Beveiliging bij Replug

Replug neemt uitgebreide organisatorische en technische maatregelen, hierna ‘Beveiligingspraktijken’, om de informatie te beschermen die je ons verstrekt, hierna ‘Klantinformatie’ (onder meer originele URL’s, verkorte links, trackinggegevens, statistieken, inloggegevens en alle bijbehorende metadata of content zoals CTA’s). Deze maatregelen zijn bedoeld om verlies, misbruik, onbevoegde toegang tot of openbaarmaking van je gegevens te voorkomen. De effectiviteit van deze beveiligingsmaatregelen wordt voortdurend beoordeeld, rekening houdend met de gevoeligheid van de gegevens die we verzamelen, verwerken en opslaan, de stand van de techniek, de implementatiekosten en de aard, omvang, context en specifieke doelen van de verwerkingsactiviteiten van Replug.

In deze context omvat ‘Replug-diensten’ alle diensten die Replug aanbiedt, zoals beschreven in de voorwaarden van de overeenkomst die je gebruik van de Replug-diensten regelt. Begrippen met een hoofdletter die in dit document over Beveiligingspraktijken niet zijn gedefinieerd, hebben de betekenis uit de overeenkomst.

De Beveiligingspraktijken van Replug zijn ontworpen om te voldoen aan de toepasselijke wetgeving op het gebied van gegevensbescherming en privacy, waaronder de Europese Algemene verordening gegevensbescherming (AVG), de California Consumer Privacy Act (CCPA/CPRA) en andere internationale kaders.

Replug heeft een verantwoordelijke voor beveiliging en/of een speciaal beveiligingsteam aangesteld. Deze functie is belast met het ontwikkelen, implementeren en onderhouden van de Beveiligingspraktijken van Replug.

Alle medewerkers en ingehuurde krachten van Replug moeten zich strikt houden aan het interne beleid voor de vertrouwelijke behandeling van Klantinformatie.

• Ze krijgen bij hun indiensttreding een beveiligings- en privacytraining die past bij hun rol en volgen periodiek (bijv. jaarlijks) een opfristraining.
• Alle medewerkers moeten het informatiebeveiligingsbeleid erkennen en ermee instemmen. Dat beleid legt de nadruk op de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de systemen en diensten die worden gebruikt om de Replug-diensten te leveren.
• Replug hanteert strikte controles om de toegang van medewerkers tot Klantinformatie te beperken, zodat alleen bevoegde personen toegang krijgen op need-to-knowbasis en voor legitieme operationele doeleinden.
• Waar de wet het toestaat en de gevoeligheid van de rol dat rechtvaardigt, voert Replug een screening uit vóór indiensttreding.

Replug hanteert een stevig toegangsbeleid voor indiensttreding, uitdiensttreding en functiewijzigingen.

• Dit beleid omvat regelmatige toegangscontroles, beperking en beheer van beheerdersrechten, en maatregelen tegen de risico’s van inactieve sessies.
• Waar nodig worden taken gescheiden om belangenconflicten en beveiligingsrisico’s te beperken.
• Er wordt een overzicht bijgehouden van kritieke systemen en gebruikersaccounts met verhoogde rechten.
• De principes ‘least privilege’ en ‘need to know’ worden gehandhaafd.
• Er kunnen maatregelen worden genomen om gelijktijdige inlogsessies of overmatige inlogpogingen te beperken.
• Er geldt een uitgebreid wachtwoordbeleid met eisen aan minimale complexiteit, verplichte wijziging bij de eerste login of na een reset, en periodieke vernieuwing met beperkingen op hergebruik.

De toegang tot kritieke interne systemen die medewerkers van Replug gebruiken, is beveiligd met meervoudige authenticatie. Replug biedt MFA ook aan zijn klanten aan om hun accounts beter te beveiligen.

Replug gebruikt intern waar passend single sign-on-technologie om toegang eenvoudiger en veiliger te maken.

• Tijdens verzending: Replug ondersteunt actuele, veilige cipher suites en protocollen (bijv. TLS 1.2 en TLS 1.3) om alle Klantinformatie te versleutelen die van en naar de Replug-diensten wordt verzonden.
• In opslag: Gevoelige Klantinformatie (zoals inloggegevens, API-sleutels en mogelijk specifieke configuratiegegevens) wordt waar passend versleuteld opgeslagen, afhankelijk van de aard van de gegevens en de bijbehorende risico’s. Replug volgt de ontwikkelingen in cryptografie voortdurend om in te spelen op nieuwe zwakke plekken en tegelijk de nodige compatibiliteit te behouden.

Replug evalueert cryptografische standaarden voortdurend en faseert verouderde ciphers uit volgens de beste praktijken in de sector (bijv. de richtlijnen van NIST).

De systemen van Replug (waaronder servers, firewalls en kritieke applicaties) zijn zo ingesteld dat relevante gebeurtenissen worden gelogd in beveiligde, centrale systemen, voor beveiligingsmonitoring, analyse en controles.

• Deze logomgeving legt gegevens vast over beveiliging, toegang, beschikbaarheid en prestaties. Logs worden met monitoringtools geanalyseerd op beveiligingsgebeurtenissen en door het beveiligingsteam beoordeeld.
• Replug gebruikt inbraakdetectiesystemen (op netwerk- en/of hostniveau) en Web Application Firewalls (WAF) om proactief te monitoren op en te beschermen tegen ongeautoriseerde indringers.

Replug gebruikt netwerkbeveiligingsmaatregelen, waaronder firewalls en security groups. Netwerkpoorten die niet nodig zijn voor het leveren van de Replug-diensten worden op infrastructuurniveau geblokkeerd.

Replug scant zijn productie-infrastructuur regelmatig op kwetsbaarheden en spant zich redelijkerwijs in om gevonden kwetsbaarheden met een aanzienlijk risico te verhelpen. Apparaten die het bedrijf verstrekt (zoals laptops) worden beheerd met beveiligingsmaatregelen zoals automatische schermvergrendeling en volledige schijfversleuteling.

De infrastructuur achter de Replug-diensten is ontworpen voor fouttolerantie en hoge beschikbaarheid, in lijn met onze afspraken in de Service Level Agreement (SLA), voor betrouwbaar linkbeheer en betrouwbare doorverwijzingen.

Replug heeft een gedocumenteerd bedrijfscontinuïteitsplan (BCP) dat periodiek wordt getest, zodat de dienst ook bij grote verstoringen beschikbaar blijft.

Klantinformatie wordt redundant opgeslagen op meerdere fysieke locaties in de datacenters van de hostingprovider van Replug, voor maximale veerkracht.

• Replug hanteert stevige back-up- en herstelprocedures om te kunnen herstellen na grote verstoringen.
• Operationele teams worden gewaarschuwd bij systeemstoringen. Er worden regelmatig back-ups gemaakt en de herstelprocedures worden periodiek (bijv. elk kwartaal) getest op effectiviteit.
• Bij een ramp zijn de hersteldoelen van Replug erop gericht de normen in de sector voor Recovery Time Objective (RTO) en Recovery Point Objective (RPO) te halen of te overtreffen.

Replug gebruikt toonaangevende cloudinfrastructuurproviders om de Replug-diensten te hosten. Deze providers hebben geavanceerde fysieke en omgevingsbeveiliging voor hun datacenters en beschikken doorgaans over certificeringen zoals ISO 27001, SOC 1/2/3 en PCI DSS.

Replug heeft intern beveiligingsbeleid en -procedures, mogelijk afgestemd op erkende kaders. Deze regelen de bedrijfsvoering en zorgen voor een veilige omgang met inloggegevens (bijv. gesalte hashing voor wachtwoorden), het bijhouden van toegangslogs en het vermijden van het loggen van gevoelige gegevens zoals wachtwoorden in platte tekst.

Replug volgt een secure development lifecycle (SDLC), zodat beveiliging van ontwerp tot uitrol is ingebed. Alle grote releases worden onderworpen aan peerreview, geautomatiseerde tests en beveiligingsvalidatie.

Nieuwe functies en grote wijzigingen aan het Replug-platform doorlopen een beveiligingsreview. Code wordt getest en door collega’s beoordeeld voordat hij wordt uitgerold. Beveiliging is een vast onderdeel van de productontwikkelingscyclus.

Replug heeft een programma voor het melden van kwetsbaarheden, om klanten, partners en beveiligingsonderzoekers aan te moedigen beveiligingsproblemen op verantwoorde wijze te melden.

Bij een inbreuk in verband met persoonsgegevens of een onbevoegde openbaarmaking van Klantinformatie die onder de controle van Replug valt, informeert Replug de getroffen klanten zonder onnodige vertraging en binnen de termijnen die de toepasselijke wetgeving voorschrijft, waaronder de AVG (artikelen 33 en 34) en de CCPA/CPRA.

Replug bewaart Klantinformatie alleen zolang dat nodig is om de Replug-diensten te leveren of zolang de toepasselijke wetgeving dat vereist. Zijn gegevens niet langer nodig, dan worden ze veilig verwijderd of geanonimiseerd. Klanten kunnen verzoeken hun gegevens te verwijderen, in overeenstemming met ons privacybeleid.