Hoe Reaudit je gegevens beschermt.

Onze toewijding aan beveiliging

Bij Reaudit staat beveiliging voorop. We passen beveiligingsmaatregelen toe op bedrijfsniveau om onze gegevens, infrastructuur en processen te beschermen. Op deze pagina beschrijven we onze beveiligingspraktijken en ons beleid.

1. Gegevensversleuteling

1.1 Versleuteling tijdens verzending

• TLS 1.3: Alle gegevens tijdens verzending worden versleuteld met TLS 1.3 en sterke cipher suites
• HTTPS Everywhere: Voor alle verbindingen is HTTPS vereist
• Perfect Forward Secrecy: Toegepast voor extra bescherming

1.2 Versleuteling van opgeslagen gegevens

• AES-256: Alle gevoelige gegevens worden versleuteld opgeslagen
• Databaseversleuteling: Volledige databaseversleuteling op veldniveau
• Versleutelde back-ups: Alle back-ups worden versleuteld
• Sleutelbeheer: Veilig beheer van versleutelingssleutels

2. Toegangscontrole

2.1 Authenticatie

• OAuth 2.0: Veilige integratie met derden (Google)
• Sessiebeheer: JWT-sessies met veilige httpOnly-cookies en automatische verloopdatum (7 dagen)
• reCAPTCHA v3: Bescherming tegen bots bij authenticatie
• Bescherming tegen brute force: Rate limiting

2.2 Autorisatie

• Rolgebaseerde toegangscontrole (RBAC): Gedetailleerde machtigingen
• Principe van minimale rechten: Gebruikers hebben alleen de toegang die minimaal nodig is
• Gegevensscheiding: Strikte scheiding van gegevens tussen klanten
• Auditlogs: Uitgebreide logging van alle toegangsacties

3. Infrastructuurbeveiliging

3.1 Infrastructuurbeveiliging

• MongoDB Atlas: Beheerde database met SOC 2- en ISO 27001-certificeringen
• Docker: Containerized deployment met automatische herstartbeleidsregels
• DDoS Protection: Cloudflare DDoS-bescherming en WAF

3.2 Applicatiebeveiliging

• Web Application Firewall (WAF): Bescherming tegen veelvoorkomende webaanvallen
• Invoervalidatie: Strikte validatie van alle gebruikersinvoer
• CSRF-bescherming: Bescherming tegen Cross-Site Request Forgery
• Content Security Policy: Strikte CSP-beleidsregels toegepast
• Veilige headers: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 API-beveiliging

• API-authenticatie: API-sleutels met veilige opslag
• Rate limiting: Bescherming tegen API-misbruik
• API-versiebeheer: Gecontroleerde evolutie van de API
• API-logging: Uitgebreide logging van alle API-verzoeken

4. Monitoring en respons

4.1 Monitoring

• Foutmonitoring: Realtime foutmonitoring via Sentry
• Gestructureerde logging: Gecentraliseerde applicatielogging met tijdstempels
• Uptimemonitoring: Monitoring van de beschikbaarheid van de dienst

4.2 Incidentrespons

• Responsplan: Gedocumenteerde procedures voor incidentrespons
• Insluiting: Snelle isolatie van getroffen systemen
• Melding van datalekken: Melding binnen 72 uur conform de AVG

5. Gegevensbescherming

5.1 Gegevensback-ups

• Automatische back-ups: Dagelijkse geautomatiseerde back-ups via MongoDB Atlas
• Point-in-time recovery: Gegevens kunnen op elk gewenst moment worden hersteld
• Versleuteling: Alle back-ups worden versleuteld

5.2 Gegevensverwijdering

• Veilige verwijdering: Cryptografische verwijdering van gegevens
• Bewaarbeleid: Duidelijke beleidsregels voor gegevensbewaring
• Verwijdering op verzoek: Mogelijkheid om gebruikersgegevens te verwijderen

6. Veilige ontwikkeling

• Codereview: Alle codewijzigingen worden door collega's beoordeeld (peer review)
• TypeScript Strict Mode: Type-safe code die fouten beperkt
• Dependency scanning: Geautomatiseerde scan op kwetsbaarheden in pakketten van derden
• Gescheiden omgevingen: Aparte ontwikkel-, staging- en productieomgevingen

7. Teambeveiliging

• Geheimhoudingsovereenkomsten: Ondertekend door alle teamleden
• Principe van minimale rechten: Teamleden hebben alleen toegang tot wat noodzakelijk is
• Intrekken van toegang: Directe intrekking bij vertrek

8. Compliance en certificeringen

8.1 Huidige certificeringen

• GDPR: Volledige naleving van de Algemene Verordening Gegevensbescherming
• CCPA: Naleving van de California Consumer Privacy Act
• PCI DSS: Compliance voor betalingsverwerking

8.2 Afstemming op standaarden

• SOC 2: Beveiligingsmaatregelen afgestemd op de AICPA Trust Services-criteria. Formele certificering staat op onze roadmap.
• ISO 27001: Beveiligingspraktijken afgestemd op het ISO 27001-raamwerk. Certificering staat op onze roadmap.

9. Beveiliging bij derden

• Leveranciersbeoordeling: Strikte beveiligingsbeoordeling
• Verwerkersovereenkomsten: Contracten met alle verwerkers
• Minimale toegang: Beperkte toegang voor derden
• Regelmatige reviews: Continue monitoring van leveranciers

10. Beschikbaarheid van de dienst

• Managed Database: MongoDB Atlas met automatische failover
• Automatische herstart: Docker-herstartbeleid voor het herstel van diensten
• CDN: Cloudflare CDN voor wereldwijde contentdistributie

11. Kwetsbaarheden melden

We moedigen verantwoorde openbaarmaking van beveiligingskwetsbaarheden aan. Als je een kwetsbaarheid ontdekt:

• Stuur een e-mail naar [email protected]
• Geef een gedetailleerde beschrijving van de kwetsbaarheid
• Maak niets openbaar totdat we het probleem hebben verholpen
• Verschaf je geen toegang tot gebruikersgegevens en wijzig ze niet

We reageren binnen 48 uur en werken samen met je aan een oplossing.

12. Contact

Voor vragen of zorgen over beveiliging: