Beveiligingsaanpak
Sytance past technische en organisatorische waarborgen toe op de gehoste Dienst, de levenscyclus van softwareontwikkeling en ondersteunende activiteiten. Controles worden geselecteerd en beoordeeld op basis van de verwerkte informatie, de architectuur van de Dienst, geloofwaardige dreigingen en de mogelijke gevolgen voor Klanten.
Deze pagina is een openbaar overzicht en geen auditrapport, certificering, resultaat van een penetratietest of contractuele beveiligingsbijlage. Klantspecifieke vereisten voor beveiliging, assurance, gegevenslocatie of kennisgeving moeten via het toepasselijke commerciële proces worden overeengekomen.
Identiteit en toegang
- Toegang is gebaseerd op individuele gebruikersaccounts en rolgebaseerde machtigingen.
- Beheerders van Klanten beheren het lidmaatschap en de roltoewijzing binnen hun organisatie en werkruimten.
- Verzoeken om Klantinhoud worden gecontroleerd aan de hand van toegangsregels op tenant-, werkruimte- en objectniveau.
- Authenticatiesessies gebruiken door de server ingestelde HTTP-only-cookies en bescherming tegen cross-site-verzoeken in productie.
- Toegang voor geautoriseerde administratieve ondersteuning is beperkt tot de omgeving van de betreffende Klant en wordt geregistreerd.
Tenant- en gegevensbescherming
- Applicatie- en databasecontroles helpen gegevens van verschillende tenants gescheiden te houden.
- Browser- en API-verkeer in productie wordt tijdens verzending beschermd met HTTPS op de openbare servicegrens.
- Bestanden en media van Klanten worden geleverd via routes waarvoor authenticatie vereist is en niet via onbeperkte openbare links.
- Bepaalde previews en downloads gebruiken tijdgebonden toegangslinks.
- Bekende velden voor inloggegevens, tokens, cookies en geheimen worden uit normale applicatielogboeken geweerd of daarin afgeschermd.
- Toegang tot gegevens is beperkt tot de dienstfunctie, Klantinstructie, ondersteuningsbehoefte of operationele verantwoordelijkheid waarvoor die nodig is.
Veilige ontwikkeling en wijzigingen
- Bij het ontwerpen en beoordelen van relevante functies houden wij rekening met beveiligingsvereisten en architectuur.
- Codebeoordeling en geautomatiseerde controles helpen gebreken vóór implementatie vast te stellen.
- Wij leveren wijzigingen via gecontroleerde bouw- en implementatieprocessen, met een scheiding tussen ontwikkelactiviteiten en het beheer van de productieomgeving.
- Afhankelijkheden en gemelde kwetsbaarheden worden beoordeeld op hun relevantie, misbruikbaarheid, blootstelling en mogelijke impact op de Dienst.
Monitoring en incidentrespons
Beveiligingsrelevante gebeurtenissen rond authenticatie, machtigingen, beheer, applicaties en infrastructuur worden waar passend geregistreerd of gemonitord ter ondersteuning van detectie, onderzoek en verantwoording.
Voor authenticatie en geselecteerde openbare endpoints gelden limieten op de aanvraagfrequentie en maatregelen tegen misbruik. Vermoedelijke incidenten worden beoordeeld volgens een proces met triage, beheersing, onderzoek, herstel, herstel van de dienstverlening en geleerde lessen.
Als een incident kennisgeving aan Klanten of toezichthouders vereist, verstrekken wij die overeenkomstig toepasselijk recht en de relevante klantovereenkomst.
Neem bij een vermoedelijke inbreuk op een account contact op via support@sytance.com; neem bij een vermoedelijke kwetsbaarheid of blootstelling van gegevens contact op via security@sytance.com. Vermeld het betrokken account of systeemonderdeel, het tijdstip en het waargenomen gedrag, maar stuur geen wachtwoorden, sessietokens of onnodige klantbestanden. Wij kunnen een beveiligde methode voorstellen om aanvullend bewijsmateriaal uit te wisselen.
Wanneer wij getroffen persoonsgegevens namens een Klant verwerken, volgen kennisgevingen en medewerking bij incidenten Bijlage A bij de Servicevoorwaarden. Een eerste kennisgeving wordt niet uitgesteld totdat alle feiten zijn vastgesteld; aanvullende informatie volgt naarmate het onderzoek vordert.
AI-ondersteunde verwerking
AI-ondersteunde acties worden uitgevoerd binnen productworkflows nadat de gebruiker is geauthenticeerd. De Dienst verstuurt de instructies en werkruimtecontext die relevant zijn voor de aangevraagde functie; de resulterende uitvoer blijft onderworpen aan beoordeling door de Klant.
Kwetsbaarheidsbeheer
Mogelijke kwetsbaarheden kunnen worden vastgesteld via ontwikkelcontroles, operationele monitoring, informatie over afhankelijkheden, meldingen van Klanten of onderzoekers en gerichte beveiligingsbeoordelingen. Bevindingen worden gevalideerd en geprioriteerd aan de hand van risicofactoren zoals ernst, misbruikbaarheid, blootstelling, getroffen gegevens en gebruikers, aanwijzingen voor actief misbruik en beschikbare maatregelen.
Externe onderzoekers kunnen een vermoedelijke kwetsbaarheid melden via ons proces voor gecoördineerde openbaarmaking. Het beleid bepaalt welk onderzoek is toegestaan, aan welke meldvereisten moet worden voldaan, welke reactietermijnen wij nastreven, welke bescherming geldt voor onderzoekers die te goeder trouw handelen en hoe de openbaarmaking wordt gecoördineerd.
Beveiligingsvragen en assurance
Klanten en potentiële Klanten kunnen via hello@sytance.com of hun gebruikelijke zakelijke contactpersoon beveiligingsvragen stellen of ondersteunende informatie aanvragen. Verzoeken moeten evenredig zijn aan hun behoeften. Bestaande Klanten gebruiken support@sytance.com bij een vermoedelijke inbreuk op een account of een beveiligingsprobleem dat de Dienst treft.
Meld een vermoedelijke kwetsbaarheid vertrouwelijk bij security@sytance.com volgens het Beleid voor kwetsbaarheidsmeldingen.
Beveiligingsinformatie kan onder passende vertrouwelijkheids- en toegangsregelingen worden gedeeld om andere Klanten en misbruikbare technische details te beschermen. Een assuranceverzoek geeft geen toestemming voor penetratietests. Contractuele auditrechten en wettelijke bevoegdheden van toezichthouders blijven geregeld door de toepasselijke overeenkomst en wet.
