Security

Security

Wij verkopen security, dus zelf zijn wij security. Hieronder leest u op hoofdlijnen hoe wij de gegevens van onze klanten beschermen. Specifieke configuraties houden wij bewust vertrouwelijk.

Hosting en datacenters

Het CybearEye-platform draait volledig op Nederlandse infrastructuur. Onze primaire server staat in een TransIP-datacenter in de regio Amsterdam, met ISO 27001-certificering. Sinds juni 2026 draait er een tweede omgeving in een TransIP-datacenter in Alblasserdam, eveneens ISO 27001-gecertificeerd. Die tweede locatie houdt via doorlopende database-replicatie een actuele kopie van de database bij. Valt de primaire locatie uit, dan zetten wij de dienst vanaf die kopie weer op.

Wij maken geen gebruik van Amerikaanse cloud-leveranciers. Uw gegevens verlaten de EU niet en wij hebben geen blootstelling aan de CLOUD Act.

Versleuteling

• In transit: al het verkeer met onze website en het platform verloopt over TLS 1.3 met een Let's Encrypt-certificaat. HTTP-verkeer wordt automatisch geredirect naar HTTPS en wij dwingen HTTPS af via HSTS.
• At rest: backups worden versleuteld voordat ze de server verlaten en zijn zonder onze sleutel onleesbaar. De productieserver staat in een afgeschermd, ISO 27001-gecertificeerd datacenter. Versleuteling van de serverschijf zelf hebben wij nog niet ingericht.
• Verkeer tussen onze eigen servers: loopt over een versleutelde, afgeschermde verbinding en niet over het open internet. De database is niet publiek benaderbaar.
• Wachtwoorden: nooit als platte tekst opgeslagen. Wachtwoord-hashes worden beheerd door onze authenticatie-laag (Keycloak), met een modern, gesalt algoritme dat specifiek voor wachtwoorden is ontworpen. Wij kunnen uw wachtwoord niet uitlezen.

Toegangsbeheer

Het aantal personen met toegang tot productie-systemen is bewust klein gehouden. Toegang verloopt via:

• SSH met sleutel-authenticatie, geen wachtwoord-login
• Een strikte lijst van geautoriseerde beheerders, periodiek herzien
• Tweefactor-authenticatie op de beheerportalen van onze leveranciers en op onze code-repositories
• Logging en audit-trail van iedere wijziging op productie

Wie met een wachtwoord inlogt op het platform, gebruikt verplicht tweestapsverificatie. Dat geldt voor iedere gebruiker, niet alleen voor beheerders. Logt uw organisatie in via Microsoft of Google, dan gelden de aanmeldregels van uw eigen omgeving, waaronder uw eigen tweestapsverificatie.

Scheiding van gegevens en minimale rechten

Dit is het onderdeel waar wij het strengst in zijn, omdat het de kern van een ISMS raakt.

• Tussen organisaties: elke opvraging in het platform is gebonden aan de organisatie van de ingelogde gebruiker. Een gebruiker van organisatie A kan geen gegevens van organisatie B zien, ook niet door te knutselen met identificatienummers in de adresbalk.
• Binnen een organisatie: het platform werkt volgens het beginsel van minimale rechten. Een medewerker ziet processen, assets, leveranciers, risico's, problemen en incidenten waaraan hij of zij daadwerkelijk gekoppeld is, plus wat bij de eigen rol hoort. Wie goedkeuringsbevoegdheid heeft, zoals een CISO of directie, ziet het volledige beeld.
• Rollen en rechten: rechten zijn fijnmazig ingericht per module en per handeling, met rol-templates als startpunt. De beheerder van uw organisatie bepaalt wie wat mag.
• Aantoonbaar: deze scheiding is niet alleen ontworpen maar ook getest. Een geautomatiseerde testsuite controleert bij elke release opnieuw dat gegevens niet over organisatiegrenzen of rolgrenzen heen lekken.

Audit-trail en inzicht voor de klant

Elke relevante wijziging in het platform wordt vastgelegd met gebruiker, tijdstip, module en object. Die audit-trail is voor beheerders van uw organisatie zelf in te zien, dus u hoeft ons niet te vragen om te weten wie wat heeft gedaan. Beheerders kunnen daarnaast op elk moment een volledige export van de eigen gegevens maken en verwijderingsverzoeken afhandelen, zonder tussenkomst van ons.

Hardening

Onze servers zijn gehard volgens een vaste configuratie:

• Firewall met default-deny op alle inkomend verkeer, alleen noodzakelijke poorten open
• Brute-force-bescherming en snelheidslimieten op login- en API-endpoints
• Beveiligingsheaders op alle webverkeer, waaronder een strikt contentbeleid tegen scriptinjectie
• Automatische installatie van security-updates voor het besturingssysteem
• Geen onnodige services actief
• Centrale logmonitoring die afwijkende patronen signaleert
• SPF, DKIM en DMARC op onze maildomeinen, zodat mail uit onze naam niet na te maken is

Veilig ontwikkelen

• Alle invoer wordt aan de serverzijde gevalideerd voordat er iets wordt opgeslagen, ook wanneer de gebruiker de interface omzeilt.
• Wij scannen onze softwarebibliotheken doorlopend op bekende kwetsbaarheden en houden ze actueel.
• Geheimen zoals sleutels en wachtwoorden staan niet in onze broncode. Dat controleren wij geautomatiseerd over de volledige geschiedenis.
• Voor elke release draaien geautomatiseerde testsuites op toegangscontrole, gegevensscheiding en de juistheid van gekoppelde gegevens.
• Elke nieuwe versie draait eerst op een aparte testomgeving zonder klantgegevens. Pas daarna zetten wij precies diezelfde versie live.
• In juli 2026 hebben wij een volledige interne security-audit van platform en infrastructuur uitgevoerd en alle bevindingen met hoge en middelhoge prioriteit opgelost. Een externe toets is onderdeel van ons ISO 27001-traject.

Kunstmatige intelligentie

De AI-ondersteuning in het platform draait bij Mistral AI in Parijs, dus binnen de EU. Een analyse start wanneer u erom vraagt. De enige uitzondering is een overeenkomst die u uploadt: die leest CybearAI direct, zodat u meteen ziet waar die afwijkt van uw leveranciersbeleid. Een beheerder kan dat uitzetten. Wij sturen zo min mogelijk gegevens mee en uw gegevens worden niet gebruikt om modellen te trainen. AI-uitvoer is altijd een voorstel dat u overneemt of weggooit, nooit een automatisch besluit. De details staan in ons privacy statement.

Backups

Dagelijkse backups van database en applicatie-data, versleuteld opgeslagen in een gescheiden omgeving binnen Nederland, los van de servers waarop het platform draait. Ook de gebruikersaccounts zitten in de backup. Backups worden 30 dagen bewaard. Wij beschikken over een uitgeschreven herstelprocedure en oefenen het terugzetten periodiek, voor het laatst op 14 oktober 2026.

Vulnerability management

Wij volgen actief CVE-meldingen voor de software die wij gebruiken. Kritieke security-patches worden binnen 72 uur na publicatie uitgerold, hoog-risico-patches binnen 7 dagen. Voor minder urgente updates volgen wij een vast onderhoudsritme.

Incident response

Bij een security-incident hanteren wij een vast protocol:

1. Detectie en initiële inperking
2. Klantcommunicatie binnen wettelijke termijnen, conform AVG (72 uur bij datalek met persoonsgegevens) en NIS2 (vroegtijdige melding binnen 24 uur, gedetailleerde melding binnen 72 uur)
3. Onderzoek en herstel
4. Post-incident-review en preventieve maatregelen

Koppelingen met uw eigen systemen

CybearEye kan koppelen met onder meer Microsoft 365, Google Workspace, AFAS, Nmbrs en TOPdesk. Een koppeling zet de beheerder van uw organisatie zelf aan. CybearEye vraagt daarbij alleen leesrechten, slaat toegangssleutels versleuteld op en schrijft nooit iets terug in uw systemen. Wat een koppeling vindt, komt als meting of voorstel bij u binnen en wordt niet automatisch in uw ISMS overgenomen.

Microsoft en Google zijn in dat geval leveranciers van uw organisatie, niet van ons. CybearEye haalt er alleen de gegevens op die de koppeling nodig heeft.

Certificering

CybearEye Core staat live: het ISMS met alle modules. Wetten en normen zijn losse modules die u per stuk activeert. Wij noemen een module pas als hij beschikbaar is en beloven geen opleverdatums die wij niet zeker weten.

CybearSquad werkt volgens ISO 27001 en zit in het traject naar certificering; de formele certificering door een geaccrediteerde instelling hebben we nog niet. Onze datacenters bij TransIP zijn ISO 27001-gecertificeerd.

Verwerkers en sub-processors

Wij maken gebruik van een beperkt aantal zorgvuldig geselecteerde verwerkers, allemaal binnen de EU. Een actueel overzicht met vestigingsland, doel en verwerkte gegevens staat als tabel in ons privacy statement. Nieuwe verwerkers kondigen wij minimaal 30 dagen vooraf aan bij onze klanten. Onze verwerkersovereenkomst staat openbaar op de site, dus u hoeft er niet om te vragen.

Responsible disclosure

Heeft u een kwetsbaarheid ontdekt in CybearEye? Meld dit aan ons via security@cybeareye.nl met als onderwerp "Responsible Disclosure". Wij reageren binnen vijf werkdagen, onderzoeken de melding en houden u op de hoogte van het verloop. Geef ons redelijke tijd om te herstellen voordat u publiceert. Wij ondernemen geen juridische stappen tegen melders die zich aan deze afspraken houden. Misbruik van een kwetsbaarheid voor andere doeleinden dan responsible disclosure is niet toegestaan.

Onze contactgegevens voor security-meldingen staan ook machine-leesbaar op /.well-known/security.txt, conform RFC 9116.

Specifieke implementatie-details, IP-adressen, exacte software-versies, firewall-regels en interne procedures publiceren wij bewust niet. Voor klanten met een actieve overeenkomst stellen wij een uitgebreidere security-bijlage beschikbaar onder geheimhouding.