Onze aanpak

Bij Shift2 zijn we ons bewust van de verantwoordelijkheid die we dragen met betrekking tot de data van onze klanten, waaronder publieke en vertrouwelijke data. We begrijpen dat deze data passend beschermd dient te worden door middel van technische en organisatorische maatregelen. Onze aanpak ondersteunt overheden onder andere bij het voldoen aan de Baseline Informatiebeveiliging Overheid (BIO) en de Network and Information Systems Directive (NIS2). Hoewel we als externe dienstverlener niet rechtstreeks onder de BIO vallen, begrijpen we het cruciale belang hiervan voor onze klanten. Daarom hebben we onze dienstverlening laten certificeren voor ISO 9001 (kwaliteit) en ISO 27001 (informatiebeveiliging). 

Certificeringen

Het behalen van deze certificeringen is een belangrijke mijlpaal voor ons. Het toont aan dat we sinds 2018 voldoen aan internationale normen voor informatiebeveiliging en proactief blijven inspelen op veranderende eisen en best practices, gezien het snel veranderende cybersecuritylandschap. We zijn voornemens deze certificeringen te blijven continueren. 

ISO 27001 Informatiebeveiliging

De ISO 27001-norm specificeert eisen voor het opzetten, implementeren, uitvoeren, controleren, beoordelen en bijhouden van een Information Security Management Systeem (ISMS). Dit biedt een raamwerk voor het identificeren, beoordelen en beheersen van informatiebeveiligingsrisico's. Door de ‘best practices’ van ISO 27002 toe te passen, waarborgen we de vertrouwelijkheid, integriteit en beschikbaarheid van informatie. ISO 27001 benadrukt een op risico gebaseerde aanpak, waardoor we proactief kunnen reageren op potentiële bedreigingen en kwetsbaarheden.

ISO 9001 Kwaliteitsmanagement 

ISO 9001 stelt eisen aan een kwaliteitsmanagementsysteem, waaronder kwaliteitsbeleid, procesmanagement en klantgerichtheid. Door volgens ISO 9001 te werken, waarborgen we de kwaliteit van onze diensten en verhogen we de klanttevredenheid. Het toont aan dat Shift2 voldoet aan relevante wet- en regelgeving en klanttevredenheid hoog in het vaandel heeft staan.

Scope van certificeringen 

Shift2 heeft de gehele scope van dienstverlening gecertificeerd voor zowel ISO 9001 als ISO 27001. De scope is als volgt: “Het ontwikkelen, verkopen, implementeren, hosten en beheren van webapplicaties.” 

DigiD assessment 

Elke aansluiting op DigiD wordt jaarlijks getoetst volgens het normenkader van het ICT-beveiligingsassessment DigiD, gebaseerd op de beveiligingsrichtlijnen van het Nationaal Cyber Security Centrum (NCSC). Als SaaS-leverancier kunnen wij alle 21 normen centraal laten auditen en er een Third Party Memorandum (TPM) voor verstrekken. De TPM toont aan dat wij als leverancier voldoen aan de normen die aan de zogeheten serviceorganisatie zijn opgelegd. De TPM wordt voor medio oktober opgeleverd, zodat onze klanten kunnen voldoen aan de ENSIA-planning. Sinds de introductie van het DigiD-assessment in 2012 voldoet Shift2 succesvol aan alle vereiste normen.

Voldoen aan wet- en regelgeving

Het borgen van toekomstige wettelijke ontwikkelingen ten aanzien van security vereist een proactieve benadering. Dit is een vereiste vanuit ISO 27001, ISO 9001 en de BIO. Monitoring van wet- en regelgeving is onderdeel van ons managementsysteem. Shift2 werkt samen met relevante autoriteiten en brancheorganisaties, zoals de Informatiebeveiligingsdienst voor gemeenten (IBD) en de Vereniging van Nederlandse Gemeenten (VNG), om op de hoogte te blijven van de laatste ontwikkelingen.

Responsible Disclosure

Bij Shift2 nemen we de veiligheid van onze systemen en gebruikers zeer serieus en hechten we veel waarde aan het continu verbeteren hiervan. Ondanks alle voorzorgsmaatregelen kan het voorkomen dat er een kwetsbaarheid in onze systemen wordt gevonden. Om kwaadwillenden een stap voor te blijven, moedigen we iedereen aan die een kwetsbaarheid ontdekt, dit aan ons te melden. We hebben hiervoor een responsible disclosure beleid opgesteld, waarmee beveiligingsonderzoekers en gebruikers veilig en verantwoord kwetsbaarheden kunnen rapporteren. 

Emiel Duinisveld, Chief Information Security Officer (CISO) Shift2:

“Het is elke keer weer fijn om de bevestiging te krijgen van een onafhankelijke auditor dat onze inspanningen op het gebied van informatiebeveiliging het gewenste resultaat opleveren. In het bijzonder bij het DigiD assessment waarbij tevens met een penetratietest de webapplicatie als de infrastructuur uitvoerig onderzocht wordt.”