Beveiliging en controles

Alle communicatie verloopt via TLS. Gegevens in rust worden versleuteld door de infrastructuurleveranciers (Convex, Vercel).

Details over sleutels en het beheer van versleuteling in rust: gegevens in rust worden door de infrastructuurleveranciers versleuteld met gangbare algoritmen (AES-256) en de sleutels worden door hen beheerd; OneSpec heeft geen toegang tot de sleutels en bewaart er geen kopie van.

Rolgebaseerde toegang (eigenaar, beheerder, lid) met controle aan serverzijde bij elke bewerking. Elk gevoelig record is gekoppeld aan de organisatie en query's zijn per organisatie geïsoleerd.

Eén enkele platform-superbeheerder wordt bepaald via een lijst van e-mailadressen in een omgevingsvariabele.

Sessiebeheer met de mogelijkheid om afzonderlijke apparaten in te trekken en op alle apparaten uit te loggen.

Sleutels en geheimen worden beheerd via omgevingsvariabelen van het deploymentplatform en staan niet in de code, logs of foutmeldingen.

De applicatie past HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy en een Content-Security-Policy toe die het insluiten van de beveiligde omgeving verbiedt. De widget gebruikt een eigen CSP met de lijst van per organisatie toegestane domeinen.

Limieten gelden voor: inloggen, het verzenden van offertes via de widget (per IP en per configurator), gegevensexports. Botcontrole met Cloudflare Turnstile bij verzendingen via de widget.

Administratieve handelingen en gevoelige bewerkingen (publicatie van catalogi, statuswijzigingen, exports, verwijderingsverzoeken) worden vastgelegd met actor, object en tijdstip.

Back-ups en herstel worden beheerd door de databaseleverancier. Back-upbeleid, RPO/RTO-doelstellingen en periodieke hersteltests: de leverancier maakt back-ups van de infrastructuur en OneSpec kan de gegevens exporteren; contractuele RPO/RTO-doelstellingen worden momenteel niet gegarandeerd; ze worden periodiek gecontroleerd en op verzoek meegedeeld.

Scannen van afhankelijkheden en geheimen, updates en beveiligingsreview vóór releases.

Draaiboek voor incidenten en meldingstermijnen: bij een inbreuk in verband met persoonsgegevens start OneSpec de interne procedure voor beperking en analyse en informeert de Klant zonder onredelijke vertraging en in elk geval binnen 72 uur na ontdekking, zodat hij aan de verplichtingen van art. 33 AVG kan voldoen.

Voor beveiligingsmeldingen: hello@onespec.eu.

Voor contractuele vragen, geschillen of juridische mededelingen over dit document: office@core829.net.

Voor commerciële vragen: sales@core829.net. Voor ondersteuning bij de dienst en aanvragen voor Enterprise-abonnementen op maat: hello@onespec.eu.