Je vertrouwt ons je administratie toe, en dat is niet niks: daar staat je omzet in, je klanten, je bankmutaties en je aangiftes. Op deze pagina staat wat we doen om die gegevens te beschermen, waar ze staan, en wat er gebeurt als er iets misgaat.
Waar we op sturen
Informatiebeveiliging gaat bij ons om drie dingen. Ze staan hier op volgorde van hoe vaak mensen ernaar vragen.
Vertrouwelijkheid
Je gegevens zijn alleen te zien voor wie jij daar toegang toe geeft. Dat regelen we met encryptie van gegevens in opslag én tijdens transport, met strikte authenticatie en autorisatie op elk systeem, en met privacytraining voor iedereen die bij ons werkt.
Integriteit
Je cijfers moeten kloppen en volledig zijn. Daarvoor hebben we beschermingsmechanismen die ongeoorloofde wijzigingen tegenhouden, logging en monitoring waarmee elke handeling op je gegevens te herleiden is, en back-ups met herstelprocedures die we ook echt beproeven.
Beschikbaarheid
Je moet erbij kunnen wanneer jij dat wilt. Daarom staat de infrastructuur redundant opgesteld, monitoren we doorlopend op prestaties en storingen, en is er een IT-operations team dat 24/7 kan ingrijpen.
Je bank loopt niet via een tussenpartij
Jortt heeft een eigen PSD2-vergunning van De Nederlandsche Bank, sinds 18 mei 2020. Dat betekent dat je banktransacties rechtstreeks tussen je bank en jortt lopen. Er zit geen derde partij tussen die je afschriften ook te zien krijgt. Bij veel andere boekhoudprogramma’s is dat wel zo, want die huren een vergunninghouder in.
Het datacenter
Je gegevens staan in een datacenter in Frankfurt, met een tweede locatie in Nederland. De beveiliging daarvan zit op vier lagen.
Fysiek. Toegang gaat via biometrische scanners en elektronische kaartlezers, zodat alleen geautoriseerd personeel binnenkomt. Camera’s houden 24/7 toezicht op de buitenkant, de toegangspunten en de belangrijke ruimtes binnen. Inbraakdetectie meldt elke onbevoegde poging direct aan het beveiligingsteam.
Infrastructuur. Meerdere noodstroomvoorzieningen, waaronder generatoren en UPS-systemen, houden de boel draaien als de stroom wegvalt. Koelsystemen bewaken temperatuur en luchtvochtigheid. Rookdetectie en blussystemen beperken de schade bij brand.
Netwerk. Al het verkeer van en naar het datacenter is versleuteld. Er is bescherming tegen DDoS-aanvallen, en het netwerkverkeer wordt doorlopend gemonitord op verdachte activiteit.
Personeel. Iedereen met toegang tot de faciliteit is vooraf gescreend, en krijgt regelmatig training over de actuele beveiligingsprocedures.
Certificeringen van het datacenter
Deze certificeringen zijn van de datacenterleverancier, niet van jortt zelf. Ze zeggen iets over de omgeving waarin je gegevens staan, en dat is precies waarvoor ze bedoeld zijn.
| Norm | Waar het over gaat |
|---|---|
| ISO 27001 | Managementsysteem voor informatiebeveiliging |
| ISO 27017 | Beveiligingsmaatregelen specifiek voor clouddiensten |
| ISO 27018 | Bescherming van persoonsgegevens in de cloud |
| ISO 9001 | Kwaliteitsmanagement |
| ISO 20022 | Standaard voor elektronisch berichtenverkeer tussen financiële instellingen |
| PCI DSS Level 1 | Hoogste niveau voor het verwerken van creditcardtransacties |
| SOC 1, 2 en 3 | Audits op interne beheersing, beveiliging, beschikbaarheid en privacy |
| FedRAMP | Amerikaanse overheidsstandaard voor clouddiensten |
De AVG staat hier bewust niet tussen: dat is geen certificering maar wetgeving, waar wij ons net als elke verwerker aan te houden hebben. Hoe we dat doen staat in het privacybeleid.
Redundantie: twee locaties, geen enkel punt van falen
Er staan meerdere datacenters op verschillende plekken: het primaire in Frankfurt en een tweede in Nederland. Die spreiding beschermt tegen een regionale storing.
Tussen die twee loopt doorlopend synchronisatie, zodat de gegevens op beide plekken actueel zijn. Valt er iets uit, dan neemt een geautomatiseerd failover-systeem de dienstverlening over zonder dat jij daar iets van merkt; zodra het primaire systeem weer draait, gaat het zonder onderbreking terug. Load balancers verdelen het verkeer over servers en locaties, wat niet alleen sneller is maar ook voorkomt dat één server een kritiek punt wordt.
Back-ups
Naast die synchronisatie draaien er regelmatige back-ups van alle gegevens, opgeslagen in allebei de datacenters. Raakt er iets kwijt of beschadigd, dan herstellen we daaruit.
In Nederland staat bovendien een aparte back-upfaciliteit voor langdurige opslag. Die is bedoeld als laatste verdedigingslinie: puur voor noodherstel, met vaste intervallen bijgewerkt.
Wat jij zelf kunt doen
De helft van de beveiliging zit aan jouw kant van het scherm. Vier dingen die echt schelen:
- Kies een sterk, uniek wachtwoord voor je jortt-account. De sterkte-indicatie bij het invoerveld helpt je daarbij.
- Zet tweestapsverificatie aan. Dat is de enige maatregel die je account nog beschermt als je wachtwoord ooit uitlekt.
- Let op ongewone activiteit en meld verdachte handelingen meteen.
- Lees de inlogmeldingen. Jortt mailt de beheerders van een account zodra er vanaf een nieuw IP-adres wordt ingelogd.
Het houdt niet op
Beveiliging is geen project met een einddatum. We scherpen onze maatregelen doorlopend aan, en meldingen van klanten nemen we serieus: die gaan rechtstreeks het verbeterproces in.
Zie je iets wat niet klopt, of heb je een kwetsbaarheid gevonden? Neem contact op. Liever een melding te veel dan een te weinig.