Beveiligingsmaatregelen

Deze bijlage vormt een integraal onderdeel van de Verwerkersovereenkomst tussen de Verwerkingsverantwoordelijke en Digi Hosting. Hierin wordt een overzicht gegeven van de technische en organisatorische beveiligingsmaatregelen die Digi Hosting treft om de verwerking van persoonsgegevens te beschermen overeenkomstig de vereisten van de Algemene Verordening Gegevensbescherming (AVG).

1. Organisatie van informatiebeveiliging

• Beveiligingseigenaarschap
  Digi Hosting heeft een functionaris voor informatiebeveiliging aangesteld die belast is met de coördinatie, implementatie en controle van de geldende beveiligingsmaatregelen en -procedures. Deze functionaris wordt ondersteund door een intern bestuursorgaan op managementniveau dat toezicht houdt op het beveiligingsbeleid.

• Beveiligingsrollen en verantwoordelijkheden
  Medewerkers van Digi Hosting die toegang hebben tot persoonsgegevens zijn onderworpen aan strikte geheimhoudingsverplichtingen. Deze verplichtingen worden benadrukt bij aanvang van het dienstverband en periodiek opnieuw onder de aandacht gebracht.

• Risicobeheersing
  Digi Hosting voert systematisch risicobeoordelingen uit voorafgaand aan de verwerking van persoonsgegevens of de ingebruikname van nieuwe diensten. De risicobeheersingsprocedure is gericht op het identificeren, prioriteren en mitigeren van potentiële risico’s. Back-upvoorzieningen zijn structureel ingebed in de dienstverlening.

• Documentbeheer
  Beveiligingsdocumentatie wordt bewaard conform wettelijke en contractuele bewaarplichten, ook indien deze documenten formeel zijn vervallen.

2. Asset Management

• Inventarisatie van informatie-assets
  Digi Hosting onderhoudt een gedetailleerde inventaris van alle informatiedragers waarop persoonsgegevens worden opgeslagen. Toegang tot deze inventaris is uitsluitend voorbehouden aan daartoe bevoegd en schriftelijk gemachtigd personeel.

• Beheer van informatiedragers

  • Digi Hosting classificeert persoonsgegevens om passende toegangsbeperkingen en beschermingsniveaus te waarborgen.

  • Medewerkers dienen voorafgaand expliciete toestemming te verkrijgen voor het verwerken van persoonsgegevens op draagbare apparaten, buiten de bedrijfsfaciliteiten of via externe toegang.

3. Beveiliging van personeel

• Bewustzijn en training
  Alle medewerkers van Digi Hosting worden geïnstrueerd omtrent hun beveiligingsverantwoordelijkheden. Zij ontvangen periodiek training en voorlichting over relevante procedures en het herkennen van actuele dreigingen.

4. Fysieke en omgevingsbeveiliging

• Toegangsbeveiliging tot faciliteiten
  De fysieke toegang tot locaties waar persoonsgegevens worden verwerkt is beperkt tot geautoriseerde personen op basis van identificatie en toegangscontrole.

• Beveiliging van informatiedragers
  Fysieke informatiedragers met persoonsgegevens worden opgeslagen in beveiligde ruimten met toegangsbeperkingen.

• Bescherming tegen calamiteiten
  Digi Hosting maakt gebruik van industriestandaardvoorzieningen ter bescherming tegen verstoringen als gevolg van stroomuitval, brand, overstroming en andere risico’s.

• Gegevensverwijdering
  Persoonsgegevens worden vernietigd conform industriestandaardprocedures zodra deze niet langer noodzakelijk zijn voor de verwerkingsdoeleinden.

5. Operationele beveiliging

• Beleid en procedures
  Digi Hosting beschikt over actuele documentatie van haar beveiligingsbeleid, inclusief procedures en verantwoordelijkheden van medewerkers met toegang tot persoonsgegevens.

• Herstelprocedures

  • Reservekopieën van persoonsgegevens worden opgeslagen op geografisch gescheiden locaties.

  • Toegang tot deze gegevens is strikt gereguleerd en gedocumenteerd.

• Malwarebescherming
  Er zijn maatregelen geïmplementeerd ter bescherming tegen kwaadaardige software, waaronder virusscanners en netwerkfilters.

• Logregistratie
  Toegangs- en gebruiksactiviteiten met betrekking tot systemen die persoonsgegevens verwerken, worden vastgelegd in logbestanden, inclusief gebruikers-ID, tijdstip, toegangsstatus en relevante acties.

• Versleuteling
  Gegevensoverdracht via internet vindt plaats op basis van versleutelingstechnieken conform de geldende standaarden.

6. Toegangscontrole

• Beleidsmaatregelen
  Digi Hosting hanteert een toegangscontrolebeleid waarin wordt vastgelegd welke medewerkers toegang hebben tot welke systemen en gegevens.

• Autorisatiebeheer

  • Inactieve toegangsgegevens worden automatisch gedeactiveerd na een periode van inactiviteit.

  • Slechts geautoriseerd personeel mag rechten toekennen, wijzigen of intrekken.

  • Elke gebruiker beschikt over een unieke inlogidentificatie.

• Minimale toegang
  Toegang tot persoonsgegevens is beperkt tot medewerkers voor wie dit noodzakelijk is in het kader van hun functie.

• Sessiebeheer en wachtwoordbeveiliging

  • Sessies worden automatisch beëindigd bij inactiviteit of bij het verlaten van de werkplek.

  • Wachtwoorden worden opgeslagen op een wijze die onomkeerbare versleuteling garandeert.

• Authenticatie

  • Toegang tot informatiesystemen wordt verleend op basis van sterke authenticatieprocedures.

  • Wachtwoorden worden regelmatig vernieuwd, en verlopen of gedeactiveerde toegangen worden niet hergebruikt.

  • Pogingen tot ongeautoriseerde toegang worden gedetecteerd en gelogd.

  • Wachtwoordbeheer voldoet aan de industriestandaarden.

• Netwerkbeveiliging
  Netwerkarchitectuur en toegangsrechten zijn zodanig ingericht dat onbevoegde toegang tot persoonsgegevens wordt voorkomen.

7. Incidentmanagement

• Melding en registratie van beveiligingsincidenten

  • Digi Hosting registreert alle beveiligingsincidenten inclusief de aard, duur, impact, betrokken gegevens, en genomen maatregelen.

  • In geval van een datalek zal melding plaatsvinden aan de Verwerkingsverantwoordelijke zonder onnodige vertraging, en uiterlijk binnen 72 uur.

• Transparantie in gegevensopenbaarmaking
  Gegevensontsluiting wordt gelogd met vermelding van aard, ontvanger en tijdstip.

8. Continuïteitsbeheer

• Noodprocedures
  Digi Hosting onderhoudt uitgebreide nood- en calamiteitenplannen voor alle dataverwerkingslocaties.

• Redundantie en herstel
  De redundante opslagstructuur en herstelprocedures zijn zodanig ingericht dat persoonsgegevens kunnen worden hersteld in de laatst bekende volledige staat, voorafgaand aan een incident.

Deze beveiligingsmaatregelen worden periodiek geëvalueerd en aangepast aan de actuele stand van de techniek en de risicobeoordeling, met het oog op blijvende bescherming van de persoonsgegevens van de Verwerkingsverantwoordelijke.