Merlin helpt haar klanten met praktische softwaretools voor het voorbereiden op, ondersteunen tijdens en verbeteren van het crisismanagement.
Om dit te kunnen doen moeten we ervoor zorgen dat uw data veilig is. Het beveiligen van uw data is een van onze hoogste prioriteiten. We zijn voorstander van transparantie over onze beveiligingsprincipes en willen u graag helpen u om onze aanpak te begrijpen.
Onze beveiliging is afgestemd op de ISO 27001 norm en wordt regelmatig gecontroleerd en beoordeeld door derde partijen.
Maatregelen zijn van toepassing op alle tijdelijke en vaste, interne en externe medewerkers en leveranciers die toegang hebben tot onze softwaretools, onze interne informatiesystemen en/of fysieke locaties.
Alvorens toegang wordt afgegeven voor systemen moeten alle medewerkers akkoord gaan met de geheimhoudingsverklaring, een achtergrond screening doorstaan en een securitytraining bijwonen. Deze training omvat privacy en security onderwerpen, inclusief device security (BYOD), acceptabel gebruik, voorkomen van malware, fysieke beveiliging, dataprivacy, toegangsbeheer, wachtwoordbeheer en incidentrapportage.
Bij beëindiging van de werkzaamheden wordt alle toegang tot systemen onmiddellijk uitgeschakeld.
Tijdens het dienstverband moeten alle medewerkers minstens eenmaal per jaar hun kennis van privacy en security opfrissen. De medewerkers ondertekenen dat zij de informatiebeveiligingsbeleidstukken hebben gelezen en zich daaraan zullen houden. Sommige medewerkers die extra toegang tot systemen of gegevens hebben, zoals beheerders en ondersteunend personeel, krijgen aanvullende, werkspecifieke training over privacy en beveiliging.
Medewerkers zijn verplicht om veiligheids- en privacy problemen te melden. Medewerkers zijn geïnformeerd dat niet-naleving van beleid in het uiterste geval kan leiden tot beëindiging van het dienstverband.
Merlin heeft rollen en verantwoordelijkheden gedefinieerd om te bepalen welke rollen in de organisatie verantwoordelijk zijn voor de werking van de verschillende aspecten van ons Managementsysteem voor Informatiebeveiliging (ISMS). De verantwoordelijkheden van elke rol zijn gedetailleerd beschreven in onze beveiligingsdocumenten.
Merlin heeft een Security Manager aangesteld die algemeen verantwoordelijk is voor de implementatie en het beheer van ons ISMS.
Merlin onderhoudt diverse beleidsdocumenten, normen, procedures en richtlijn die medewerkers de weg wijzen in het gebruik van ons ISMS. Onze beveiligingsdocumenten zorgen ervoor dat onze klanten erop kunnen vertrouwen dat onze medewerkers zich veilig en ethisch gedragen.
Beveiligingsdocumenten omvatten, maar zijn niet beperkt tot, beleid voor:
De beleidsdocumenten zijn levende documenten en worden regelmatig beoordeeld en/of bijgewerkt. Vanzelfsprekend worden de documenten ook beschikbaar gesteld aan alle medewerkers op wie zij van toepassing zijn.
Merlin evalueert het ontwerp en de werking van haar ISMS op de naleving van interne en externe normen. Merlin laat zich periodiek beoordelen door externe auditors. Auditresultaten worden gedeeld met het management en alle bevindingen worden opgevolgd.
Merlin laat onafhankelijke instanties periodiek penetratietestenuitvoeren. Resultaten van deze testen worden gedeeld met het management. De gerapporteerde bevindingen worden geprioriteerd en opgevolgd.
Merlin maakt gebruik van toegewijde juridische en compliance professionals. Deze professionals zijn ingebed in de ontwikkelingscyclus en beoordelen producten en eigenschappen of ze voldoen aan de wettelijke vereisten.
Beveiliging is geïntegreerd in het software ontwikkelproces middels diverse beleidsstukken en procedures. Alle code wordt opgeslagen in een versiebeheer omgeving. Codewijzigingen zijn onderworpen aan peer reviews en continue integratietesten.
Bij invoering van nieuwe verwerkingen van persoonsgegevens of bij wijzigingen worden vanaf het begin ontwerpcriteria gehanteerd waarmee invulling wordt gegeven aan het principe van “privacy by design”.
De focus van ons securityprogramma is om ongeautoriseerde toegang tot klantengegevens te voorkomen. Daartoe neemt ons team uitgebreide stappen om risico’s te identificeren en te beperken, om de best practices te implementeren en ons door voortdurende evaluatie te verbeteren.
Meer informatie over privacy vindt u in onze Privacyverklaring.
De gegevens tussen Merlin-klanten en de Merlin-dienst worden over openbare netwerken verzonden met behulp van sterke encryptie. De verbinding tussen de cliënt (uw laptop, PC, tablet of smartphone) en de CrisisSuite server is uitsluitend mogelijk op basis van SSL beveiligde protocollen (https, wss, ssh), waardoor de communicatie tussen cliënt en server afgeschermd blijft.
Binnen Merlin zijn regels opgesteld voor het versturen van informatie over publieke netwerken. De methode en het niveau van beveiliging wordt bepaald aan de hand van de toegewezen classificatie aan informatie.
Binnen Merlin wordt informatie geclassificeerd aan de hand van de volgende criteria:
Er wordt onderscheid gemaakt tussen classificatieniveaus waarbij elk classificatieniveau is gekoppeld aan een set beveiligingsmaatregelen.
Om de risico's van gegevensblootstelling te minimaliseren, volgt Merlin het principe van need to know. Medewerkers hebben alleen toegang tot gegevens die ze redelijkerwijs nodig hebben om hun huidige taken te vervullen. Om dit te handhaven gebruikt Merlin de volgende maatregelen:
Binnen Merlin zijn rollen en verantwoordelijkheden vastgesteld voor zowel het controleren van de logs van automatisch gerapporteerde fouten, als ook voor het registreren van fouten gerapporteerd door gebruikers. Hierdoor kan geanalyseerd worden waarom fouten optreden en kunnen geschikte corrigerende acties ondernomen worden.
Merlin ondersteunt het gebruik van BYOD voor zakelijkgebruik. Er wordt een lijst bijgehouden van de functienamen en/of welke medewerkers die BYOD mogen gebruiken, tezamen met de applicaties en databases waartoe zij toegang mogen hebben met hun eigen apparaten.
Daarnaast stelt Merlin diverse regels aan het gebruik van BYOD en is er een minimumconfiguratie vereist voor elk type device.
Elke medewerker, leverancier of een andere derde partij die in contact komt met informatie en/of systemen van Merlin dient elke bedreiging, elk incident of elke gebeurtenis aan een systeem die zou kunnen leiden tot een mogelijk incident aan de Security Manager te melden. Er zijn diverse procedures ontwikkeld om snel en adequaat te reageren op incidenten.
Alle incidenten worden regelmatig beoordeeld en geëvalueerd om ervan te leren.
Binnen Merlin worden regels gehanteerd over het verwijderen en/of vernietigen van apparatuur en media voordat het wordt weggegooid, verkocht, gedoneerd, verzonden, gerepareerd, hergebruikt of aan een andere gebruiker wordt gegeven.
Binnen Merlin wordt er gewerkt conform het clear desk en clear screen beleid. Indien de geautoriseerde persoon niet op zijn/haarwerkplek zit, dient hij/zij de informatie, papieren, opslagmedia, van het bureau of andere plaatsen zoals printers, kopieerapparaten etc. te verwijderen om ongeautoriseerde toegang te voorkomen.
Op dezelfde wijze geldt dat alle gevoelige informatie van het beeldscherm verwijderd dient te worden en dat schermvergrendeling wordt toegepast wanneer de geautoriseerde persoon zijn/haar werkplek verlaat.
Om de business efficiënt te runnen vertrouwt Merlin op dienstverlenende organisaties. Waar de dienstverlenende organisaties de secundaire productie van Merlin kunnen beïnvloeden, neemt Merlin maatregelen om ervoor te zorgen dat het beveiligingsniveau wordt gewaarborgd. Merlin legt afspraken vast die vereisen dat dienstverleners zich houden aan de verplichtingen die Merlin aan hen hebben gesteld. Merlin controleert ten minste een keer per jaar de effectieve werking van de beveiligingsmaatregelen van de organisatie.
Merlin maakt gebruik van een hostingprovider. De serverszijn redundant uitgevoerd en worden 24/7 gemonitord. De serverruimtes worden 24/7 bewaakt. Systeemruimtes zijn voorzien van een redundant uitgevoerde stroomvoorziening met een back-up van dieselgeneratoren. De datacenters voldoen aan de strengste normen op het gebied van branddetectie, luchtkoeling en toegangsbeheer. Het door CrisisSuite gebruikte netwerk garandeert een uptime van 99,99%.
De datacenters zijn volgens ISO9001, ISO27001, ISO14001 en NEN7510 kwaliteitsnormen gecertificeerd en staan fysiek in Nederland.
Bij Merlin nemen we beveiliging serieus omdat iedereen die onze dienst gebruikt, verwacht dat deze gegevens veilig en vertrouwelijk zijn. Beveiliging van deze gegevens is een kritische verantwoordelijkheid tegenover onze klanten. We werken er hard aan om dat vertrouwen te behouden.
