Veiligheidsmaatregelen

DHZ Financieel Advies maakt gebruik van de professionele planningssoftware van Vitec-Figlo (hierna genoemd Figlo). Jouw gegevens worden ook daar opgeslagen volgens de verwerkersovereenkomst die DHZ Financieel Advies met hen heeft afgesloten. Figlo kent voor zijn SAAS-dienstverlening als leverancier en als verwerker van persoonsgegevens een aantal (wettelijke) verantwoordelijkheden met betrekking tot de beveiliging van klantdata. Eén van die verantwoordelijkheden is het adequaat beveiligen van die data. Met dit document wil Figlo een overzicht geven van de beveiligingsmaatregelen die genomen zijn.

Voor de beveiliging van de Figlo Adviesapplicaties en Modules gehost bij Cloud Hosting Service Provider Accenture die de hosting verzorgd vanuit de Microsoft Azure Cloud, zijn de volgende maatregen van toepassing:

• Met betrekking tot de informatiebeveiliging heeft Figlo een Information Security Management System ingericht dat ISO 27001 gecertificeerd is. Kopie van het ISO 27001 certificaat en bijbehorende Verklaring van Toepasselijkheid is beschikbaar en op te vragen bij Figlo.
• De hosting van de applicatie in de Cloud wordt verzorgd door Cloud Hosting Service Provider Accenture (vanuit haar dochter Sentia Netherlands B.V) Accenture kent voor zijn hosting diensten een ISO27001 certificaat en een ISAE 3402 verklaring.
• Accenture host de Figlo applicatie vanuit Microsoft Azure dat ISO 27001, HIPAA, FedRAMP, SOC 1 en SOC 2 gecertificeerd is.
• Accenture en Microsoft zijn de onderaannemers van Figlo, waarbij Accenture zijn services aanbied vanuit hun dochtermaatschappij  ‘Sentia the Netherlands B.V’ gevestigd te Amsterdam en waarbij Microsoft dit doet vanuit de juridische entiteit ‘Microsoft Ireland Operations Ltd’ gevestigd in Dublin.
• Met Accenture en Microsoft zijn contractuele afspraken gemaakt om de in deze paragraaf genoemde informatiebeveiligingsmaatregelen te waarborgen. Figlo doet jaarlijks een risicoanalyse met betrekking tot de diensten van deze leveranciers in een leveranciersbeoordeling.
• Risico’s en classificatie van risico’s worden continue gemonitord.
• ICT incidenten zullen door Figlo gerapporteerd worden, ook indien deze bij onze onderaannemers plaatsvinden.
• Voor de ontwikkeling en implementatie van de Software is een zogenaamde OTAP-straat ingericht. Dit houdt in dat de software alvorens in productie wordt genomen een strikt traject volgt met verschillende fases zodat de kwaliteit van de ontwikkelde software gewaarborgd wordt. De fase zijn ‘Ontwikkeling’, ‘Test’, ‘Acceptatie’ en ‘Productie’.
• De software van Figlo wordt jaarlijks op inherente veiligheid getest door een externe deskundige partij. Deze externe deskundige test de software op beveiligingskwetsbaarheden doormiddel van een ‘hackerstest’, ‘penetratietesten’ ‘code review’ en een algemene ‘Vulnerability assessment’ op applicatie én systeem.
• De fiscale rekenregels in de Figlo Adviesapplicaties worden jaarlijks door een onafhankelijke accountant op correctheid getoetst.
• (Persoons)gegevens worden alleen binnen Europese Vrije Ruimte verwerkt in het Microsoft Datacenter in Amsterdam met een redundancy vanuit het Microsoft Datacenter in Dublin.
• Toegang tot data is alleen mogelijk via een geldige sessie. Opzetten van een sessie is alleen mogelijk met een geldig username/password, optioneel aangevuld met een Multi Factor Authenicatie, of indien ingeregeld, gerealiseerd via de beveiligde omgevingen van Microsoft Entra ID.
• Wachtwoorden zijn ‘gehashed’ en versleuteld in de database opgeslagen en worden via ‘one way hashing’ gecontroleerd op correctheid.
• De verbinding tussen gebruiker en de Figlo SaaS oplossing wordt beveiligd door middel van een HTTPS met een geldig SSL certificaat
• Er is een back-up beleid waarin is vastgelegd dat er een dagelijkse back-up wordt gemaakt van alle klantgegevens. Daarnaast kent Microsoft Azure de functionaliteit van een Point in Time Recovery waarbij in een noodsituatie terug kan worden gesprongen naar de status van de database van een willekeurig tijdstip in het verleden met maximaal een uur dataverlies. Back-up en herstel geldt voor de gehele generieke dienstverlening en is niet per klant of klantdossier beschikbaar;
• Back-up en herstel procedures worden jaarlijks getest.
• Zowel Figlo als Accenture hebben Business Continuity maatregelen genomen die in de betreffende Business Continuity Plannen zijn opgenomen. De Business Continuity Plannen wordt jaarlijks getest en is onderdeel van in het ISO 27001 certificeringen.

Voor de meest recente versie van de maatregelen die Figlo neemt kun je ook HIER kijken.