Informatiebeveiligingsbeleid
Laatste update: april 2026
AI Survivors neemt informatiebeveiliging serieus. We passen dezelfde maatregelen toe die we klanten adviseren — geen uitzondering voor intern gebruik.
Infrastructuur
Alle productiesystemen draaien op servers binnen de Europese Unie:
- Serverhosting: Strato (Duitsland)
- Cloud-opslag en backups: Microsoft Azure West-Europa
- DNS en DDoS-bescherming: Cloudflare (EU-datacenters)
Encryptie
| Laag | Maatregel |
|---|---|
| In transit | TLS 1.3 voor alle verbindingen |
| At rest | AES-256 voor opgeslagen data |
| Backups | Versleuteld (AES-256-CBC) voor overdracht en opslag |
Toegangscontrole
- Clustertoegang uitsluitend via VPN (WireGuard)
- MFA verplicht voor alle productieomgevingen
- Least-privilege principe: elke dienst heeft alleen de rechten die noodzakelijk zijn
- Serviceaccounts met automatisch gemounteerde tokens zijn uitgeschakeld
Geheimenbeheer
Alle secrets (API-sleutels, wachtwoorden, certificaten) worden beheerd via Azure Key Vault. Er zijn geen hardcoded secrets in code of configuratiebestanden. Secrets worden automatisch gesynchroniseerd via de External Secrets Operator.
Monitoring & Detectie
- Prometheus + Grafana: infrastructuurmonitoring (CPU, geheugen, netwerk, opslag)
- Sentry: applicatiefoutbewaking (zelfgehost binnen de EU)
- Alertmanager: real-time Slack-meldingen bij kritieke gebeurtenissen
- Loki: gecentraliseerde logopslag voor alle diensten
Backups
- Dagelijkse versleutelde backups van alle PostgreSQL-databases naar Azure Blob Storage (EU)
- Maandelijkse geautomatiseerde restore-test om integriteit te verifiëren
- etcd-backups (Kubernetes cluster state) dagelijks, maandelijks geverifieerd
- Bewaartermijn: 30 dagen
Beveiligingstests bij elke release
| Maatregel | Tool |
|---|---|
| SAST (statische code-analyse) | Semgrep |
| Secret scanning | Gitleaks |
| DAST (dynamische scan) | OWASP ZAP |
| Netwerk-kwetsbaarhedenscan | Nuclei (maandelijks) |
| Container-kwetsbaarhedenscan | Trivy + SBOM |
| Kubernetes hardening check | kube-bench (CIS Benchmarks, wekelijks) |
Incidentrespons
Bij een beveiligingsincident geldt:
- Detectie en isolatie binnen 1 uur
- Beoordeling ernst en omvang
- Melding aan betrokkenen en toezichthouder waar AVG dit vereist (binnen 72 uur)
- Herstel en root-cause analyse
- Documentatie en verbeteringen
Kwetsbaarheden melden
Heeft u een kwetsbaarheid gevonden? Zie onze Responsible Disclosure pagina voor hoe u dit kunt melden en wat u kunt verwachten.
Toepassingsgebied
Dit beleid is van toepassing op alle systemen, medewerkers en verwerkers van AI Survivors die betrokken zijn bij het verwerken van klantgegevens en bedrijfsinformatie.
