Beveiligingsbeleid

Dit beleid beschrijft de technische en organisatorische beveiligingsmaatregelen van AMBASSADIA SARL op het platform TranscribIA (client.transcribia.eu). Het valt binnen de AVG (artikel 32, beveiliging van verwerking) en de essentiële maatregelen uit de richtlijn NIS 2. Het is vooral bedoeld voor beveiligingsverantwoordelijken, IT-leiding en privacyfunctionarissen van klantorganisaties bij toelatingsbeoordelingen en risicoanalyses.

Operationele details — verwerkingsregister, architectuurschema's, verwerkersovereenkomst en procedures — staan in het openbare nalevingsdossier.

1. Beveiligingsgovernance

• Aangewezen beveiligingscontactpersoon binnen AMBASSADIA SARL, centraal aanspreekpunt voor beveiligingsvragen en incidentcoördinatie.
• De directie van de uitgever is redactioneel verantwoordelijk voor dit beleid; herziening minstens jaarlijks en bij iedere wezenlijke wijziging in de reikwijdte.
• Referentiekader: AVG (art. 32), essentiële maatregelen NIS 2, risicogestuurde aanpak.
• Transparantie over certificeringen: momenteel is geen ISO 27001- of SOC 2-certificering behaald. Een onafhankelijke beveiligingsaudit staat gepland in 2026 ; het certificeringstraject is gestart maar nog niet afgerond.

2. Identiteits- en toegangsbeheer (IAM)

• API en tokens: authenticatie via Laravel Sanctum, persoonlijke Bearer-tokens gehasht met SHA-256, met beperkte levensduur en altijd intrekbaar.
• Wachtwoorden: opslag met bcrypt (cost factor 12), complexiteitsbeleid en controle op bekende lijsten van gecompromitteerde wachtwoorden.
• Tweefactorauthenticatie (2FA): TOTP volgens RFC 6238, verplicht voor beheerdersaccounts; 2FA-geheimen worden in rust versleuteld met AES-256-CBC.
• Rolgebaseerd toegangsbeheer (RBAC): 5 niveaus van rechten, van lezer tot organisatiebeheerder, volgens het beginsel van minimale rechten.
• Extra authenticatie (‘step-up’): wachtwoordbevestiging verplicht bij elke destructieve of gevoelige handeling (tenantverwijdering, rolwijziging en volledige gegevensexport).
• Misbruikbestrijding: rate limiting in de applicatie Laravel op authenticatie- en API-endpoints; sessieverval.

3. Versleuteling

• Tijdens transport: minimaal TLS 1.2 (bij voorkeur TLS 1.3), certificaten van Let's Encrypt beheerd via Nginx Proxy Manager met automatische verlenging en HSTS.
• In rust: versleuteling van volumes, PostgreSQL-database en geüploade bestanden.
• Applicatiegeheimen: gescheiden omgevingsvariabelen; versleutelde 2FA-geheimen AES-256-CBC.
• Back-ups: versleuteld met age (sleuteluitwisseling X25519, versleuteling ChaCha20-Poly1305).

4. Gegevensbescherming en multi-tenantisolatie

• Strikte logische isolatie: een afzonderlijk PostgreSQL-schema per organisatie (schema-per-tenantmodel); geen query overschrijdt een tenantgrens.
• Beleid voor configureerbare bewaring per organisatie volgens de opgegeven doeleinden.
• Recht op wissing: gedocumenteerde, traceerbare tenantverwijderingsprocedure (zie Soevereiniteit en AVG).
• Standaard geen doorgifte van gegevens buiten de EU.

5. Logging en audit

• Audittrail op twee niveaus : activiteitenlogboeken per tenant (activity_logs) en centraal logboek (public.audit_logs).
• Registratie van alle gevoelige handelingen: authenticatie, rolwijzigingen, exports, verwijdering en beheerderstoegang.
• Opgeschoonde logging : geen direct identificerende persoonsgegevens of bedrijfsinhoud in serverlogboeken.
• Logbewaring afgestemd op onderzoek na incidenten.

6. Bescherming tegen malware

• Antivirusscanning van uploads met ClamAV 1.4, virusdefinities bijgewerkt via freshclam.
• Geïnfecteerde bestanden worden geblokkeerd en in quarantaine geplaatst.
• Bij onbeschikbaarheid van de scanmotor: schakelt de dienst volgens ontwerp naar gelogde fail-openmodus — het bestand wordt toegelaten om de dienst niet te blokkeren, maar de gebeurtenis wordt vastgelegd en het bestand opnieuw gescand zodra de motor terug is. Dit beschikbaarheidscompromis wordt bewust toegepast en gedocumenteerd.

7. Kwetsbaarheidsbeheer en hardening

• Continue bewaking van afhankelijkheden (composer/npm audit) en toepassing van beveiligingspatches.
• Applicatiehardening: CSP (Content Security Policy), strikte CORS, beveiligingsheaders en minimale rechten.
• Onafhankelijke beveiligingsaudit gepland in 2026 (inclusief penetratietests binnen het traject).
• Verantwoorde melding: meld kwetsbaarheden via contact@transcribia.eu.

8. Beheer van beveiligingsincidenten

• Detectie: continue automatische bewaking (24/7) met meldingen via Slack en e-mail bij afwijkingen en beveiligingsgebeurtenissen.
• Beoordeling en reactie: door de beveiligingscontactpersoon, volgens beperking → verwijdering → herstel → evaluatie.
• Als verwerker informeert TranscribIA de verwerkingsverantwoordelijke zonder onredelijke vertraging zodra het kennis heeft genomen van een inbreuk in verband met persoonsgegevens. De verwerkingsverantwoordelijke meldt de inbreuk onder de voorwaarden van artikel 33 van de AVG aan de bevoegde toezichthoudende autoriteit, indien mogelijk binnen 72 uur nadat hij er kennis van heeft genomen, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van personen.
• Melding aan betrokkenen bij een hoog risico (art. 34 AVG).
• Transparante coördinatie met de klantorganisatie als verwerkingsverantwoordelijke gedurende het hele incident.

9. Bedrijfscontinuïteit en back-ups

• Back-ups versleuteld (age) gerepliceerd naar een opslaglocatie in de EU via rclone.
• Gerealiseerde doelstellingen: RPO 24 uur / RTO 4 uur.
• Geteste hersteloefening : een hersteloefening is uitgevoerd om de werking van het herstelplan te controleren.
• Gedocumenteerd en onderhouden continuïteits- en herstelplan.

10. Toeleveringsketen en verwerkers

Verwerkers uitsluitend gevestigd in de Europese Unie , met een verwerkersovereenkomst (DPA, art. 28 AVG). Standaard geen verwerkers buiten de EU.

De verwerkerslijst op naam en de precieze reikwijdte staan in het openbare nalevingsdossier en de downloadbare modelverwerkersovereenkomst.

11. SaaS en on-premise — verantwoordelijkheidsmodel

TranscribIA is beschikbaar als soevereine SaaS (gehost in Frankrijk) als on-premise (in de klantinfrastructuur). De verantwoordelijkheid voor beveiliging verschilt per implementatie:

On-premise levert AMBASSADIA de applicatie en een hardeninghandleiding en blijft verantwoordelijk voor applicatiebeveiliging. De klant is verantwoordelijk voor beveiliging van de hostinginfrastructuur volgens het eigen beleid.