Beveiligingsoverzicht

Bij faktoora is beveiliging de basis van alles wat wij ontwikkelen. Als e-factuurplatform voor gevoelige financiële gegevens beschermen wij uw gegevens op elk niveau – van de infrastructuur via de applicatie tot onze interne processen.

Onze beveiligingsprincipes

Versleuteling

Tijdens de overdracht

Externe communicatie is versleuteld met TLS 1.2 of hoger, waaronder API-aanroepen, webhookbezorgingen, bezorging van e-facturen en integraties met externe aanbieders. E-mails worden via TLS verzonden waar de ontvangende server dit ondersteunt.

Bij opslag

Onze productieservers gebruiken volledige schijfversleuteling voor databases en bestandsopslag, en onze back-ups zijn versleuteld. De toegang tot de sleutels is beperkt tot enkele uitdrukkelijk geautoriseerde personen.

Op applicatieniveau

De aanmelding verloopt via onze zelf beheerde identity provider – de faktoora-applicatie zelf slaat geen wachtwoorden op. API-sleutels worden alleen als eenrichtingshash opgeslagen en kunnen na het aanmaken niet worden opgevraagd. Gevoelige toegangsgegevens voor integraties worden vóór de opslag versleuteld. Vermeldingen in het auditlog zijn cryptografisch aan elkaar gekoppeld, zodat latere wijzigingen herkenbaar zijn.

Toegangscontrole

Toegang tot de applicatie

faktoora ondersteunt meerdere authenticatiemethoden:

• E-mail en wachtwoord via onze identity provider, met bescherming tegen brute-force-aanvallen en ondersteuning voor tweefactorauthenticatie
• Single sign-on (SSO) via OpenID Connect voor zakelijke klanten
• API-sleutels voor programmatische integraties, gehasht opgeslagen en met een verplichte vervaltijd van ten hoogste één jaar

Ons rechtenmodel gebruikt rolgebaseerde toegangscontrole met fijnmazige rechten, toegang per tenant voor accounts met meerdere bedrijven en functievrijgaven afhankelijk van het tarief.

Supporttoegang

Wanneer u contact opneemt met de support, kan geautoriseerd personeel van faktoora tijdelijk toegang krijgen tot uw account om het verzoek te onderzoeken en op te lossen. Deze toegang is beperkt tot geautoriseerd personeel, in de tijd begrensd en wordt vastgelegd in de audittrail waarin manipulatie herkenbaar is. Voor zakelijke klanten vindt deze alleen plaats in het kader van de verwerkersovereenkomst en de algemene voorwaarden (punt 8.11) – voor de afhandeling van een verzoek van de klant, voor foutanalyse of voor het leveren van de overeengekomen dienst.

Productie-infrastructuur

De toegang tot de productie is beperkt tot uitdrukkelijk geautoriseerd personeel en vereist meervoudige authenticatie. De productieomgeving is geïsoleerd van alle ontwikkelsystemen – geen enkele CI/CD-pipeline en geen enkel ontwikkelsysteem kan haar bereiken. Deployments worden uitsluitend handmatig uitgevoerd door geautoriseerde personen.

Levenscyclus van toegang

• Nieuwe teamleden krijgen toegang die past bij hun rol; toegang tot de productie vereist goedkeuring van de technische leiding
• Driemaandelijkse controle van de toegang tot coderepository's en productie
• Bij vertrek wordt de toegang direct ingetrokken en worden gedeelde toegangsgegevens die de persoon kende geroteerd

Veilig ontwikkelproces

Codewijzigingen volgen een gestructureerd proces:

1. Traceerbare wijzigingen – wijzigingen zijn gekoppeld aan gedocumenteerde eisen en acceptatiecriteria
2. Branch-isolatie – werk wordt in eigen branches ontwikkeld en via merge requests overgenomen in beschermde branches die alleen geautoriseerde maintainers mogen mergen
3. Geautomatiseerde kwaliteitscontroles – iedere merge request doorloopt linting, typecontrole, geautomatiseerde tests en buildverificatie; zolang deze mislukken, kan niet worden gemerged
4. Geautomatiseerde beveiligingsscans – statische codeanalyse en kwetsbaarheidsscans van de afhankelijkheden draaien geautomatiseerd in onze buildpipelines; bevindingen worden beoordeeld en op basis van risico behandeld
5. Verdiepte review – omvangrijke of risicovollere wijzigingen worden indien nodig door een tweede ontwikkelaar grondiger gecontroleerd, inclusief handmatige tests
6. Gefaseerde uitrol – wijzigingen doorlopen stagingomgevingen voordat zij in productie gaan

Beveiliging van de toeleveringsketen

Onze applicatiediensten zijn, waar beschikbaar, gebaseerd op geharde, minimale basisimages. De herkomst en handtekening daarvan worden vóór iedere build cryptografisch geverifieerd, en bij ieder geverifieerd basisimage hoort een software bill of materials (SBOM). Alle diensten draaien zonder rootrechten.

Beheer van afhankelijkheden

Afhankelijkheden van externe aanbieders worden voortdurend gemonitord op bekende kwetsbaarheden. In onze projecten worden nieuw gepubliceerde pakketversies pas na een wachttijd overgenomen – als bescherming tegen gecompromitteerde releases.

Beveiliging van de infrastructuur

Hosting

Alle productiesystemen worden geëxploiteerd in ISO 27001-gecertificeerde datacenters in Duitsland.

Scheiding van omgevingen

Ontwikkel-, test- en productieomgevingen zijn strikt gescheiden. De productie is geïsoleerd en vanuit geen enkele andere omgeving bereikbaar.

Netwerkbeveiliging

Onze infrastructuur gebruikt meerdere niveaus van netwerkbescherming, waaronder firewalls op provider- en hostniveau en authenticatie op applicatieniveau. Gegevensopslag is nooit rechtstreeks bereikbaar vanaf het internet. Administratieve toegang tot de productieservers vereist meervoudige authenticatie.

Foutmonitoring

De foutmonitoring van de applicatie draait op onze eigen infrastructuur in Duitsland. Foutrapporten worden al aan de clientzijde geminimaliseerd voordat zij worden verzonden.

Auditlogging

Gebruikersacties worden vastgelegd in een audittrail waaraan alleen kan worden toegevoegd. Iedere vermelding is cryptografisch gekoppeld aan de vorige, zodat latere wijzigingen herkenbaar zijn.

Beheer van secrets

Productiesecrets worden tijdens runtime aan de diensten ter beschikking gesteld, zijn niet toegankelijk vanuit ontwikkel- en testomgevingen, en de toegang is beperkt tot geautoriseerd personeel.

Vragen?

Voor beveiligingsvragen kunt u contact opnemen via security@faktoora.com.

Om een kwetsbaarheid te melden, bezoekt u onze pagina Melden van kwetsbaarheden.