Beveilingsbeleid

Beveiliging en
bescherming privacy
Beveiliging en bescherming privacy
Beveiliging en
bescherming privacy
Duobus B.V.
Nieuwe Boteringestraat 82a
9712PR Groningen
E [email protected]
I www.duobus.nl
September 2014
2
Als organisatie zijn wij verantwoordelijk voor de uitvoering van de
dienst Duobus. Het leveren van kwaliteit staat bij het uitvoeren van
deze taak voorop. Om deze kwaliteit aan de klanten en andere
betrokkenen te kunnen bieden is een betrouwbare
informatievoorziening essentieel. De betrouwbaarheid van de
informatie-voorziening moet zijn gewaarborgd ongeacht de vorm, dus
zowel handmatig, bijvoorbeeld bij het inscannen van
persoonsgegevens, als geautomatiseerd, denk aan het gebruik en de
gegevens op Duobus, maar ook het gebruik van internet en e-mail.
Uitgebreide aandacht voor de beveiliging van de opslag, verwerking en
uitwisseling van informatie is continu vereist.
Vandaar dat ik als voorzitter van de Raad van Bestuur van Duobus B.V.
dit document van harte bij u aanbeveel.
Namens de Raad van Bestuur,
Jork Netten
Beveiliging en bescherming privacy
Voorwoord
3
Inleiding
Duobus werkt met persoons- en financiële gegevens van zorgverleners, zorgvragers, zorgaanbieders en andere
stakeholders. Beveiliging is dan ook topprioriteit van Duobus. Daarom spant Duobus zich tot het uiterste in om
ervoor te zorgen, dat alleen de personen waarvoor de informatie bedoeld is, deze informatie krijgen te zien.
Daarom wordt Duobus alleen ontwikkeld en beheerd tegen de geldende standaarden. Richtlijnen van
standaarden waar Duobus zich onder andere aan conformeert zijn de beveiligingsrichtlijnen voor
WebApplicaties van het Nationaal Cyber Security Centrum en de NEN 7510 reeks.
In dit document wordt er een compact overzicht weergeven van maatregelen, die Duobus heeft genomen om
de beveiliging en beschikbaarheid van de persoons- en financiële gegevens te waarborgen.
Het op een correcte manier beveiligen van informatiesystemen staat sterk in de belangstelling. Dit is niet
zo raar, aangezien er steeds meer aanbieders zijn, die een online dienst aanbieden. Daarnaast slaan deze
aanbieders vaak privacygevoelige informatie op.
Aanbieders kunnen de data van hun gebruikers op verschillende manier beveiligen. Duobus wil duidelijk
zijn over de gekozen beveiligingsmaatregelen, zodat u weet wat er met de informatie en overdracht van
gegevens gebeurt, die door Duobus worden verwerkt. Hieronder staat compact beschreven hoe Duobus
de beveiliging van de geleverde diensten waarborgt.
Ontwikkelen
Duobus is ontwikkeld tegen de geldende (beveiliging) standaarden, conform de beveiligingsrichtlijnen voor
WebApplicaties van het Nationaal Cyber Security Centrum, NEN 7510 reeks en richtlijnen ontworpen door
Duobus. De Duobus richtlijnen zijn ontworpen op basis van onder andere wetenschappelijke onderzoeken
en experts op beveiligingsgebied.
Gedurende de ontwikkeling is constant rekening gehouden met welke functies welke beveiligingslekken
met zich mee kunnen brengen. Wanneer een functie bepaalde gebruikersinput verwacht, zal deze input
alleen verwerkt worden in de vorm waarvoor deze mogelijkerwijs gebruikt mag worden. Op deze manier
worden aanvallen als SQL Injecties, XSS en CSRF aanvallen geweerd. Ieder onderdeel vereist nauwkeurige
aandacht en beveiliging waardoor een ketting van beveiligingscontroles ontstaat. Ieder onderdeel
controleert opnieuw of de gevraagde actie legitiem is binnen de context van de aanvraag. Op ieder
onderdeel van het geheel dat de WebApplicaties vormt is rekening gehouden met de beveiligingseisen die
van het onderdeel verwacht worden.
Het optimaliseren en het structureel controleren van de geschreven programmatuur, wordt door zowel
Duobus als door externe partners uitgevoerd. Verandering van de code wordt bijgehouden door het
versiebeheersysteem van Duobus, zodat wijzingen in de code goed gemonitord en gecontroleerd kunnen
worden (tot microniveau). Wijzigen worden pas op de productielocatie (publieke server) geplaatst na
strenge controle en goedkeuring van het bestuur.
Beveiliging en bescherming privacy
Beveiliging
Wanneer er gebruik gemaakt wordt van software ontwikkeld door derden, bijvoorbeeld in het geval van de
server omgeving, wordt deze altijd up to date gehouden. Veel beveiligingslekken ontstaan door het niet
onderhouden van de gebruikte software. Door dicht betrokken te zijn bij de gekozen software, is het
mogelijk om updates snel uit te rollen.
Encryptie
Al het verkeer tussen bezoekers en de server van Duobus wordt geëncrypteerd verstuurd door middel van
een SSL (Secure Socket Layer) certificaat en Transport Layer Security (TLS). Het SSL certificaat en de TLSencryptie-protocol beveiligen de verbinding tussen bezoekers en de Duobus servers. Gegevens worden
hierdoor door een beveiligde tunnel gestuurd, waardoor buitenstaanders zoals hackers en crackers niet
meer kunnen zien wat er over de lijn wordt verstuurd. Duobus maakt gebruik van een EV-SSL
4
beveiligingscertificaat (Extended Validation Certificate), wat tevens ook door overheden, banken en
andere grote instellingen wordt gebruikt.
Figuur 1: Encryptie-tunnel Duobus
Het beheren van een netwerkinfrastructuur is een apart specialisme, dat Duobus graag overlaat aan echte
specialisten op dat gebied. Dit zorgt ervoor, dat er meer gefocust kan worden op het maken en bedenken
van veilige en betrouwbare oplossingen voor de zorg. Duobus erkent echter wel het feit, dat infrastructuur
één van de basiselementen is van ICT-veiligheid, daarom is er voor een partner gekozen (CloudVPS) met
uitgebreide ervaring en certificeringen (tevens NEN 7510 en ISO 27001) . Duobus maakt voor de hosting
van de WebApplicatie dan ook alleen gebruik van de (cloud) servers van CloudVPS.
Beveiliging en bescherming privacy
Datacenters
Figuur 2: CloudVPS Datacenters, via: http://www.cloudvps.nl/cloud-servers/netwerk-datacenters/. Geraadpleegd
op 14 september 2014.
CloudVPS maakt gebruik van drie top datacentra’s in Nederland (Amsterdam). Daarvan is één de Equinix
AM3. De Equinix AM3 is één van de groenste datacentra’s in de wereld. De factoren die bepalend waren bij
het selecteren van een datacenter; een goede koeling, strikte toegangsprocedures, complete redundante
stroomvoorziening en toegang tot internationale carriers. De gekozen datacentra ’s voldoen hier volledig
aan.
5
Beleid
Informatiebeveiliging bestaat niet uit één onderdeel, maar omvat een samenhangend stelsel van
maatregelen. Dit betekent dat de verschillende maatregelen die tezamen de informatiebeveiliging vormen,
niet los van elkaar worden getroffen, maar in onderlinge relatie met elkaar staan. Duobus streeft naar een
optimaal niveau van beveiliging. Dit optimum wordt bereikt door een zorgvuldige afweging van lasten en
baten.
Bij de uitvoering van de Dienst wordt zo veel mogelijk gecommuniceerd naar de klanten en andere
stakeholders toe, zodat zij weten in hoeverre Duobus maatregelen neemt om de veiligheid van deze
gegevens te waarborgen. Daarnaast stimuleert Duobus gebruikers om actief feedback te geven over de
dienst Duobus, maar ook over de beveiliging van de dienst. Als een gebruiker terechte feedback heeft
gegeven, dan komt de desbetreffende gebruiker (indien gewenst) op de publieke Wall of Fame te staan als
blijk van waardering. Duobus zal geen privacygevoelige informatie verstrekken, tenzij hier een gerechtelijk
bevel voor is of schriftelijke goedkeuring vanuit de klant.
Audits
Als aanbieder van een online service is het van belang om naast operationele controles ook periodiek
controles te hebben. Om de zes weken vindt er een interne audit plaats om te kijken in hoeverre de
organisatie nog voldoet aan de geldende normeringen, beveiligingen en in hoeverre de organisatie acties
heeft ondernomen om risico’s te verkleinen. Naast de interne audits vinden er ook externe audits plaats.
Deze audits worden uitgevoerd door professionals, zij kijken in hoeverre Duobus voldoet aan de eisen die
worden gesteld aan SaaS-oplossingen.
Gebruikers
Duobus doet er alles aan om zo veilig mogelijk te zijn. Helaas kunnen online aanbieders (zoals Duobus) niet
alles beveiligen. De veiligheid van online diensten hebben de gebruikers zelf ook (gedeeltelijk) in de hand.
Zorg er dus voor dat uw beveiligingscodes geheim blijven, uw beveiliging en systeem altijd up-to-date is, u
uitlogt wanneer u Duobus niet gebruikt en incidenten direct meldt als deze plaatsvinden.
Beschikbaarheid
Virtuele servers
Door gebruik te maken van snelle en stabiele virtuele servers is Duobus vrijwel altijd te bereiken. In geval
van problemen met de (fysieke) server, wordt de virtuele server van Duobus automatisch overgenomen
door een andere (fysieke) server. Dit wordt mogelijk gemaakt door het ‘High Availability’ systeem van
CloudVPS. Daarnaast werken we met state-of-the art software om de WebApplicatie Duobus en de virtuele
servers te monitoren.
Beveiliging en bescherming privacy
Het beleid is erop gericht om ervoor te zorgen, dat de informatie op de gewenste momenten beschikbaar is,
de informatie juist en volledig is en de informatiesystemen de juiste en volledige informatie opslaan en
verwerken en dat de informatie alleen toegankelijk is voor degene die hiervoor bevoegd is. Medewerkers en
partners, die eventueel bepaalde informatie dienen te verwerken, hebben allemaal een
geheimhoudingsverklaring getekend. Daarnaast is het niet mogelijk voor elke partner en medewerker om alle
gegevens in te zien.
Reserveback-up
Ondanks de genomen maatregelen door Duobus, is het altijd mogelijk, dat er onverhoopt iets mis gaat.
Daardoor maakt Duobus naast dagelijkse een volledige back-up te maken, ook om het half uur een back-up
van de plaatsgevonden veranderingen. Deze (digitale) back-ups worden over een veilige verbinding
verstuurd en met AES-256 encryptie versleuteld.
6

Download Report