Ontvang alleen noodzakelijke gegevens
We controleren eerst of namen, adressen, contactgegevens, vrije tekst en volledige datasets kunnen worden verwijderd. Kleine geanonimiseerde voorbeelden hebben de voorkeur boven bulkgegevens.
Beveiliging en gegevensverwerking
Behandel toevertrouwde gegevens
zonder onduidelijkheid.
We definiëren welke gegevens worden verwerkt, voor welk doel, door wie, in welke omgeving en hoe lang. Van wiskundige prototypes tot productiebeheer: grenzen en verantwoordelijkheden worden eerst afgesproken en als controleerbaar bewijs bewaard.
GEGEVENSBEHEERLAAGPROJECT / 001
01KlantBrongegevens en bedrijfsregels
Minimaal nodig
02FINITE FIELDOntwerp, ontwikkeling, verificatie
Afgesproken afbakening
03Gebruikte dienstenCloud en externe koppelingen
DoelVooraf gedefinieerd
ToegangBeperkt tot noodzakelijke personen
OpslagLocatie en periode afgesproken
VerwijderingMethode en bewijs bepaald
ONTWERP VÓÓR OVERDRACHTOntvangst nadat grenzen zijn vastgesteld
Ons uitgangspunt
We publiceren beslismateriaal, geen vage geruststelling.
Beveiliging wordt niet bepaald door een productnaam of één enkele functie. We ontwerpen rond gegevenstype, doel, organisatie, beheer en subverwerkers, en houden de uitgevoerde afbakening controleerbaar.
Definieer grenzen vóór overdracht
Opslaglocatie, gebruikers met toegang, externe diensten, AI-gebruik, bewaring en verwijdering worden afgesproken vóór ontvangst van gegevens of overgang naar productie.
Laat controleerbaar bewijs achter
Gegevensstromen, toegangsrechten, subverwerkers, back-ups, verwijdering en incidentcontacten worden bewaard als controleerbare documenten.
Wat we publicerenBeleid, ontwerppunten en controleerbare documenten
Wat elk project beslistSpecifieke diensten, rechten, bewaring en testafbakening
Wat we niet publicerenGeheimen of detailinstellingen die een aanvaller kunnen helpen
Gegevensreis
Beslis per fase van ontvangst tot verwijdering.
Dezelfde gegevens vereisen andere beheersmaatregelen voor diagnose, prototypes en productiebeheer. We scheiden wat wordt ontvangen, wat vooraf moet worden beslist en welk bewijs achterblijft.
ONTVANGST
Begin met toelichtingsmateriaal en geanonimiseerde voorbeelden.
Lage verwerkingsomvang heeft de voorkeurVoorbeelden die worden ontvangen
- Kolommen van huidige spreadsheets
- Enkele fictieve of geanonimiseerde rijen
- Bedrijfsregels en knelpunten
- Te verbeteren indicatoren
Vooraf beslissen
- Of echte namen noodzakelijk zijn
- Hoe bijlagen worden verzonden
- Wie de consultatie behandelt
- Bewaring na consultatie
Bewaarde documenten
- Lijst met ontvangen gegevens
- Doelnotitie
- Streefdatum voor verwijdering
- Open vragen
PROTOTYPE
Minimale gegevens om te testen of het probleem oplosbaar is.
Geïsoleerde validatie ontwerpenVoorbeelden die worden ontvangen
- Medewerker-, casus- of apparatuur-ID's
- Tijd, kwalificatie, capaciteit en volgorde
- Huidige planning en indicatoren
- Voorbeelden van uitzonderingen
Vooraf beslissen
- Methode voor pseudonimisering
- Validatieomgeving en gebruikers met toegang
- Gebruik van externe AI
- Verwijdering of verder gebruik na oplevering
Bewaarde documenten
- Gegevenswoordenboek
- Lijst met voorwaarden
- Tabel met omgeving en toegang
- Verslag van afhandeling na validatie
ONTWIKKELING
Leg rollen en grenzen voor productiegegevens vast.
Ontwerpcontrole vereistVoorbeelden die worden ontvangen
- Gegevensstructuur vergelijkbaar met productie
- Gebruikers, rechten en organisatiegegevens
- Specificaties voor externe koppelingen
- Audit- en back-upeisen
Vooraf beslissen
- Scheiding van omgevingen en geheimen
- Minimale rechten en authenticatie
- Logbereik en bewaartermijn
- Test- en controleafbakening
Bewaarde documenten
- Gegevensstroomdiagram
- Toegangsmatrix
- Lijst met externe diensten
- Controleverslag voor vrijgave
BEHEER
Bereid detectie, respons en herstel voor, niet alleen bescherming.
Doorlopend beheer vereistVoorbeelden die worden ontvangen
- Accounts en rechten
- Logs en waarschuwingen
- Back-ups
- Afhankelijkheden en updates
Vooraf beslissen
- Monitoring- en responstijden
- Wijzigings- en toegangscontroles
- Herstelde doelen
- Contactroute voor incidenten
Bewaarde documenten
- Beheerprocedure
- Verslag van back-uptest
- Verslag van toegangscontrole
- Incident- en wijzigingshistorie
VERWIJDERING
Bepaal ook de afhandeling na projectafloop.
Verwijderbereik bevestigenVoorbeelden die worden ontvangen
- Werkkopieën
- Gedeelde opslag
- Back-ups
- Logs, tickets en bijlagen
Vooraf beslissen
- Retour of verwijdering
- Wettelijke en contractuele bewaring
- Timing voor verwijdering uit back-ups
- Bewijsformaat
Bewaarde documenten
- Doellijst
- Verwijderdatum
- Uitzonderingen en resterende reden
- Bevestiging van afronding
Bouwer voor beveiligingsprofiel
Orden in ongeveer twee minuten een projectspecifiek ontwerpconcept.
Dit is een ontwerphulp voor het eerste gesprek, geen audit of garantie. Contactgegevens zijn niet nodig.
Stap 01 / gegevensklasse
Selecteer gegevens die mogelijk worden verwerkt
Het concept is gebaseerd op de categorie die de meest zorgvuldige behandeling vereist. Meerdere selecties zijn mogelijk.
Stap 02 / opleverfase
Welke fase overweegt u?
Korte validatie en productiebeheer vereisen verschillende beheersmaatregelen, zelfs voor dezelfde gegevens.
Stap 03 / externe verwerking
Externe AI en diensten
Cloud, e-mail, kaarten, analysediensten en meldingsdiensten worden met dezelfde gegevensstroomlogica beoordeeld.
Stap 04 / beheereisen
Selecteer vereiste beheereisen
Meerdere selecties zijn mogelijk. Ook onzekere punten worden meegenomen als gespreksonderwerp.
Ontwerpconcept / geen audit
Ontwerp voor beperkt prototype
Begin met minimale gegevens, korte bewaring en een gescheiden validatieomgeving.
ProfielSTANDAARDP0-B
Minimale beheersmaatregelen
Projectbeslissingen
Voor te bereiden documenten
Zo leest u dit resultaat:
Dit is een voorlopig ontwerpconcept op basis van de gekozen invoer. Definitieve beheersmaatregelen worden bepaald nadat wettelijke plichten, contractvoorwaarden, dreigingen, cloudarchitectuur en beheer zijn bevestigd.
Model voor beheersmaatregelen
Dek niet alleen preventie af, maar ook detectie, respons en herstel.
We gebruiken de zes functies van het NIST Cybersecurity Framework 2.0 als beoordelingsperspectieven voor projecten. Dit is geen certificering en geen claim van volledige naleving.
Besturen
Maak eigenaren, beleid, contracten, subverwerkers en aanvaardbaar risico duidelijk.
Voorbeeld: verantwoordelijkheidstabel, dienstenlijstIdentificeren
Breng middelen, gegevens, afhankelijkheden, dreigingen en impact in kaart.
Voorbeeld: gegevensstroom, assetregisterBeschermen
Ontwerp authenticatie, minimale rechten, versleuteling, geheimenbeheer en veilige implementatie.
Voorbeeld: rechtenmatrix, implementatiecontroleDetecteren
Definieer vereiste logs, monitoring, waarschuwingen en criteria voor afwijkingen.
Voorbeeld: monitoringpunten, logbewaringReageren
Bereid triage, indamming, onderzoek, communicatie en preventie voor.
Voorbeeld: contactboom, procedure voor eerste responsHerstellen
Ontwerp back-upintegriteit, herstelvolgorde, hervatting van bedrijfsvoering en evaluatie achteraf.
Voorbeeld: hersteldraaiboek, testverslagApplicatiebeveiliging
Controleer web en apps van ontwerp tot beheer.
We gebruiken OWASP ASVS 5.0 als referentie voor beveiligingseisen en controlepunten. Codecontrole, geautomatiseerde controles, handmatige controles en externe tests worden gecombineerd op basis van belang en budget.
- 01Eisen en dreigingenGegevens, rechten en aanvalsoppervlak ordenen
- 02ImplementatieAuthenticatie, invoer, geheimen, afhankelijkheden
- 03VerificatieControle, testen, configuratiecontrole
- 04BeheerMonitoring, updates, rechten, herstel
Prototype versus productie
We behandelen prototypes en productie niet hetzelfde.
Deze vergelijking toont ontwerpcriteria die per project moeten worden afgerond, geen vaste garanties.
| Controlepunt | P0 wiskundig prototype | P1 productiesysteem |
|---|---|---|
| Doel | Haalbaarheid en indicatoren valideren | Doorlopende bedrijfsverwerking |
| Gegevensvolume | Geef de voorkeur aan kleine, geanonimiseerde en noodzakelijke velden | Definieer de vereiste operationele reikwijdte formeel |
| Omgeving | Scheid een tijdelijke validatieomgeving | Overweeg scheiding van ontwikkeling, test en productie |
| Toegang | Beperk tot toegewezen personen | Rolrechten, authenticatie, controles |
| Externe AI | Begin met een ontwerp dat geen onnodige gegevens verzendt | Spreek doel, doelgegevens, contract, instellingen en logs af |
| Bewaring | Bepaal eerst de einddatum | Overweeg doel, wetgeving, beheer en back-ups |
| Verwijdering | Bevestig verwijdering of verder gebruik na oplevering | Ontwerp accountafsluiting, contracteinde, wettelijke bewaring en back-ups |
| Herstel | Beoordeel of het opnieuw kan worden gemaakt | Stel hersteldoelen en back-uptests vast |
Gedeelde verantwoordelijkheid
Scheid vóór het contract wie wat beschermt.
Gebruik van cloud maakt niet automatisch alles veilig, en een ontwikkelaar kan niet elk risico alleen beheren. We scheiden de rollen van klant, Finite Field en gebruikte diensten.
ONZE AFBAKENING
Ontwerp, implementatie en ontwikkelbeheer
Binnen de contractuele afbakening behandelen wij systeemmaatregelen en gegevensverwerking tijdens ontwikkeling.
- Ontwerp van gegevensstromen en rechten
- Veilige applicatie-implementatie
- Beheer van geheimen en ontwikkelomgeving
- Afgesproken tests en controles
- Monitoring, updates en respons binnen onderhoudsafbakening
AFBAKENING KLANT
Verantwoordelijkheden voor bedrijf, gebruikers en gegevens
Rechtmatig gegevensgebruik, gebruikers- en apparaatbeheer en interne regels blijven belangrijke verantwoordelijkheden van de klant.
- Doel en geldigheid van invoergegevens
- Gebruikersregistratie, uitschrijving en rechtenaanvragen
- Apparaten, intern netwerk en deelmethode
- Melden van verdachte gebeurtenissen en zakelijke beslissingen
- Instructie voor retour of verwijdering bij contracteinde
AFBAKENING PLATFORM
Wat platformdiensten afdekken
Fysieke faciliteiten, platformdiensten en managed-service-afbakening volgen het contract en shared-responsibilitymodel van elke dienst.
- Datacenters en infrastructuur
- Beschikbaarheid en updates van diensten
- Platformtoegang en versleutelingsfuncties
- Contractuele voorwaarden voor opslag en verwerking
- Incident- en beveiligingsinformatie van diensten
Punten die expliciet in het contract moeten staanBeheerderMonitoringurenBack-upHerstelwerkVragenAfhandeling na gebruik
AI en derden
Maak van externe AI geen onzichtbare subverwerker.
Wanneer gegevens naar generatieve AI, kaarten, e-mail, analyse, meldingen, betalingen of andere diensten gaan, nemen we doel en afbakening op in de gegevensstroom.
Niet verzenden
Stuur geen bedrijfsgegevens naar externe AI. Gebruik gewone algoritmen, lokale verwerking of vaste geanonimiseerde gegevens.
Eerste optie om te overwegenBeperkte gegevens verzenden
Stuur alleen afgesproken velden naar afgesproken diensten nadat identificerende gegevens zijn verwijderd. Controleer of overdrachten kunnen worden vastgelegd.
Vereist anonimisering en minimalisatieVerzenden binnen goedkeuring
Controleer servicevoorwaarden, bewaartermijn, regio, hergebruik en rechten, en leg daarna vast welke gegevens worden verzonden.
Vereist een afzonderlijke risicobeoordelingCONTROLE VAN EXTERNE DIENSTEN
Wat u per externe dienst moet controleren
- 01Verzonden gegevensVelden, frequentie, omvang
- 02DoelVerwerking, kennisgeving, analyse
- 03Bewaring en hergebruikOpslag, training, logs
- 04Locatie en subverwerkersLand, regio, toeleveringsketen
- 05Stoppen en verwijderenAfhandeling na gebruik
Incidentrespons
Plan wat er gebeurt als zich een incident voordoet.
Definieer vóór productiebeheer de gebeurtenisafbakening, contactpersonen, eerste melding, indamming, herstel en preventieverantwoordelijkheden.
Detecteren en ontvangen
Detecteer gebeurtenissen via monitoring, contact van gebruikers of meldingen van diensten.
Indammen
Beperk verspreiding en bewaar noodzakelijk bewijs.
Analyseren en beslissen
Bevestig getroffen gegevens, oorzaak, impact en meldplicht.
Communiceren en reageren
Neem contact op met betrokkenen op basis van wet, contract en situatie.
Herstellen en verbeteren
Herstel nadat veiligheid is bevestigd en voer preventieve maatregelen door.
Voor productieNoodcontact
Voor productieAfbakening van incidenten
Voor productieRoute voor eerste melding
ProjectontwerpMonitoring- en responstijden
Wet en contractKennisgeving en rapportage
Bewijspakket
Maak uitgevoerd werk controleerbaar.
Afhankelijk van belang en contractuele afbakening kunnen deze documenten worden gemaakt of bijgewerkt. Ze horen niet allemaal standaard bij iedere opdracht; kies tijdens de raming wat nodig is.
CSV / 01
Gegevensinventaris
Velden, doel, gevoeligheid, locatie, eigenaar.
Downloaden CSV / 02Register van gegevensstromen
Bron, bestemming, doel, methode, subverwerker.
Downloaden CSV / 03Toegangsmatrix
Rol, omgeving, handeling, goedkeuring, controle.
Downloaden CSV / 04Register van externe diensten
Dienst, doel, gegevens, locatie, contract.
Downloaden CSV / 05Register voor bewaring en verwijdering
Reden, termijn, verwijdermethode, bewijs, uitzondering.
Downloaden CSV / 06Contactblad voor incidenten
Gebeurtenisklasse, primaire contactpersoon, reservepad, besliseigenaar.
Downloaden CSV / 07Test voor back-upherstel
Doel, herstelpunt, verstreken tijd, resultaat, probleem.
Downloaden CSV / 08Controlelijst voor eisen
Ontwerp, implementatie, testen, beheer, afhandeling bij beeindiging.
Downloaden CSV / 09Beslistabel voor AI en externe diensten
Doel, verzonden velden, bewaring, goedkeuring, stopprocedure.
DownloadenAanvraag
Vragenlijsten bespreken Ondersteuning bij klantvragenlijsten
We beantwoorden beveiligingsvragenlijsten van klanten nadat de werkelijke werkwijze en projectafbakening zijn bevestigd. Nog niet geimplementeerde punten worden als zodanig vermeld, met alternatieven apart.
Referenties
Referenties en wat we niet claimen.
We gebruiken wetten, publieke richtlijnen en open standaarden als referenties bij het kiezen van beheersmaatregelen voor een project. Daarnaar verwijzen is iets anders dan certificering of volledige naleving claimen.
Japanse privacywetgeving en PPC-richtlijnen
Gebruikt als basis voor het controleren van veiligheidsmaatregelen, verwerkingsregels, organisatorische, menselijke, fysieke en technische maatregelen en externe omgevingen.
Officiële bron openenNIST Cybersecurity Framework 2.0
De zes functies worden gebruikt als gemeenschappelijke taal voor risico's en gaten in het beheer.
Officiële bron openenOWASP ASVS 5.0
Gebruikt als referentie bij het ordenen van beveiligingseisen en verificatiepunten voor web en applicaties.
Officiële bron openenDeze pagina alleen betekent niet het volgende.
ISO/IEC 27001-certificeringPrivacyMark-certificeringVolledige naleving van NIST CSFOWASP ASVS-certificeringGarantie dat er geen incidenten plaatsvindenDezelfde beheersmaatregelen voor elk projectVeelgestelde vragen
Veelgestelde vragen over gegevensverwerking.
Vereisen diagnose of prototypes productiegegevens?
In principe controleren we eerst of validatie mogelijk is met geminimaliseerde, geanonimiseerde of gepseudonimiseerde voorbeelden. Als echte gegevens nodig zijn, spreken we afbakening, opslag, inzage en verwijdermoment vooraf af.
Sturen jullie gegevens naar externe generatieve AI?
Gebruik van externe AI, verzonden gegevens, doel en bewaartermijn worden per project bepaald. Een configuratie waarbij geen bedrijfsgegevens naar externe AI worden gestuurd, kan ook worden gekozen.
Kan het opslagland of de regio worden gekozen?
We controleren locatie-eisen binnen de mogelijkheden van de gebruikte cloud- of externe diensten. Als grensoverschrijdende overdracht relevant is, maken we diensten en gegevensstromen expliciet.
Wat gebeurt er na oplevering met gegevens en broncode?
Eigendom, opslag, toegang, back-up en verantwoordelijkheden voor verwijdering worden verduidelijkt op basis van contract, beheermodel en onderhoudsafbakening.
Hebben jullie een beveiligingscertificering?
Deze pagina claimt geen specifieke certificering. Beheersmaatregelen en controledocumenten worden per project gedefinieerd, en klantvragenlijsten kunnen indien nodig worden beantwoord.
Wanneer worden incidenten gecommuniceerd?
Contacten, gebeurtenisafbakening, eerste meldmethode en updatefrequentie worden voor productiebeheer bepaald. Werkelijke meldingen volgen wet, contract en details van het incident.
Kunnen jullie medische, zorg- of andere gevoelige gegevens verwerken?
Noodzaak, wettelijke eisen, toegangsbereik, opslag, logs, verwijdering en subverwerkers moeten worden gecontroleerd. Een strenger ontwerp is vereist en de haalbaarheid wordt per project bepaald.
Kunnen we beveiligingstests of een kwetsbaarheidsbeoordeling aanvragen?
Afhankelijk van doel en vereist niveau kunnen ontwerpcontrole, geautomatiseerde controles, handmatige controles en externe specialisten worden gecombineerd. Afbakening en op te leveren documenten worden tijdens de raming vastgelegd.
Volgende stap
Scheid eerst gegevens die gedeeld kunnen worden van gegevens die buiten het project moeten blijven.
Voordat u een hele werkmap verstuurt, kunt u beginnen met kolomnamen of geanonimiseerde voorbeelden. We ordenen samen de vereiste beheersmaatregelen en ontwikkelafbakening.
Start de diagnose Gegevensverwerking bespreken Bevestig de overdrachtsmethode voordat u vertrouwelijke informatie verzendt.