privacyverklaring.
Hoe wij AI inzetten
Een taalmodel helpt bronteksten samen te vatten in begrijpelijk Nederlands. Daarbij gelden vaste regels:
- Bronteksten zijn alleen data; instructies daarin worden genegeerd
- Geen kwetsbaarheden, versies of misbruikstatus zonder bron
- Geen verzending bij twijfel, verouderde bronnen of mislukte controle
- Het taalmodel kan niets uitvoeren en geen netwerkverzoeken doen
Wat wij niet doen
- Wij scannen uw netwerk, systemen of website niet
- Wij hebben geen toegang tot uw omgeving
- Wij bieden geen 24/7 monitoring en geen incidentrespons
- Wij garanderen niet dat alle relevante dreigingen worden gevonden
Kwetsbaarheid gevonden?
Wij stellen het op prijs als u een zwakke plek in CyberBesluit meldt, zodat wij die kunnen oplossen voordat iemand er misbruik van maakt.
Mail naar security@cyberbesluit.nl met een beschrijving, de stappen om het na te bootsen en uw contactgegevens. Ook te vinden in security.txt.
Wat wij toezeggen
- Binnen 5 werkdagen een inhoudelijke ontvangstbevestiging
- Wij houden u op de hoogte van de oplossing
- Geen juridische stappen bij een melding te goeder trouw volgens deze regels
- Vermelding van uw naam na de oplossing, als u dat wilt
Wat wij van u vragen
- Geen gegevens van anderen inzien, wijzigen of bewaren
- Geen denial-of-service, spam of social engineering
- Geen accounts of organisaties van anderen gebruiken
- De kwetsbaarheid niet delen voordat wij die hebben opgelost
Onze diensten zijn niet bedoeld voor scans of tests van klantomgevingen. Meld alleen kwetsbaarheden in CyberBesluit zelf.