Wat houdt de norm ISO/IEC 27001 in?
Fiabilis Consulting Group is een traject van gegevensbescherming aangegaan. De ISO 27001-certificering bevestigt ons vermogen om elk gegeven en elke informatie die essentieel is voor onze analyses te beschermen.
Wij bieden onze klanten, partners en medewerkers volledige beveiliging van hun gegevens door de invoering, de actualisering en het onderhoud van een geïntegreerd, globaal managementsysteem voor informatiebeveiliging (ISMS).
De certificering toont aan dat Fiabilis in staat is te beoordelen in hoeverre het kan inspelen op alle aanwezige risicocategorieën, of die nu voortkomen uit de infrastructuur, uit mensen of uit processen.
De norm ISO 27701, een aanvulling op ISO/IEC 27001
Als aanvulling op ISO 27001 behaalde Fiabilis in 2022 de ISO 27701-certificering. Deze internationale certificeringsnorm breidt het toepassingsgebied van 27001 uit naar de governance en de beveiligingsmaatregelen die nodig zijn om persoonsgegevens te beschermen. Zij houdt rekening met de belangrijkste toepasselijke teksten inzake de bescherming van persoonsgegevens, en in het bijzonder met de AVG.
Deze norm stelt ons in staat om, overeenkomstig het verantwoordingsbeginsel, aan te tonen dat onze interne praktijken voor de verwerking van persoonsgegevens aansluiten bij de basisbeginselen van de AVG (rechtmatigheid, behoorlijkheid en transparantie; doelbinding; minimale gegevensverwerking; juistheid; opslagbeperking; integriteit en vertrouwelijkheid).
Externe controle en verlenging van de ISO-certificeringen
Een overzicht van de maatregelen om uw gegevens te beschermen
- Ondertekening van een IT-charter en een vertrouwelijkheidsverbintenis
- Opleidingen, bewustmaking en regelmatige evaluatie van de kennis inzake informatiebeveiliging
- Rechtstreeks toezicht op bezoekers door een medewerker van Fiabilis gedurende het volledige bezoek
- Controles en beperkte toegang tot de gebouwen
- Geautomatiseerd en gedecentraliseerd beheer van de inventaris van bedrijfsmiddelen
- Beleid voor het beheer, de opvolging en de afvoer van toevertrouwde bedrijfsmiddelen gedurende hun hele levensduur
- Beveiligingsbeleid voor apparaten (automatische vergrendeling, complexiteit en rotatie van wachtwoorden, realtimebescherming tegen schadelijke software, firewall, schijfversleuteling, beperking van software-installatie, automatische updates enzovoort)
- Gecentraliseerd beleid voor het beheer van toegangsrechten met regelmatige onafhankelijke herzieningen
- Beleid voor het beheer van dienstverleners en leveranciers, met verplichte vertrouwelijkheidsverbintenis en jaarlijkse audit van hun beveiliging
- Beleid voor de controle van ontwikkelingen, code-audit en kwetsbaarheidstests
- Al onze bedrijfsmiddelen vallen onder het beheer van ons ISO 27001-gecertificeerde ISMS
- Aanstelling, in elk land, van een specialist inzake de bescherming van persoonsgegevens om na te gaan of onze activiteiten in overeenstemming zijn met de AVG en de andere privacywetgeving, en om specifieke adviezen te geven (DPO of Privacy Champion)
- Hosting van alle klant- en interne gegevens op onze eigen interne infrastructuur
- Strikt beleid voor het uitwisselen of delen van bestanden, uitsluitend via onze eigen intern gehoste tools
- Pseudonimisering van de gegevens vanaf het ogenblik dat zij van de website van de sociale zekerheid worden gedownload
- Geen enkele overdracht van gevoelige gegevens aan een verwerker
- Verplichte authenticatie van gebruikers met login en wachtwoord, met verplichte tweefactorauthenticatie (MFA) voor toegang op afstand (VPN)
- Gecentraliseerde archivering van de logs van gegevenstoegang
- Strikte levenscyclus van de gegevens in toepassing van de geldende regelgeving (AVG) en van de lokale aanbevelingen (de normen ISO 27001 en ISO 27701)
- Back-upbeleid dat de versleuteling en de opslaglocatie van de gegevens duidelijk vastlegt, zowel intern (in onze gebouwen) als op een beveiligde externe locatie.
- De volledige infrastructuur wordt lokaal gehost in onze eigen fysieke kantoren
- Fiabilis beschikt over verschillende interne netwerken die een fijnmazig toegangsbeheer en een scheiding van de omgevingen mogelijk maken
- Toegang tot de gegevens, voorbehouden aan het personeel van Fiabilis, is alleen mogelijk via een lokale fysieke verbinding of via de VPN beveiligd met tweefactorauthenticatie (MFA)
- Elk jaar auditeert, controleert en certificeert de onafhankelijke instantie Aenor ons ISMS overeenkomstig onze ISO 27001-certificering, naast de controle van ons PIMS krachtens ISO 27701.
- Een intern auditplan waarborgt de samenhang van de PDCA-cyclus (Plan, Do, Check, Act), die onmisbaar is voor al onze processen
- Elk jaar voeren de interne IT-teams 3 interne penetratietests uit. Die worden aangevuld met 1 externe en onafhankelijke penetratietest en kwetsbaarheidsscan.
Naleving van de gegevensbescherming – FAQ
1) Welke rol speelt Fiabilis bij de verwerking van klantgegevens?
Fiabilis verwerkt de persoonsgegevens van zijn klanten in beginsel als verwerker. Vóór de start van een analyse ondertekenen wij met elke klant een passende verwerkersovereenkomst (Data Processing Agreement of DPA). Die overeenkomst bepaalt nauwkeurig volgens welke beginselen de verwerking zal plaatsvinden, alsook onze verplichtingen tijdens dat proces, overeenkomstig artikel 28 van de AVG.
2) Hoe worden de gegevens naar Fiabilis overgedragen?
Wij hebben voor elke klant een beveiligd en individueel platform voor gegevensuitwisseling gecreëerd, waarlangs de klant zijn gegevens rechtstreeks naar onze server kan sturen. De klant kan ook kiezen voor een gegevensoverdracht volgens zijn eigen vereisten, bijvoorbeeld via een specifieke interne infrastructuur die hij zelf ter beschikking stelt.
3) Waar en hoe lang worden de gegevens bewaard?
Uw gegevens worden uitsluitend opgeslagen en verwerkt op onze beveiligde servers in Europa. Overeenkomstig de bepalingen van de DPA worden zij bewaard voor de overeengekomen duur en daarna definitief verwijderd.