Secure by Design
Beveiligingsvereisten worden vanaf requirements, architectuur en development meegenomen.
Security & Privacy
Zerfion ontwikkelt software voor omgevingen waarin zorgvuldig omgaan met gegevens essentieel is. Daarom behandelen we informatiebeveiliging, privacy en verantwoord AI-gebruik als architectuurvereisten en niet als toevoeging achteraf.
Zerfion claimt geen certificering of volledige compliance voordat deze daadwerkelijk is aangetoond. Ontwerpprincipes, technische controls, testen en onafhankelijke assurance worden daarom bewust van elkaar onderscheiden.
Uitgangspunten
Deze principes sturen requirements, architectuur, development en toekomstige operationele processen.
Beveiligingsvereisten worden vanaf requirements, architectuur en development meegenomen.
Dataminimalisatie, doelbinding en bescherming van persoonsgegevens worden onderdeel van het ontwerp.
Gebruikers en systemen krijgen alleen toegang die noodzakelijk is voor hun taak.
Beveiliging wordt opgebouwd uit meerdere onafhankelijke technische en organisatorische lagen.
Belangrijke acties en wijzigingen moeten controleerbaar en herleidbaar zijn.
Technische beveiliging
Voor Product v1 en een productiepilot worden technische controls systematisch geïmplementeerd en getest.
MFA, SSO-ondersteuning, role-based access control, sessiebeheer en lifecycle van accounts.
Organisatiegegevens moeten technisch van elkaar gescheiden blijven en ongeautoriseerde toegang blokkeren.
Versleuteling tijdens transport en opslag, met veilig beheer van sleutels en secrets.
Dataminimalisatie, classificatie, bewaartermijnen en gecontroleerde verwijdering.
Relevante beveiligingsgebeurtenissen, beheerdersacties en datatoegang moeten controleerbaar zijn.
Code review, dependency scanning, secret scanning, SAST en andere geautomatiseerde controles.
Versleutelde back-ups, herstelprocedures en periodieke restore-tests.
Gescheiden omgevingen, gecontroleerde deployment, netwerkbeveiliging en minimaal noodzakelijke services.
Tenant-isolatie
Multi-tenancy vraagt meer dan alleen een organisatie-id in de interface. Autorisatie en data-isolatie moeten technisch worden afgedwongen en automatisch worden getest.
Secure development
Problemen moeten zo vroeg mogelijk worden gevonden, niet pas wanneer een applicatie al bij een klant draait.
Securityeisen onderdeel van features en architectuur.
Code review, veilige defaults en gecontroleerd secretsbeheer.
Dependency-, secret- en applicatiescans in de ontwikkelstraat.
Beveiligingsbevindingen meewegen voordat software naar productie gaat.
Een back-up is pas waardevol wanneer herstel aantoonbaar werkt. Voor productie worden daarom back-up, restore-tests, hersteldoelstellingen en incidentprocedures onderdeel van de operationele inrichting.
Beveiliging gaat niet alleen over voorkomen. Detectie, containment, herstel, communicatie en evaluatie moeten vooraf worden georganiseerd zodat niet tijdens een incident nog moet worden bedacht wat er moet gebeuren.
Privacy & AVG
WerkKompas kan gevoelige context rondom mensen verwerken. Daarom zijn dataminimalisatie, doelbinding, bewaartermijnen, rechten van betrokkenen en passende beveiliging belangrijke uitgangspunten.
AI kan binnen WerkKompas ondersteunen bij structureren, signaleren en matching. Dat maakt governance, transparantie en menselijke controle noodzakelijk.
Menselijke beoordeling blijft onderdeel van relevante beslissingen
Alleen noodzakelijke gegevens gebruiken voor AI-verwerking
AI-provider, verwerking, opslag en subverwerkers vooraf beoordelen
Belangrijke AI-acties en uitkomsten waar passend loggen
Bias, nauwkeurigheid en uitlegbaarheid meenemen in tests
Referentiekader
Deze kaders gebruiken we om requirements en controls te structureren. Het noemen van een norm betekent niet automatisch dat Zerfion daarvoor gecertificeerd is of volledige compliance claimt.
Privacy, gegevensbescherming, dataminimalisatie en passende technische en organisatorische maatregelen.
Overheidsbreed informatiebeveiligingskader dat relevant is voor onze gemeentelijke doelgroep.
Referentiekader voor het opzetten en later aantoonbaar beheersen van informatiebeveiliging.
Praktische beveiligingsmaatregelen en controls voor informatiebeveiliging.
Relevant voor digitale weerbaarheid en ketenbeveiliging bij organisaties die onder de wet vallen.
Governance, transparantie, menselijke controle, logging en risicobeheersing voor AI-functionaliteit.
Technisch referentiekader voor verifieerbare applicatiebeveiliging.
Veelvoorkomende risico's in webapplicaties en API's meenemen in development en testen.
Zerfion is op dit moment niet ISO 27001-gecertificeerd en presenteert BIO2-compliance niet als reeds bewezen feit. Formele assurance volgt pas wanneer implementatie, bewijs en onafhankelijke beoordeling dit ondersteunen.
Assurance
Voor gebruik met echte gemeentelijke persoonsgegevens hoort onafhankelijke beveiligingsbeoordeling bij de route naar productie.
Architectuur en belangrijke technische controls laten beoordelen door een externe specialist.
De productieomgeving vóór serieuze ingebruikname onafhankelijk op kwetsbaarheden laten testen.
Beveiliging blijft een doorlopend proces met periodieke tests, updates en risico-evaluatie.
Huidige status
WerkKompas bevindt zich in de validatie- en pilotvoorbereidingsfase. Niet alle productiecontrols zijn daarom al volledig operationeel of onafhankelijk gevalideerd.
Secure by Design, Privacy by Design, Least Privilege en menselijke regie zijn vastgelegde uitgangspunten.
De volledige set technische en organisatorische controls wordt richting Product v1 en pilot geïmplementeerd.
Externe securityreview en penetratietest maken deel uit van de route naar een echte productiepilot.
WerkKompas bekijken
WerkKompas bevindt zich in de pilot- en validatiefase. We spreken graag met professionals binnen Werk & Inkomen over hun huidige werkwijze en behoeften.