Trustcenter.

✔ Compliant

✔ Betrouwbare partner

✔ Veiligheid op 1

✔ Kwaliteit

Onze belofte bij Netvice.

Als klant wilt u erop kunnen vertrouwen dat uw gegevens, processen en klantcontacten bij Netvice in veilige handen zijn. Dat vertrouwen nemen wij uiterst serieus.

In dit Trust Center geven wij u volledige transparantie over hoe wij omgaan met informatiebeveiliging, privacy en continuïteit. U vindt hier een overzicht van ons informatiemanagementsysteem, inclusief de organisatorische, technische, fysieke en personele maatregelen die wij hebben ingericht om risico’s te beheersen en gegevens te beschermen.

Wij delen daarnaast inzicht in onze werkwijzen, normen en certificeringen, zodat u kunt beoordelen dat wij voldoen aan de hoge standaarden die u van ons mag verwachten. Waar relevant kunnen aanvullende documentatie en specificaties op verzoek beschikbaar worden gesteld.

Transparantie is voor ons een bewuste keuze. Zo bouwen we samen aan duurzaam vertrouwen.

Onze maatregelen.

Organisatorisch

Personeel

Technisch

Fysiek

Gegevens bescherming

Organisatorische Controls.

Er wordt jaarlijk een externe audit gehouden op de controls uit het ISMS. Aanbevelingen hieruit woren op de ISMS kalender opgenomen en (indien mogelijk) in het proces aangepast.
Jaarlijks vindt er een Directiebeoordeling plaats op het gebied van Informatiebeveiliging.
Eens per jaar wordt er een interne audit uitgevoerd op de controls. Bevindingen worden geregistreerd en opgelost door de verantwoordelijke.
Jaarlijks wordt de VVT herijkt. Nieuwe omschrijving of categorisering van controls wordt hierin opgenomen en de controls worden van toepassing verklaard of uitgesloten. Dit wordt jaarlijks in de directiebeoordeling uitgevoerd.
Jaarlijks wordt de tabel van risicobeoordeling door minimaal 3 verschillende personen binnen Netvice ingevuld. Het gewogen gemiddelde wordt als score opgenomen. Daaruit kunnen acties voortvloeien ter voorkomen van deze risico's. Dit wordt jaarlijks in de directiebeoordeling uitgevoerd.
Jaarlijks worden de kritische leverancoers beoordeeld op vooraf bepaalde KPI's. In de maandelijkse Directieoverleggen inzake infrmatiebeveiliging wordt de vorotgang gemeten en bijgestuurd.
Jaarlijks wordt beoordeeld welke leveranciers aangemerkt worden als kritische leverancier.
Incidenten met betrekking tot beschikbaarheid worden geregistreerd indien de downtime hoger is dan vooraf vastgestelde tijden. Indien nodig wordt (samen met leverancier) een Root Cause Analysis (RCA) uitgevoerd.
Van processen en systemen zijn werkinstructies gemaakt. Deze worden via de shares binnen de RDp omgeving beschikbaar gesteld aan alle medewerkers. De instructies worden bij wijzigignen maa rminmaal eens per half jaar van een update voorzien.
Voor alle controls zijn er beleidsdocumenten. Deze worden indien nodig aangepast. Eens per jaar worden alle documenten gereviewd en worden de wijzigingen vastgelegd.

Personeel
Controls.

Er is een jaarlijkse check op volledigheid van alle personeelsdossiers. Contracten, diploma's (incl PE certificaten) en andere overeenkomsten zoals geheimhoudingsverklaring
Bij onboarding wordt een antecedentenonderzoek uitgevoerd. VOG aanvraag screeningsprofiel; 95 Financiële dienstverlening / Financial services, diploma check etc.
Awarenessessie ieder kwartaal over actuele onderwerpen zoals bijvoorbeeld social engineering, Fisching, AVG etc.
Jaarlijkse sessie informatiebeveiliging met update van beleid waarbij verklaring voor naleving jaarlijks wordt getekend door alle personeelsleden.
Jaarlijkse FIT gesprekken. Hierin wordt besproken wat ambities van de medewerker zijn en een ontwikkelpad vast gelegd. Tevens wordt hier informatiebeveiliging en de bijdrage van de medewerker besproken.
Jaarlijkse check op wijzigingen in arbowetgeving tbv contracten werknemers.
Eens per half jaar wordt een online awareness training aangeboden. Dit is een online module waarbij informatie wordt gedeeld.

Fysieke Controls.

Eens per kwartaal worden de toegngsrechten in alle systemen en aplicaties de worden gebruikt gecontroleerd en afwijkingen worden geregistreerd en hersteld.
De matri van toegangsrechten per rol wordt eens per half jaar herijkt. Nieuwe rollen worden toegevoegd, bestaande rollen worden de rechten per rol voor alle systemen en applicaties geactualiseerd.
Jaarlijks wordt een pentest uitgevoerd op één van de systemen. In de directiebeoordeling wordt bepaald welke pentest(s) uitgevoerd gaan worden.
Als er een device van Netvice wordt uitgegeven of ingenomen dan wordt dit geregistreerd. Ieder kwartaal wordt gecontroleerd of de registratie overeenkomt met de vooraad.
Uitgegeven sleutels worden geregistreerd op nummer naam en datum van uitgifte. Bij uit diensttreding worden deze weer ingeleverd. Tevns wordt er gewerkt met een electronisch slot waar het account van de medewerker wordt verwijderd in het offboardingsproces.
Er is een BCP voor de meest denkbare scenatio's. Hierin staat de strategie beschreven hoe ervoor gezorgd wordt dat bij een beschikbaarheidsincident de business door blijft draaien. Jaarlijks worden er meerdere scenario's getest en op basis hiervan bevindingen en verbetringen doorgevoerd.

Technologische Controls.

- Het risico in relatie tot onbevoegde toegang tot de ontwikkelomgeving
- Het risico in relatie tot onbevoegde veranderingen tot de ontwikkelomgeving
- Technische kwetsbaarheden van de IT-systemen die gebruikt worden in de organisatie
- Het risico dat nieuwe technologie mogelijk met zich mee brengt indien het gebruikt wordt in de organisatie
2 keer per jaar (of vaker indien nodig) worden de actuele fiscale cijfers verwerkt in de tooling die wij hebben ontwikkeld. Op deze manier worden(fiscale) berekeningen altijd met de meest actuele cijfers gemaakt.
Binnen onze RDP omgeving zijn alle websites geblacklist. Enkel noodzakelijke adressen worden op de whitelist geplaatst. Dit overzicht wordt ieder kwartaal beoordeeld. Whitelisted sites voor reeds afgeronde opdrachten worden van de whitelist gehaald.
Jaarlijks vind er een restore test plaats. Van de share binnen de RDP omgeving worden er bestanden verwijderd en via de systeembeheerder wordt gevraagd om deze weer
Wanneer een develloper een systeem of applicatie inlogd dan wordt geregistreerd waarom wordt ingelogd. Een sper kwartaal wordt middels een steekproef gecontroleerd of er geen ongeautoriseerde inlog is geweest.
Er wordt alleen genonimiseerde en fictieve data gebruikt om te testen. RE owrdt 2 keer per jaar een steekproef gedaan om te kijken of er geen productiedata is gebruikt voor testen.

Controls Gegevensbescherming.

Eens per kwartaal wordt er onderzocht of er campagnes zijn afgerond waarvan de data verwijderd moet worden. Dit kan zijn einde contract of vervallen wettelijke vervaltermijn. In overleg met de opdrachtgever wordt de data uit alle systemen verwijderd.
Eens per kwartaal wordt er bekeken of er nieuwe wet- of regelgeving is. Er wordt getoetst of deze van toepassing is op de werkwijze van Netvice. Indien van toepassing wordt de werkwijze en controls hierop aangepast. Dit wordt ook gecommuniceerd en ingericht bij onze leveranciers.
Voor iedere opdrachtgever wordt bijgehouden of en welke persoonsgegvens worden verwerkt, voor welk doel en in welke systemen dat wordt gedaan.
Indien er sprake is van een (mogelijk) incident met persoonsgegevens wordt dit gelogd en indien van toepassing wordt een formulier ingevuld voor melding bij de Autoriteit Persoonsgegevens. Van ieder incident wordt een Root Cause Analysis (RCA) uitgevoerd.