Zoek in Trust Center…

Terug naar overzicht

Gegevensbeveiliging

Onesurance verwerkt gevoelige verzekeringsgegevens met enterprise-grade beveiliging. Alle data wordt uitsluitend verwerkt binnen de EU (Azure West-Europa) en beschermd met meerdere beveiligingslagen, encryptie en strikte toegangscontroles.

Kernprincipes: Zero Trust Architecture • Defense in Depth • Continuous Monitoring

Encryptie & Data Bescherming

Encryptie Standaarden

Data at Rest:

  • AES-256 encryptie voor alle opgeslagen data

  • Azure Key Vault met Hardware Security Modules (HSM)

  • Transparent Data Encryption (TDE) op databases

  • Volledig versleutelde backups met aparte keys

  • Automatische key rotation (jaarlijks)

Data in Transit:

  • TLS 1.3 voor alle communicatie

  • Alleen strong cipher suites

  • Alle API calls over HTTPS (HTTP niet toegestaan)

  • Versleuteld verkeer tussen alle Azure resources

Extra Bescherming:

  • Field-level encryption voor PII en financiële data

  • Passwords: bcrypt hashing (nooit plain text)

  • Health data: Extra beveiliging conform AVG

Architectuur & Infrastructuur

Verwerkingslagen

Laag

Locatie

Beveiliging

Input

TLS 1.3 transit

Validatie, sanitization, authenticatie vereist

Processing

Azure West-Europe

Geïsoleerde omgevingen, RBAC, AES-256 at rest

Output

API endpoints

OAuth 2.0, TLS 1.3, audit logging

AI/ML Componenten:

  • Risk Engine, Defend Agent, Churn Model, CLV, NBP

  • Elke klant: Geïsoleerde verwerkingsomgeving

  • Data residency: 100% binnen EU

Azure Datacenter Beveiliging

Locatie: West-Europe (Amsterdam, Nederland)

Infrastructuur:

  • Biometrische toegangscontroles

  • 24/7 fysieke bewaking

  • 99.99% availability SLA

  • ISO 27001, ISO 27017, ISO 27018 gecertificeerd

  • GDPR & DORA compliant

Netwerk:

  • Virtual Networks (VNets) met segmentatie

  • Azure Firewall + Network Security Groups

  • DDoS Protection Standard

  • Private endpoints (geen public exposure voor databases)

  • Web Application Firewall (WAF) voor API's

Toegangscontrole

Role-Based Access Control (RBAC)

Principe: Least Privilege - minimale noodzakelijke toegang

Controles:

  • Kwartaalse access reviews

  • Just-In-Time (JIT) elevated access

  • Geautomatiseerd onboarding/offboarding

  • Individuele gebruikersaccounts (geen gedeelde credentials)

Multi-Factor Authenticatie (MFA)

Vereist voor:
✓ Alle medewerkers en administrators (100% enforcement)
✓ Production access
✓ Admin accounts (extra PIM controles)

Methodes: Authenticator apps (TOTP), hardware tokens, biometrie

Identity Management

Platform: Azure Active Directory (Entra ID)

Features:

  • Single Sign-On (SSO) centraal identity management

  • Conditional access (locatie, apparaat, risico-gebaseerd)

  • Privileged Identity Management (PIM) voor admins

  • API keys met korte expiration en rotatie

Monitoring & Detection

24/7 Security Operations

Monitoring:

  • Platform: Azure Monitor + Azure Sentinel (SIEM)

  • Coverage: Alle resources, applicaties, network, user activiteit

  • Response tijd: <15 minuten voor kritieke alerts

  • Logging retention: 1-7 jaar

Gedetecteerde Events:

  • Authentication failures

  • Unauthorized access attempts

  • Data exfiltration pogingen

  • Malware/virus detectie

  • Privilege escalation pogingen

  • Anomalous behavior (UEBA)

Vulnerability & Patch Management

Scanning & Testing

Type

Frequentie

Tools

Vulnerability scans

Wekelijks

Azure Defender, Qualys

Penetration tests

Jaarlijks

Externe ethical hackers

Dependency scans

Continu

GitHub Dependabot

Code analysis (SAST)

Per commit

Geautomatiseerd

Patch Management SLA's

Response tijden:

  • Kritiek: <48 uur

  • Hoog: <72 uur

  • Gemiddeld: <30 dagen

  • Laag: <90 dagen

Process: Testing in staging → Gecontroleerde rollout → Rollback procedure beschikbaar

Secure Development

Security Development Lifecycle

Development:

  • Threat modeling voor nieuwe features

  • Secure coding standards (OWASP)

  • Verplichte peer code reviews

  • Static (SAST) en Dynamic (DAST) analysis

  • Geen credentials in code (Azure Key Vault)

API Security:

  • OAuth 2.0 / JWT authenticatie

  • Rate limiting (DDoS protectie)

  • Strict input validation

  • API versioning en deprecation beleid

Data Classification

Classificatie Niveaus

Niveau

Voorbeelden

Beveiliging

Public

Marketingmateriaal

Geen restricties

Internal

Bedrijfsinfo

Access control, encryptie

Confidential

Klantgegevens

MFA, encryptie, audit logs

Restricted

PII, financieel, health

Extra goedkeuring, field-level encryptie

Data Lifecycle

Minimization: Alleen verzamelen wat noodzakelijk is
Retention: Automatische verwijdering na retentieperiode
Pseudonymization: Scheiding van identifiers waar mogelijk
Destruction: Cryptographic erasure binnen 30 dagen na retentie

Incident Response

Data Breach Response

Timeline:

  • Detection: Real-time geautomatiseerde alerts

  • Assessment: Binnen 4 uur

  • Containment: Onmiddellijke isolatie

  • Notification: AP binnen 72 uur (indien vereist), betrokkenen bij hoog risico

Classificatie:

  • P1 (Critical): Data breach, ransomware, systeem compromise

  • P2 (High): Unauthorized access, vulnerability exploitation

  • P3 (Medium): Policy violations, suspicious activity

  • P4 (Low): Informational, geen direct impact

→ Volledige details: Incident Response Plan

Compliance & Commitments

Wat U Kunt Verwachten

✓ Zero Trust Architecture
✓ Meerdere beveiligingslagen (Defense in Depth)
✓ 24/7 security monitoring
✓ <15 minuten response tijd
✓ Regelmatige security updates
✓ Transparante communicatie
✓ AVG, DORA, ISO 27001 compliant

Uw Verantwoordelijkheden

  • Sterke passwords en MFA activeren

  • Toegang intrekken bij uitdiensttreding

  • Gevoelige data correct classificeren

  • Verdachte activiteit melden

  • Security awareness training voor gebruikers

Contact

Security vragen en incidenten:

📧 Email: dpo@onesurance.ai
📱 24/7 Hotline: +31 (6) 13270144