Beveiliging

• Standaard alleen-lezen. Het platform leest gegevens van installaties en wijzigt geen instellingen, instelpunten of inzet (dispatch) zonder uitdrukkelijke, afzonderlijke opdracht.
• Standaard geen toegang. Rechten worden per organisatie en per resource verleend. Is iets niet expliciet toegestaan, dan wordt het geweigerd.
• Eén beleid voor scherm en server. Hetzelfde rechtenbeleid bepaalt wat je in de interface ziet en welke gegevens de server teruggeeft. Ook live-verbindingen doorlopen die controle.

Het platform, de database en bestanden draaien bij OVHcloud in de EU, in een datacenter in Polen. Klantdata wordt in de EU opgeslagen. Alleen voor AI-functies en e-mail gaat de benodigde informatie naar aanbieders buiten de EU.

Welke andere partijen gegevens verwerken, staat in onze privacyverklaring.

• Al het verkeer naar de website, het platform en de API loopt versleuteld over HTTPS (TLS). De website dwingt dat daarnaast af met HSTS.
• Back-ups staan op aparte opslag in de EU.
• Toegangsgegevens voor fabrikantportalen blijven op de server en gaan nooit naar de browser. Aanvullende versleuteling daarvan staat op de planning.

• Wachtwoorden worden nooit leesbaar opgeslagen, alleen als hash met een modern, langzaam hash-algoritme.
• Elke organisatie is logisch gescheiden. Elke opvraging wordt op de server gecontroleerd op organisatie en rol.
• Beheerders van een klant bepalen zelf wie toegang krijgt en met welke rol.
• Tweestapsverificatie staat op de planning.
• Alleen de beheerders van het platform hebben toegang tot productiegegevens.

Waar een fabrikant dat aanbiedt, koppelen we via de officiële API met OAuth en toestemming van de eigenaar, zoals bij SMA. We vragen alleen de rechten die nodig zijn voor monitoring. Een eigenaar kan de toestemming altijd intrekken in het portaal van de fabrikant.

We maken dagelijks back-ups en bewaren die 30 dagen op aparte opslag in de EU. We testen het terugzetten elk kwartaal.

Ontbrekende meetdata tonen we als ontbrekend, nooit als nul. Zo valt een storing in een koppeling direct op.

AI-functies krijgen alleen de gegevens die nodig zijn voor de vraag en binnen de rechten van de gebruiker. Klantdata wordt niet gebruikt om modellen van derden te trainen. AI-functies kunnen geen installaties aansturen.

We loggen beveiligingsrelevante gebeurtenissen en onderzoeken afwijkingen. Bij een incident dat klantdata raakt, informeren we de betrokken klanten zonder onnodige vertraging en binnen 24 uur na vaststelling, zodat zij aan hun eigen meldplichten kunnen voldoen, ook onder de Cyberbeveiligingswet (NIS2). Datalekken melden we waar nodig binnen 72 uur bij de Autoriteit Persoonsgegevens.

We hebben op dit moment geen ISO 27001- of SOC 2-certificering. We richten onze processen in volgens ISO 27001. Klanten in de energiesector kunnen onze beveiligingsvragenlijst en verwerkersovereenkomst opvragen.

Heb je een kwetsbaarheid gevonden? Meld die dan vertrouwelijk via [email protected]. We werken volgens de Leidraad Coordinated Vulnerability Disclosure van het NCSC.

Zo werkt het:

• Beschrijf het probleem en hoe we het kunnen reproduceren. Voeg je contactgegevens toe.
• We bevestigen je melding binnen 3 werkdagen en houden je op de hoogte van de oplossing.
• Maak de kwetsbaarheid niet openbaar voordat we die hebben opgelost, en uiterlijk 60 dagen na je melding tenzij we samen iets anders afspreken.
• Gebruik de kwetsbaarheid niet verder dan nodig om haar aan te tonen. Bekijk, wijzig of verwijder geen gegevens van anderen. Voer geen denial-of-service-aanvallen, social engineering of fysieke aanvallen uit, en test niet op installaties van klanten.
• Houd je je aan deze regels, dan doen we geen aangifte en noemen we je, als je dat wilt, bij de oplossing.

Deze regels gelden voor alphamonitoring.app en de subdomeinen daarvan. Onze contactgegevens voor beveiliging staan ook in /.well-known/security.txt.