Isolatie per klant
Het platform is multi-tenant met strikte logische scheiding: elke lees- en schrijfactie is in de datalaag en in de applicatielaag beperkt tot de identificatie van jouw account. Je gegevens zijn vanuit het account van een andere klant niet zichtbaar en niet bereikbaar, en er bestaan geen accountoverstijgende zoekopdrachten voor gebruikers.
- Doorlopende controle, geen belofte. Een geautomatiseerde bewaker controleert de productieomgeving regelmatig op elke configuratie die gegevens tussen accounts zou kunnen vermengen en meldt dit aan de vitale functies van het platform. De scheiding wordt niet aangenomen, maar gemeten.
- Publieke onderdelen (formulieren, widgets, webhooks) zijn tot het minimum beperkt en authenticeren via een token of een identificatie met beperkte reikwijdte; al het andere vereist een geauthenticeerde sessie.
- Wijzigingen worden voorbereid en getest in een aparte werkomgeving voordat ze naar productie gaan.
Identiteit en toegangsbeheer
- Niet te herstellen wachtwoorden. Ze worden uitsluitend opgeslagen als cryptografische eenrichtingshash met salt (bcrypt). Niemand, ook het team van OMB niet, kan ze lezen of reconstrueren.
- Rollen met minimale rechten. Eigenaar, beheerder en gebruiker, met rechten per module: iedereen ziet alleen wat zijn of haar functie vereist.
- Versterkte sessies. Cookies met Secure, HttpOnly en SameSite; de functie om ingelogd te blijven gebruikt gesplitste tokens die bij elk gebruik roteren en in constante tijd worden vergeleken, zodat een gestolen oude cookie het account niet opent.
- Tweestapsverificatie beschikbaar voor accounts die dat nodig hebben, en passkeys die worden uitgerold als voorkeursmethode, omdat ze door hun ontwerp bestand zijn tegen phishing.
- Extra verificatie per module. Modules die je als gevoelig markeert, kunnen bij het openen een extra verificatie vragen, ook als de sessie al actief is, zoals bij internetbankieren gebruikelijk is.
Versleuteling
| Laag | Technologie | Toelichting |
|---|---|---|
| Tijdens transport | TLS | Alle communicatie is versleuteld: portaal, API, widgets en integraties. |
| Geheimen en inloggegevens | AES-256-GCM | E-mailwachtwoorden, integratiesleutels en door klanten toevertrouwde inloggegevens worden versleuteld opgeslagen met integriteitsauthenticatie. De hoofdsleutel staat buiten de coderepository en buiten het bereik van de webserver, met beperkende rechten en rotatie zonder verlies. |
| Klantkluizen | AES-256-GCM | Inloggegevens voor portalen van derden die een klant aan het platform toevertrouwt, bestaan uitsluitend in versleutelde vorm, zonder menselijke inzage bij normaal gebruik, met definitieve verwijdering op verzoek. |
| Gebruikerswachtwoorden | bcrypt | Eenrichtingshash met salt. Ontsleutelen is niet mogelijk. |
| Ondertekende documenten | SHA-256 + RFC 3161 | Elk ondertekend contract is gekoppeld aan zijn cryptografische vingerafdruk met een cryptografisch tijdstempel. |
Perimeter, back-ups en continuïteit
- Firewall op infrastructuurniveau en blokkering door de webserver van alle gevoelige bestanden (configuratie, logbestanden, back-ups, versiebeheer): ze zijn niet bereikbaar vanaf internet.
- Sessieopslag buiten de publieke mappenstructuur, met beperkende rechten.
- Dagelijkse, gecontroleerde en versleutelde back-ups. Elke databaseback-up wordt gecontroleerd voordat hij wordt bewaard (een back-up die de controle niet doorstaat, wordt niet als goed bewaard) en versleuteld met AES-256 met een eigen sleutel, los van de operationele sleutel en bewaard buiten de repository en buiten de back-upmap.
- Back-ups schenden je privacy niet. Ze worden uitsluitend gebruikt voor herstel, nooit voor inzage. Gegevens in de versleutelde Kluis komen al versleuteld met jouw sleutel in de back-up terecht: ook daar zijn ze niet leesbaar. De rotatie bedraagt maximaal 14 dagen, zodat verwijderde gegevens binnen die termijn ook uit de back-ups verdwijnen.
- Doorlopende bewaking van de vitale functies van het platform met detectie van afwijkingen.
Traceerbaarheid en bewijskrachtige documenten
- Vastlegging van relevante handelingen (aanmaak, wijzigingen, verzendingen, handtekeningen) met datum, tijd, IP-adres en gebruiker.
- Wanneer bevoegde medewerkers in toezichtmodus werken, legt het platform de werkelijke identiteit vast van degene die handelt, niet alleen het account waarin wordt gehandeld.
- Bewijskrachtige documenten (contracten en betaalbewijzen) worden aan de serverzijde gegenereerd, blijven gekoppeld aan hun SHA-256-vingerafdruk en bewaren hun volledige gebeurtenisketen. Het ondertekende bestand is aantoonbaar het document dat werd getoond.