Incidentrespons
faktoora hanteert een gestructureerd incidentmanagementproces dat is afgestemd op de eisen van DORA (Digital Operational Resilience Act). Deze pagina beschrijft hoe wij beveiligingsincidenten detecteren, classificeren, erop reageren en erover communiceren.
Detectie
Wij zetten meerdere monitoringniveaus en automatische alarmering in om incidenten in onze applicatie, infrastructuur en toeleveringsketen vroegtijdig te detecteren.
Classificatie
Vanaf het moment waarop wij kennis krijgen van een incident begint de beoordeling binnen 30 minuten; er wordt geclassificeerd aan de hand van de volgende criteria:
| Factor | Beoordeling |
|---|---|
| Aantal betrokken klanten | Eén klant, een deel of alle klanten |
| Duur van de gevolgen | Tijdelijk, aanhoudend of doorlopend |
| Gevoeligheid van de gegevens | Openbaar, intern, vertrouwelijk of beperkt |
| Kritikaliteit van de dienst | Kernplatform, ondersteunende dienst of niet-kritiek |
| Economische gevolgen | Gevolgen voor omzet, contracten of regelgeving |
Ernstniveaus
Kantooruren zijn maandag tot en met vrijdag, 09:00–17:00 uur (CET/CEST), met uitzondering van wettelijke feestdagen in Beieren. Voor klanten met het tarief „Maatwerk“ („Individuell“, Enterprise) gelden de termijnen uit deel 10 van de Service Level Agreement.
| Ernstniveau | Definitie | Reactietijd |
|---|---|---|
| Kritiek | Kerndienst niet beschikbaar of bevestigd datalek | Automatische detectie de klok rond; begin van de beoordeling binnen 30 minuten nadat wij kennis hebben gekregen van het incident |
| Hoog | Aanzienlijke gevolgen voor gebruikers of potentiële blootstelling van gegevens | Zonder onredelijke vertraging tijdens kantooruren |
| Gemiddeld | Beperkte gevolgen, geen gegevens in gevaar | Binnen 1 werkdag |
| Laag | Klein probleem, geen gevolgen voor gebruikers | Binnen 5 werkdagen |
Communicatie met klanten
| Ernstniveau | Termijn voor kennisgeving | Kanaal |
|---|---|---|
| Kritiek | Binnen 1 uur na classificatie, updates elke 2 uur | E-mail aan betrokken klanten |
| Hoog | Binnen 4 uur bij gevolgen voor gebruikers | E-mail aan betrokken klanten |
| Gemiddeld | Op verzoek beschikbaar | Via supportkanalen |
| Laag | Op verzoek beschikbaar | Via supportkanalen |
Ondersteuning van uw meldingen aan toezichthouders
Veel van onze klanten hebben eigen meldplichten – bijvoorbeeld financiële entiteiten volgens DORA of verwerkingsverantwoordelijken volgens de AVG. Ons incidentproces is erop ingericht u de informatie voor uw eigen meldingen tijdig te verstrekken:
| Informatie | Tijdstip | Inhoud |
|---|---|---|
| Eerste melding | Binnen 4 uur na classificatie als ernstig incident (uiterlijk 24 uur na detectie) | Type incident, betrokken diensten, tijdstip van detectie, voorlopige beoordeling van de gevolgen |
| Tussentijdse stand | Binnen 72 uur na de eerste melding | Geactualiseerde beoordeling van de gevolgen, oorzaak (indien bekend), indammingsmaatregelen, betrokken gegevens |
| Eindrapport | Binnen 1 maand na de tussentijdse stand | Oorzaakanalyse, totale gevolgen, herstelmaatregelen, inzichten |
Inbreuken in verband met persoonsgegevens melden wij zonder onredelijke vertraging aan onze klanten, zoals vastgelegd in onze verwerkersovereenkomst. Voor zover faktoora zelf verwerkingsverantwoordelijke is, melden wij aan de bevoegde toezichthoudende autoriteit overeenkomstig art. 33 AVG.
Indamming en herstel
Ons incidentresponsproces volgt deze fasen:
- Indamming - betrokken systemen isoleren om verdere gevolgen te voorkomen
- Veiligstellen van bewijs - auditlogs, applicatielogs en toegangslogs veiligstellen
- Oorzaakanalyse - de onderliggende oorzaak identificeren
- Verhelping - correcties implementeren en de verhelping verifiëren
- Herstel - de normale werking herstellen en de stabiliteit bevestigen
Post-incident review
Ieder incident met ernstniveau Hoog of Kritiek wordt binnen 5 werkdagen geëvalueerd:
- Volledige tijdlijn van detectie, reactie en herstel
- Oorzaakanalyse
- Beoordeling van de gevolgen (klanten, gegevens, diensten)
- Beoordeling van de doeltreffendheid van de reactie
- Preventieve maatregelen om herhaling te voorkomen
Opgedane inzichten worden gedocumenteerd en verwerkt in onze beveiligingsmaatregelen en -procedures.
Bewaring van incidentregistraties
Alle incidentregistraties worden in navolging van DORA ten minste 5 jaar bewaard.
Een incident melden
Als u een beveiligingsincident vermoedt dat faktoora of uw gegevens betreft:
- Beveiligingsincidenten: security@faktoora.com
- Privacy-incidenten: privacy@faktoora.com
Voor meldingen van kwetsbaarheden bezoekt u onze pagina Melden van kwetsbaarheden.