Zo beschermt Visma jou en je gegevens

Hoe zorgt Visma ervoor dat mijn klantgegevens niet in verkeerde handen vallen?

• Al onze medewerkers zijn gebonden aan geheimhoudingsverklaringen.
• Medewerkers hebben altijd alleen toegang tot de systemen en functionaliteit die noodzakelijk zijn voor het uitvoeren van hun functie en nooit voor zaken waarbij dat niet het geval is.
• Slechts een select aantal mensen binnen de afdelingen Operations en Support hebben toegang tot je opgeslagen gegevens. Jouw gegevens kunnen alleen door andere medewerkers worden bekeken wanneer jij daar expliciet toestemming voor geeft, bijvoorbeeld wanneer je om technische ondersteuning vraagt.

Hoe voorkomt Visma dat haar services worden onderbroken?

• Er worden meerdere malen per dag automatisch backups gemaakt. Deze worden op diverse locaties bewaard.
• Er wordt gebruik gemaakt van redundante (minstens twee onafhankelijke) lijnen naar het datacenter. Als er een lijn uitvalt, schakelt het systeem automatisch over op de nog werkende lijn. De service wordt hierdoor normaal gesproken niet beïnvloed.
• Er wordt gebruik gemaakt van redundante (minstens twee onafhankelijke) netwerk- en serverapparaten. Als er een storing optreedt, schakelt het systeem automatisch over op het nog werkende apparaat. De dienst wordt hierdoor normaal gesproken niet beïnvloed.

Hoe beveiligt en controleert Visma haar dataverkeer?

• Er wordt gebruik gemaakt van automatische systemen die inbraak en misbruik op ons netwerk kunnen detecteren, bestrijden en voorkomen.
• Voor DNS-diensten maakt Visma gebruik van een Anycast-netwerk.

Hoe beschermt Visma je gegevens tegen cyberaanvallen?

• Wij voeren regelmatig security audits en penetratietests uit op onze eigen systemen, met behulp van zowel interne als externe experts.
• Wachtwoorden worden nooit opgeslagen als tekst, maar met ‘hashing’ en ‘salting’ onleesbaar gemaakt en versleuteld. Je moet dan ook een nieuw wachtwoord genereren als je het oude kwijtraakt.
• Alle communicatie verloopt via een versleuteld kanaal.
• Onze services zijn getest om aanvallen te weerstaan op basis van onder andere SQLi, XSS, CSRF en ‘session hijacking’.

Welke fysieke beveiligingsmaatregelen neemt Visma om je gegevens te beschermen?

• Het datacenter is beveiligd naar de maatstaven van label Beschermingsklasse 2.
• De toegang tot het terrein wordt met video bewaakt en geregistreerd.
• Er is redundante klimaatbeheersing, inclusief controle op de aanwezigheid van gassen, luchtvochtigheid, hoge temperaturen en water.
• Er zijn brandalarmen met ingebouwde brandbestrijdingssystemen.
• De noodstroomvoorzieningen worden regelmatig getest op uitvalscenario's.
• Verschillende services maken gebruik van Microsoft Azure en diens datacenters in Noord-Europa voor gegevensopslag. Deze zijn vierentwintig uur per dag operationeel, hetgeen bescherming biedt tegen stroomuitval, systeeminbraak en netwerkuitval. De datacenters voldoen aan erkende industriestandaarden voor fysieke beveiliging en betrouwbaarheid, waaronder ISO/IEC 27001:2005. Een kopie van de gegevens wordt tevens opgeslagen binnen de grenzen van Zweden.

Woordenlijst

Redundantie

Een methode waarmee de betrouwbaarheid van een systeem, zoals een netwerk of apparaat, kan worden verbeterd doordat het meervoudig is uitgevoerd. Er draaien dus meerdere identieke systemen parallel naast elkaar. Als er één uitvalt, neemt het andere het over.

Anycast-netwerk

Een industriestandaard voor het aanspreken van DNS-diensten die ervoor zorgt dat de verbindingen via onze servers zo betrouwbaar en veilig mogelijk zijn.

Penetratietest

Een test waarbij een beveiligingssysteem wordt gepenetreerd om zo zwakke plekken te vinden.

Hashing

Een algoritmische functie die bijvoorbeeld een wachtwoord verandert in een soort vingerafdruk die niet te ontcijferen is.

Salting

Een manier om hacken tegen te gaan door extra informatie aan een gehasht wachtwoord toe te voegen.

SQLi

Met SQL-injectie kan misbruik worden gemaakt van zwakke plekken in de beveiliging van databases. Doordat het inlogsysteem wordt omzeild, kunnen gegevens in de database direct worden gemanipuleerd.

XSS

Met SQL-injectie kan misbruik worden gemaakt van zwakke plekken in de beveiliging van databases. Doordat het inlogsysteem wordt omzeild, kunnen gegevens in de database direct worden gemanipuleerd.

CSRF

Met een ‘cross-site request forgery’ (CSRF) kan een hacker een webapplicatie overnemen en handelingen verrichten alsof hij een bevoegde gebruiker is.

Sessionhijacking

Bij ‘sessionhijacking’ kaapt een hacker van buitenaf een actieve gebruikerssessie om daarna zijn eigen opdrachten te kunnen geven.