Uw data is veilig bij Celery
Loon- en HRM-gegevens verdienen zorgvuldige bescherming. Als werkgever wilt u weten hoe Celery informatiebeveiliging organiseert en wie daarvoor verantwoordelijk is.
Celery werkt met een managementsysteem voor informatiebeveiliging (ISMS), gebaseerd op ISO/IEC 27001:2022. Een speciaal aangestelde Security Officer is verantwoordelijk voor informatiebeveiliging. Hieronder leest u welke beveiligingsmaatregelen we nemen en hoe u een beveiligingsprobleem kunt melden.
Verantwoordelijk voor beveiliging
Celery heeft een toegewijde Security Officer die verantwoordelijk is voor informatiebeveiliging en rapporteert aan het management. Deze rol ontwikkelt, implementeert en onderhoudt het managementsysteem voor informatiebeveiliging (ISMS). Ook het toezicht op risicomanagement en het bewaken van de naleving van het beveiligingsbeleid vallen onder deze verantwoordelijkheid.
Bij beveiligingsincidenten onderzoekt de Security Officer wat er is gebeurd en leidt de incidentrespons, inclusief de communicatie met belanghebbenden en toezichthouders. Daarnaast coördineert deze rol penetratietests en het beheer van kwetsbaarheden, en verzorgt trainingen om het beveiligingsbewustzijn te vergroten.
Voor beveiligingszaken, vragen over gegevensbescherming en datalekken is de Security Officer uw eerste aanspreekpunt. Op onze Over ons-pagina vindt u wie deze functie momenteel vervult. U kunt contact opnemen via [email protected].
Informatiebeveiligingsbeheer
Celery werkt met een ISMS op basis van ISO/IEC 27001:2022. Het certificeringstraject loopt; er is nog geen auditdatum vastgesteld.
Het management (CEO, CTO en CCO) draagt de eindverantwoordelijkheid voor informatiebeveiliging. De CEO is de functionaris voor gegevensbescherming.
Ons ISMS volgt Plan-Do-Check-Act: regelmatige risicobeoordelingen, maatregelen, effectiviteitscontroles, interne audits, managementbeoordelingen en corrigerende acties. We documenteren onze methode voor risicobeoordeling en -behandeling en volgen resultaten en corrigerende acties.
Het management keurt ons informatiebeveiligingsbeleid goed. Ondersteunend beleid behandelt onder meer toegang, incidenten, continuïteit, privacy, ontwikkeling en leveranciers. We beoordelen het beleid minstens jaarlijks.
Alle medewerkers volgen maandelijks bewustwordingsmodules en phishingsimulaties. Nieuwe medewerkers krijgen training bij hun introductie; ontwikkelaars volgen training in veilig programmeren. Medewerkers tekenen geheimhoudingsverplichtingen; opdrachtnemers en leveranciers tekenen vóór toegang een NDA.
Productbeveiliging
Beveiligingstraining
Ontwikkelaars volgen training in veilig programmeren. Alle medewerkers krijgen doorlopend training in beveiligingsbewustzijn.
Richtlijnen voor softwareontwikkeling
Onze richtlijnen voor veilige ontwikkeling behandelen invoervalidatie, uitvoercodering, authenticatie, autorisatie met minimale toegangsrechten, sessiebeheer, foutafhandeling en logging. Ze omvatten ook versleuteling van gevoelige gegevens, beheer van softwareafhankelijkheden, codebeoordeling met geautomatiseerde analyse en beveiligingstests tijdens het hele ontwikkelproces.
Gescheiden omgevingen
Ontwikkel-, staging- en productieomgevingen zijn strikt gescheiden. We gebruiken geen productie- of klantgegevens voor ontwikkeling of tests. Alleen bevoegde medewerkers hebben toegang tot productie.
Productbeveiliging
Kwetsbaarheidsscans
We voeren wekelijks dynamische kwetsbaarheidsscans van de applicatie uit met Acunetix by Invicti.
Penetratietests
Gekwalificeerde, onafhankelijke beveiligingsexperts voeren elke 6 maanden penetratietests uit. We volgen bevindingen tot ze zijn verholpen.
Kwetsbaarheden verhelpen
Onze streeftermijnen voor het verhelpen of beperken van kwetsbaarheden zijn 24–48 uur bij hoge prioriteit, 1–2 weken bij gemiddelde prioriteit en binnen een maand bij lage prioriteit.
Endpointbeveiliging
Alle apparaten van Celery hebben endpointbeveiliging. Een externe beveiligingspartner verzorgt detectie en respons. We gebruiken ook centrale logging en geautomatiseerde foutregistratie.
Fysieke beveiliging
Datacenterfaciliteiten
Celery draait op eigen bare-metalservers in een Tier 3-datacenter op Curaçao. De beheerder verzorgt redundante stroomvoorziening met UPS en generatoren, koeling, branddetectie en brandbestrijding. Onze Security Officer controleert jaarlijks de Tier 3-status en certificeringen van de beheerder.
Bewaking
De datacenterbeheerder bewaakt de omgevingscondities 24/7. Er zijn bewakings- en alarmsystemen aanwezig. De servers hebben redundante stroomvoorziening en netwerkbekabeling.
Beveiliging op locatie
Alleen bevoegde personen hebben fysieke toegang tot de serveromgevingen. Bezoekers worden altijd begeleid.
Locatie
Onze servers staan op Curaçao. Een hot-standbyomgeving in Duitsland bevat de nieuwste versie van de applicatie en gegevens. Versleutelde externe back-ups staan in Duitsland en Ierland, binnen de Europese Unie.
Versleuteling van gegevens
Gegevens tijdens transport
Alle verbindingen gebruiken TLS-versleuteling met AES-256-GCM.
Opgeslagen gegevens
Klantgegevens worden versleuteld opgeslagen met AES-256, via GPG met 4096-bits RSA-sleutels. Laptops van Celery gebruiken volledige schijfversleuteling. We bewaren wachtwoorden en sleutels in een wachtwoordmanager.
Back-ups
Back-ups zijn versleuteld tijdens opslag en transport. Externe kopieën staan op geografisch gescheiden locaties in Duitsland en Ierland.
Beschikbaarheid en continuïteit
Beschikbaarheid en statuspagina
Ons beschikbaarheidsdoel is 99,9%. We gebruiken databasereplicatie en failoverprocedures. Bekijk onze openbare statuspagina voor updates. Bij verstoringen van diensten voor klanten publiceren we binnen een paar uur een bericht. We informeren klanten via de statuspagina en e-mail.
Back-ups
We maken elk uur back-ups van kritieke gegevens, waaronder databases, loongegevens en documenten. Geautomatiseerde hersteltests vinden dagelijks plaats.
Bedrijfscontinuïteit en herstel na calamiteiten
We testen ons bedrijfscontinuïteits- en rampherstelplan minstens jaarlijks met scenario-oefeningen, systeemhersteltests en tests op een uitwijklocatie. Medewerkers krijgen jaarlijks continuïteits- en hersteltraining.
Een beveiligingsprobleem melden
Meld beveiligingsproblemen via [email protected]. Vermeld datum en tijd, uw waarneming, betrokken systemen of URL's, stappen om het probleem te reproduceren en uw contactgegevens.
We bevestigen de ontvangst van uw melding. We beoordelen en prioriteren elke melding, vragen zo nodig om meer informatie en informeren u waar passend over de uitkomst.
Responsible disclosure
- Bekijk, wijzig of verwijder geen gegevens die niet van u zijn.
- Voer geen denial-of-service- of social-engineeringaanvallen uit.
- Publiceer geen details voordat Celery het probleem heeft opgelost.
- Stop en meld het probleem zodra u het kunt aantonen.
We nemen geen juridische stappen tegen onderzoekers die te goeder trouw handelen en deze regels volgen. Celery heeft geen betaald bugbountyprogramma.
Extra functies voor productbeveiliging
Toegangsrechten en rollen
Celery gebruikt rolgebaseerde toegang met minimale toegangsrechten. Uw Celery-account kent verschillende machtigingsniveaus: accountbeheerder, accountgebruiker, werkgeversgebruiker en werknemer.
Multifactorauthenticatie en SSO
Gebruikers kunnen multifactorauthenticatie gebruiken. Celery biedt ook single sign-on via SSO/SAML.
Incidentbeheer
We registreren, prioriteren, classificeren, verhelpen en evalueren beveiligingsincidenten. Bij datalekken informeren we toezichthouders wanneer dit verplicht is.
Gegevenslocatie
Gegevens blijven binnen Curaçao, het Koninkrijk der Nederlanden en de Europese Unie. Doorgifte naar andere locaties vindt alleen plaats als passende bescherming is geverifieerd.
Veilig en gebruiksvriendelijk!
Wij geloven in de balans tussen veiligheid en gebruiksgemak. Oordeel zelf door een test account aan te maken.
