Security en compliance: waarom dit geen bijzaak is bij softwarebeheer
Bij de oplevering van software is beveiliging vaak goed geregeld: de laatste inzichten zijn verwerkt, de configuratie is actueel, aan de geldende normen is getoetst. Maar software staat na oplevering niet stil, en de wereld eromheen ook niet. Nieuwe kwetsbaarheden worden ontdekt, wet- en regelgeving verandert, en wat vandaag veilig is, hoeft dat over een jaar niet meer te zijn.
Toch wordt beveiliging en compliance binnen softwarebeheer nog wel eens behandeld als iets dat je één keer regelt en daarna kunt afvinken. Zeker in gereguleerde sectoren zoals zorg en financiële dienstverlening is dat een risico. In deze blog leggen we uit waarom security en compliance continu aandacht vragen, en wat daar structureel bij hoort.
Beveiliging verandert, ook als je software dat niet doet
Een applicatie kan maandenlang ongewijzigd blijven, terwijl het risicoprofiel eromheen wel verandert. Er worden voortdurend nieuwe kwetsbaarheden ontdekt, ook in software die al jaren stabiel draait. Zonder periodieke controle blijf je dus achter de feiten aan lopen, ook als er aan de code zelf niets is veranderd.
Compliance is geen eenmalig vinkje
Hetzelfde geldt voor compliance. Normen als de AVG worden verschillend geïnterpreteerd naarmate de tijd vordert, en in gereguleerde sectoren komen daar branchespecifieke eisen bovenop. Voldoen op het moment van oplevering betekent niet dat je jaren later nog steeds voldoet. Dat vraagt om periodieke toetsing, niet om een eenmalige controle.
Wat hoort structureel bij beveiliging binnen beheer?
Periodieke controles op kwetsbaarheden. Niet alleen bij oplevering, maar doorlopend, zodat nieuwe risico’s tijdig worden gesignaleerd.
Patches voor bekende risico’s. Zodra een kwetsbaarheid bekend is, moet die ook daadwerkelijk verholpen worden, niet pas bij de volgende grote update.
Naleving van geldende normen. Denk aan de AVG, en in de zorg aan NEN 7510: normen die om herhaalde toetsing vragen, niet om een eenmalig certificaat.
Gecontroleerde toegang en versleutelde opslag. Wie kan bij welke gegevens, en is dat nog steeds passend bij de huidige situatie van je organisatie?
Waarom dit vooral telt in gereguleerde sectoren
In sectoren zoals zorg en financiële dienstverlening liggen de eisen hoger, en de gevolgen van een incident ook. NEN 7510 geldt bijvoorbeeld als de norm voor informatiebeveiliging in de zorg. Voor organisaties in deze sectoren is beveiliging binnen beheer dus geen extra dienst, maar een randvoorwaarde om aan de eigen wettelijke verplichtingen te kunnen voldoen.
Hoe DataLeaf dit organiseert
Binnen ons softwarebeheer is beveiliging structureel ingericht, niet als losse actie. We zijn ISO 9001 en ISO 27001 gecertificeerd, hosten in een ISO-gecertificeerde omgeving en werken met cloudoplossingen in Microsoft Azure (ISO 27017). Voor de zorg werken we volgens NEN 7510, de hoogste norm voor informatiebeveiliging in die sector.
Security betekent bij ons gecontroleerde toegang, versleutelde opslag en periodieke audits.
Overweeg je om softwarebeheer uit te besteden en wil je weten waar je op moet letten bij het kiezen van een partner, inclusief op het gebied van security en compliance? Lees dan onze blog over softwarebeheer uitbesteden.
Twijfel je of jullie huidige beveiliging en compliance nog aansluiten bij de huidige eisen? We denken graag vrijblijvend met je mee.