De bescherming van je data heeft prioriteit bij DataOwn. We werken op twee manieren aan veiligheid: met veilige processen op weg naar ISO 27001-certificering, en met tests die laten zien hoe onze technische beveiliging in de praktijk standhoudt.
Voorbereiding op ISO 27001-certificering
We voeren momenteel een interne audit uit ter voorbereiding op de externe certificeringsaudit. DataOwn is nog niet ISO 27001-gecertificeerd.
Dit werk gaat verder dan het schrijven van beleid. Het betekent dat we duidelijke procedures vastleggen, die consequent volgen en documenteren hoe we dat doen. Veiligheid en dataminimalisatie moeten onderdeel zijn van ons dagelijkse werk, van de keuzes die we maken tot de manier waarop we met klantdata omgaan.
Het platform in de praktijk testen
Een paar weken geleden hebben we een penetratietest, of pentest, afgerond met beveiligingsexpert Max. Hij onderzocht of hij ongeautoriseerd toegang kon krijgen tot onze systemen, of vanuit de omgeving van de ene klant de data van een andere klant kon benaderen.
Bij de test had hij toegang tot de broncode. De onderzochte onderdelen waren authenticatie, tenantscheiding, autorisatie en de workflows voor SQL en dbt. De test keek dus zowel naar de manier waarop gebruikers toegang krijgen als naar de scheiding tussen klantomgevingen.
De test bracht geen directe inbraak aan het licht, maar wel verschillende zwakke plekken. Zo waren sommige identificatienummers zichtbaar die een aanvaller zouden kunnen helpen bij het onderzoeken van andere kwetsbaarheden. Die bevindingen gaven ons concrete aanknopingspunten om het platform te versterken.
Bevindingen oplossen en het resultaat controleren
Het team van DataOwn heeft meer dan tien beveiligingsbevindingen met hoge prioriteit aangepakt. Een hertest bevestigde aanzienlijke verbeteringen in de scheiding tussen klantomgevingen, de bescherming van inloggegevens, de afscherming van interne diensten, de bescherming tegen brute-force-aanvallen en de beveiliging van de functionaliteit van Lightdash en dbt.
Deze aanpassingen verkleinen het aanvalsoppervlak van DataOwn en versterken de bescherming van klantdata. Daarmee is veiligheid niet af: we blijven risico's beoordelen en onze beveiliging verbeteren. De volgende pentest wordt al gepland.
De voorbereiding op ISO 27001 en pentesten versterken elkaar. Duidelijke processen helpen ons om iedere dag veilig te werken, terwijl praktijktests ons helpen om zwakke plekken in het platform te vinden en aan te pakken. Beide horen bij onze voortdurende verantwoordelijkheid om je data te beschermen.