Wachtwoordbeleid
We blijven het herhalen: een sterk wachtwoord is essentieel. Maar hoe zorgen wij ervoor dat dit in de praktijk ook écht goed geregeld is?
- We gebruiken altijd, waar mogelijk, Single Sign-On (SSO). Dat betekent: één keer inloggen met veilige verificatie voor toegang tot meerdere systemen. Uiteraard met Two Factor Authentication.
- Klantaccounts worden uitsluitend aangemaakt via een Greatwaves-mailadres.
- Elk wachtwoord is uniek en wordt veilig opgeslagen in onze wachtwoordenkluis – nooit lokaal opgeslagen, nooit gedeeld met anderen.
- Moeten we toch iets met je delen (zoals een wifi- of VPN-wachtwoord)? Dan gebruiken we One-Time Share. Zo blijft jouw info tijdelijk zichtbaar, daarna niet meer.
Apparatuurbeleid
Omdat we werken met gevoelige informatie, laten we tot interne en klantsystemen geen eigen apparaten toe. Iedere medewerker krijgt door ons beheerde hardware, zodat we zeker weten dat alles:
- altijd up-to-date is,
- de juiste software draait,
- onze veiligheidsstandaarden volgen.
Onze eigen apparaten zijn natuurlijk ook stevig dichtgetimmerd:
- Twee-stapsverificatie (2FA) is standaard en verplicht.
- Apparaten zijn beveiligd met biometrische toegangscontrole en unieke, sterke wachtwoorden.
- We gebruiken alleen goedgekeurde hardware en gebruiken geen apparatuur wat geen software-updates meer ontvangt.
- We locken onze schermen bij het weglopen van de apparatuur.
Ons Bring Your Own Device beleid (BYOD)
Soms komt het voor dat collega’s eigen apparatuur op kantoor gebruiken. Bijvoorbeeld privé telefoons of laptops voor marketingdoeleinden. Deze apparaten krijgen nooit toegang tot klantdata of wachtwoorden omdat ze niet in beheer zijn door Greatwaves.
Software en beveiligingstools
Elke medewerker heeft:
- Smartphone: Google Pixel met Android (laatste versie), gekoppeld aan een Google Workspace-account.
- Laptop: Lenovo ThinkPad met Windows 11. Gekoppeld aan ons Google Workspace domein.
En deze extra beveiliging:
- GCPW (Google Credential Provider for Windows) voor veilige login via Google en beheer via het MDM (Mobile Device Management). Apparaten kunnen van afstand worden vergrendeld, wiped en opgespoord.
- Onze email is voorzien van een uitgebreid Spam filter met monitoring en alerting.
- Windows Defender voor realtime bescherming.
- BitLocker voor volledige schijfversleuteling.
- Automatische Windows Updates, afgedwongen en beheerd via GCPW.
- Software: Microsoft Office, Adobe Reader, Winbox, Ekahau en Google Drive.
Netwerkbeveiliging en segmentatie
Uiteraard maken we op ons eigen kantoor gebruik van de modernste netwerkapparatuur met uitgebreide security-instellingen. Onze netwerken zijn uiteraard gesegmenteerd met VLAN’s en we hebben een redundante verbinding met twee eigen Externe IP adressen op naam van Greatwaves. Richting ons kantoor maken we gebruik van VPN om te verbinden als we buiten de deur zijn, dat is ook de enige poort die open staat op onze firewall.
Veilige VPN verbindingen
Om te verbinden met de door onze beheerde klantlocaties gebruiken we eveneens individuele VPN tunnels om de apparatuur op locatie te beheren. Alle toegang en authorisaties tot klantapparatuur worden gelogd met een retentie van 30 dagen.
IDS/IPS
Op ons kantoornetwerk maken we gebruik van meerdere soorten spam beveiliging, intrusion detection en intrusion protection. Ons verkeerd wordt continu gemonitord op ‘verkeerd’ verkeer en hier wordt een groot gedeelte automatisch al geblokkeerd (bijvoorbeeld malafide PostNL pakketpunt websites). Via e-mail én via ons netwerk krijgen we ook meldingen (positive en false positives) van dit soort spam-activiteiten of spoofing-activiteiten.
Databeveiliging en retentie
Voor het opslaan van plattegronden, contracten en contactgegevens maakt Greatwaves gebruik van een CRM welke voldoet aan alle GDPR en AVG wetgeving. Ook gebruiken we onze eigen software NMS om deze data in op te slaan. Data wordt altijd opgeslagen op Europese servers. Klanten hebben in ons NMS alleen leesrechten, personeel van Greatwaves heeft schrijfrechten. Alle klantgegevens worden gebackuped en eveneens offsite encrypted en geautomatiseerd gebackuped. Deze backup wordt regelmatig getest en hierop is ook monitoring aanwezig.
Ook gebruiken we voor het opslaan van bestanden op Google Drive. Hiervoor hebben we groepen ingericht met verschillende autorisatierechten. Niet alle collega’s hebben namelijk toegang nodig tot specifieke mappen van klanten. In onze Google Drive omgeving maken we gebruik van Google Vault, waarbij alle versies met onbeperkte retentie worden bewaard. Ook is onze Google Drive voorzien van een ransomware bescherming.
Fysieke toegang en toegang op klantlocaties
De voordeur van ons kantoor Greatspace zit altijd op slot. Deze kan geopend worden met een veilig slot. Elke collega heeft een individuele digitale sleutel voor toegang. Deze toegang wordt ook gelogd. Daarnaast is ons kantoor voorzien van meerdere soorten inbraakbeveiliging en cameratoezicht.
Op kantoor worden er sleutels bewaard van klantlocaties (patchkasten bijvoorbeeld), toegangspassen en voertuigen. Deze bevinden zich altijd in onze digitaal beveligde kluis. Alleen technische collega’s hebben toegang tot deze kluis. Sleutels worden voorzien van een tag en geplaatst in de kluis. Deze kluis staat nooit open.
Voor elke klant is in ons systeem omschreven wat de afspraken zijn wat betreft toegang op locatie om zo ook aan te sluiten bij de veiligheidsvereisten of huisregels van de klant.
Bewustzijn van Social Engineering
Jaarlijks voeren wij een training uit op Social engineering via onze partner Hacksclusive. Zij laten ons de nieuwste snufjes en trucjes zien zodat wij top of mind zijn van aanvallen. Om ons te beschermen tegen aanvallen zullen collega’s van Greatwaves nooit wachtwoorden telefonisch doorgeven. Wachtwoorden zullen nooit per e-mail verstuurd worden, uitsluitend via onze wachtwoordenkluis en uitsluitend naar geverifiëerde contactpersonen van onze klanten. Ook changes kunnen uitsluitend geaccordeerd worden door geverifiëerde contactpersonen, elke change wordt transparant doorgevoerd en gecheckt onder het vier ogen principe.
Security vulnerabilities
We gebruiken meerdere externe diensten om op de hoogte te blijven van beveiligingsproblemen op apparatuur in ons beheer. Beveiligingsupdates worden volgens ons Service Level Agreement 2025 uitgevoerd binnen 24 uur.
Jaarlijkse security scans en ISO audits
Greatwaves wordt jaarlijks bij meerdere ISO audits van klanten betrokken. Hierbij leveren wij de benodigde documentatie aan en tonen wij aan wat ons gedocumenteerde change process is, updatebeleid en onze documentatie-voering omtrent incidenten en storingen. Hierdoor voldoen wij aan alle requirements vanuit ISO 27001 en NEN 7510 in 2025. Ook is Greatwaves compliant voor de NIS2 richtlijn, maar vallen wij zelf buiten de dekking hiervan. Omdat Greatwaves ingehuurd wordt als Managed Netwerk leverancier worden we door onze klanten jaarlijks extern getoetst door een security bedrijf om te controleren of onze gestandaardiseerde configuratie templates nog verbeterd kunnen worden. Mochten er verbeterpunten uit de security audit komen wordt dit daarom direct doorgevoerd op alle door ons beheerde netwerken.
Jaarlijkse controle van veiligheidsprocessen en onboarding
Jaarlijks voert Greatwaves een controle uit op de RI&E (Risico inventarisatie en evaluatie) op basis van IMA Online. Ook wordt het informatiebeveiligingsbeleid jaarlijks aangescherpt op basis van interne of klantfeedback. Deze documentatie wordt intern in onze Greatwaves Wiki bijgehouden en maakt onderdeel uit van de onboarding van nieuwe collega’s om bewustwording te creëren.
Incidenten en klachten
Greatwaves kent een formeel proces voor incidenten en klachten. Deze is geformaliseerd in onze Greatwaves Wiki en wordt gecrosstraint binnen ons team. We onderscheiden in onze werkprocessen automatische en handmatige incidenten en klachten. Automatische incidenten worden door ons NMS geopend en gekoppeld aan een Greatwaves collega. Ook is het mogelijk om in ons systeem handmatige incidenten aan te maken op basis van klachten, telefonisch dan wel via e-mail. Wekelijks bespreken we de lopende incidenten en de opvolging ervan in een vaste meeting. Voor ongewenste toegang of datalekken is een meldproces en het wordt actief gestimuleerd om elk vermoeden te melden en te registreren in ons logboek, met de genomen actie.
Monitoring
Ons NMS voorziet in de monitoring van onze klanten, maar ook de interne kernprocessen worden gemonitord op functioneren en op veiligheid welke een actieve melding geven in ons NMS of per e-mail bij afwijkende meetresultaten. Een voorbeeld hiervan is de back-up controle of uitval van de marketing website.
Kan het beter?
Met deze stappen zorgen we dat je je niet alleen veilig voelt, maar ook écht veilig bent.
Heb je vragen over ons beveiligingsbeleid? Laat het ons weten — we vinden het belangrijk dat alles duidelijk is en dat jij je hierbij goed voelt. En kan het beter? Tik ons dan gerust aan, we leren graag!
