Grassfeld's Informatiebeveiligingsbeleid

1.

Toegangscontrole van de gebruiker

1.1

Externe gebruikers dienen zich te registreren voor toegang via een beveiligd online proces dat de identiteit van de gebruiker verifieert. Elke gebruiker wordt geverifieerd met behulp van een combinatie van een wachtwoord en multifactorauthenticatie (MFA).

1.2

Toegang wordt uitsluitend verleend op basis van de taken die de gebruiker binnen het systeem moet uitvoeren. Gebruikers krijgen alleen toegang tot functies en gegevens die relevant zijn voor hun rol.

1.3

Accounts met verhoogde rechten worden uitsluitend gebruikt voor het uitvoeren van beheertaken. Alle ongebruikte of overbodige gebruikersaccounts en e-mailadressen worden door de IT-beheerder verwijderd of gedeactiveerd.

Gebruikersaccounts worden bij beëindiging van het dienstverband, contract of overeenkomst onverwijld verwijderd of gedeactiveerd door de IT-beheerder en dienovereenkomstig gedocumenteerd.

Grassfeld staat het gebruik van gedeelde accounts in beginsel niet toe. Indien gedeelde accounts in uitzonderlijke situaties noodzakelijk zijn, worden aanvullende beveiligingsmaatregelen toegepast, waaronder beperkte toegangsrechten, logging van activiteiten en periodieke evaluatie van het gebruik.

Wanneer medewerkers toegang hadden tot gedeelde accounts, worden de toegangsgegevens van deze accounts door de IT-beheerder direct gewijzigd.

2.

Bescherming van gegevens

2.1

Gegevens die worden opgeslagen binnen het Grassfeld-platform en de applicatie worden versleuteld met behulp van actuele en algemeen erkende versleutelingsstandaarden. Voor opgeslagen gegevens wordt onder meer gebruikgemaakt van AES-256-versleuteling en voor gegevensverkeer beveiligde verbindingen via TLS 1.2 of hoger.

Daarnaast worden gegevens continu gemonitord op mogelijke aanvallen en datalekken, met als doel een gedetecteerde aanval direct te beperken.

2.2

Alle gegevens die door Grassfeld worden verwerkt en opgeslagen, worden gecategoriseerd door de beveiligingsfunctionaris en periodiek herzien, minimaal jaarlijks.

Gegevens worden ingedeeld op basis van gevoeligheid en de mogelijke gevolgen voor de bedrijfsvoering bij ongeoorloofde toegang of verlies. Gegevens worden beheerd, beschermd en beveiligd in overeenstemming met het gevoeligheidsniveau van de betreffende categorie.

2.3

Gegevens worden opgeslagen in een meerlaags beveiligde database met strikt beperkte toegankelijkheid. Deze toegang is voorbehouden aan bevoegd personeel dat zich houdt aan de geldende authenticatie-eisen.

Wanneer een gebruiker zijn account verwijdert, worden de bijbehorende gegevens vernietigd conform de geldende bewaartermijnen en interne procedures. Na verwijdering kunnen deze gegevens niet meer actief worden gebruikt of toegankelijk worden gemaakt.

2.4

Grassfeld maakt periodiek beveiligde back-ups van bedrijfskritische systemen en gegevens om de continuïteit, beschikbaarheid en herstelbaarheid van diensten te waarborgen.

Back-ups worden versleuteld opgeslagen en zijn uitsluitend toegankelijk voor bevoegd personeel. Herstelprocedures worden periodiek getest om de betrouwbaarheid en beschikbaarheid van back-ups te verifiëren.

Back-ups van individuele gebruikersgegevens worden uitsluitend bewaard voor zover noodzakelijk voor beveiliging, continuïteit en wettelijke verplichtingen.

2.5

Het delen van persoonlijke en financiële informatie binnen de applicatie is onderworpen aan strikte protocollen en vindt uitsluitend plaats met expliciete toestemming van de gebruiker.

Grassfeld verkoopt geen gegevens aan derden.

Zie het Privacy- en Cookiebeleid voor meer informatie over de verwerking van persoonsgegevens en de rechten van betrokkenen.

3.

Verantwoordelijkheid van medewerkers

3.1

Alle nieuwe medewerkers (zowel intern als extern) worden bij aanvang geïnformeerd over dit informatiebeveiligingsbeleid en de verplichtingen die daaruit voortvloeien.

3.2

Medewerkers zijn verplicht zich te houden aan de in dit beleid beschreven richtlijnen. Schending van dit beleid heeft consequenties conform het geldende arbeidsreglement.

3.3

Grassfeld beoordeelt bekende kwetsbaarheden in software, infrastructuur en systemen op basis van risico en urgentie.

Kritieke beveiligingsupdates worden met prioriteit toegepast. Systemen die niet langer worden ondersteund of onvoldoende beveiligd kunnen worden, worden vervangen, geïsoleerd of buiten gebruik gesteld.

4.

Verantwoordelijkheid van de gebruiker

4.1

Gebruikers zijn verantwoordelijk voor het vertrouwelijk houden van hun wachtwoord. Wachtwoorden mogen niet worden gedeeld of opgeschreven.

Bij het vermoeden dat een wachtwoord is gecompromitteerd, dient dit onmiddellijk te worden gewijzigd.

4.2

Voor een veilig gebruik van de applicatie dienen gebruikers ervoor te zorgen dat hun apparaten zijn voorzien van de meest recente beveiligingsupdates en van adequate antivirussoftware.

5.

Security by Design

5.1

Grassfeld past het principe van Security by Design toe. Dit betekent dat beveiliging vanaf het eerste ontwerpstadium structureel wordt geïntegreerd in de architectuur, ontwikkeling en implementatie van systemen en processen.

Beveiligingsmaatregelen worden niet achteraf toegevoegd, maar vormen een integraal onderdeel van de ontwikkeling van producten en diensten.

De beveiligingspartner van Grassfeld ontvangt informatie over dreigingen en kwetsbaarheden uit diverse bronnen, waaronder interne en externe informatiedeling en zowel niet-commerciële als commerciële partijen.

5.2

Het ontwerp en de implementatie van de applicatie volgen het principe van minimale rechten, zodat gebruikers uitsluitend toegang hebben tot gegevens en functionaliteiten die noodzakelijk zijn voor hun rol.

Dit beperkt de potentiële schade bij een beveiligingsincident of misbruik.

Voorbeelden van toegepaste beveiligingsmaatregelen zijn onder andere IP-controle per gebruikerssessie, beveiligde verbindingen met eigen servers en accountregistratie via e-mail, wachtwoord en sms-verificatie.

5.3

Gebruikers van Grassfeld worden in het systeem vertegenwoordigd door een pseudoniem nummer. Dit betekent dat Grassfeld geen directe koppeling heeft tussen systeemdata en de identiteit van een gebruiker.

Dit pseudonieme nummer is uitsluitend toegankelijk via een beveiligde verbinding die speciaal is ontworpen voor communicatie met de gebruiker.

Informatie die door een gebruiker wordt toegevoegd en door Grassfeld wordt opgeslagen, wordt uitsluitend gebruikt om de algoritmen en dienstverlening van Grassfeld te verbeteren.

Zie het Privacy- en Cookiebeleid voor meer informatie over pseudonimisering en de verwerking van persoonsgegevens.

6.

Beheer van incidenten

6.1

Bij een beveiligingsincident volgt Grassfeld een gestructureerde incidentresponsprocedure bestaande uit melding, beoordeling, inperking, onderzoek, herstel en documentatie.

Incidenten worden onmiddellijk intern geëscaleerd naar het incidentresponsteam. Getroffen systemen en netwerksegmenten kunnen tijdelijk worden geïsoleerd om verdere schade te voorkomen.

Vervolgens wordt forensisch onderzoek uitgevoerd om de oorzaak, impact en omvang van het incident te analyseren. Na herstel worden passende maatregelen genomen om herhaling te voorkomen.

Alle relevante incidenten worden gedocumenteerd en geëvalueerd.

Indien een incident gevolgen heeft voor gebruikers of zakelijke partners, zal Grassfeld betrokken partijen informeren conform de toepasselijke wet- en regelgeving.

Grassfeld beschikt over een beveiligingsteam dat continu beschikbaar is.

Zie het Privacy- en Cookiebeleid voor de procedure rondom melding van datalekken.

6.2

Grassfeld moedigt beveiligingsonderzoekers en gebruikers aan om mogelijke kwetsbaarheden op verantwoorde wijze te melden.

Meldingen kunnen worden gedaan via: security@grassfeld.com

Grassfeld verzoekt melders om:

• geen misbruik te maken van de kwetsbaarheid;
• geen gegevens van gebruikers te kopiëren, wijzigen of verwijderen;
• de kwetsbaarheid vertrouwelijk te behandelen totdat deze is opgelost;
• voldoende informatie te verstrekken om de kwetsbaarheid te reproduceren.

Grassfeld behandelt meldingen vertrouwelijk en zal geen juridische stappen ondernemen tegen melders die te goeder trouw handelen en zich houden aan bovenstaande voorwaarden.

7.

Leveranciers en beveiligingspartners

7.1

Grassfeld werkt samen met externe leveranciers en beveiligingspartners voor onderdelen van haar dienstverlening en infrastructuur.

Bij de selectie van leveranciers beoordeelt Grassfeld onder meer de beveiligingsmaatregelen, betrouwbaarheid en naleving van relevante wet- en regelgeving.

Met leveranciers worden passende contractuele afspraken gemaakt over informatiebeveiliging, vertrouwelijkheid en gegevensbescherming. Deze afspraken worden periodiek geëvalueerd.