Veelgestelde vragen over beveiliging

1. Hoe voorkomen we dat klanten toegang krijgen tot gegevens van andere klanten?

We maken gebruik van een logische scheiding van databases om de privacy en vertrouwelijkheid van klanten te waarborgen in onze architectuur met meerdere tenants. Deze strikte privacycontroles zitten in onze toepassingscode om gegevensprivacy te waarborgen en te voorkomen dat de ene klant toegang krijgt tot de gegevens van een andere klant. Dit doen we met de unieke accountidentificatoren die elke gebruiker aan een specifiek account toewijzen. We voeren veel testen met eenheden en integraties uit om deze privacycontroles naar behoren te laten werken. We voeren deze testen elke keer uit wanneer onze codebase wordt bijgewerkt. Zelfs een enkele mislukte test voorkomt dat er nieuwe code verzonden wordt voor productie.

 

2. Hoe vaak maken we een reservekopie?

 Onze infrastructuur voor reservekopieën en herstel wordt gehost en maakt gebruik van de combinatie van Amazon Simple Storage Service (Amazon S3) en Amazon Relational Database Service (Amazon RDS), dat aanpasbare databasecapaciteit en een efficiënte infrastructuur voor gegevensopslag biedt. De Amazon RDS-service is ingesteld om elke dag een reservekopie te maken van de productiedatabase, bewaart reservekopieën 35 dagen en bewaart de versleutelde database op een locatie voor gegevensopslag met hoge beschikbaarheid. De Amazon RDS-service biedt ook de optie van point-in-time-herstel van de database voor elk moment tot twee weken ervoor. Oude reservekopieën worden verwijderd volgens ons schema voor gegevensbewaring.

 

3. Wat zijn KnowBe4's RPO (Recovery Point Objective) en RTO (Recovery Time Objective)?    

Onze RPO is enkele minuten tot uren, maar niet meer dan 72 uur. Onze RTO is 72 uur. 

 

4. Wat is KnowBe4's veranderingscontrole-/-managementprocedure? 

We hebben een formeel wijzigingsbeheerproces ingevoerd waarmee medewerkers veranderingen kunnen aanvragen, beheren, goedkeuren en controleren die services of systemen binnen onze omgevingen wijzigen. Het wijzigingsbeheerproces is ontworpen om bij elke softwarewijziging belangrijke ontwikkelingscontroles af te dwingen, zowel bij reguliere als noodgedwongen wijzigingen. Het wijzigingsbeheerproces begint met het benoemen van wat er gewijzigd moet worden; het vastleggen en classificeren van de wijziging; en het gaat verder met de controle, goedkeuring, het testen en het voorbereiden van de implementatie van de wijziging. Zodra de implementatie is afgerond, gemeten en gerapporteerd, is het wijzigingsbeheerproces voltooid.

    

5. Worden er productiegegevens gebruikt in jouw testomgeving? 

Productiegegevens worden niet gekopieerd naar testomgevingen. We hebben een dagelijks proces dat onze volledige productiedatabase anonimiseert. Dit proces staat onder toezicht van onze teams voor gegevensprivacy en informatiebeveiliging. Deze geanonimiseerde database bevat geanonimiseerde details van klantaccounts, zoals het adres, het domein, de bedrijfsnaam, persoonsgegevens en andere vertrouwelijke informatie van de klant. Deze geanonimiseerde database wordt waar nodig gebruikt voor testen. We vernieuwen deze database dagelijks wanneer accountgegevens worden verwijderd of opgeschoond, de accountgegevens worden ook opgeschoond vanuit de geanonimiseerde database.

    

6. Hoe wordt toegang van KnowBe4-medewerkers beheerd en gemonitord? 

KnowBe4 volgt voor zijn medewerkers het principe van minimale privileges en rolgebaseerde toegang. Alle medewerkerstoegang wordt bijgehouden en gemonitord.

    

7. Wat voor gegevens worden er door Knowbe4 verzameld of verwerkt?

 

8. Waar kan ik een lijst van subverwerkers vinden? 

Een lijst van subverwerkers vind je hier.

 

9. Hoe zorgt KnowBe4 ervoor dat hun product beschikbaar is? 

Onze systemen draaien in de cloud en werken niet met hun eigen routers, load balancers, DNS-servers of virtuele systemen. Buiten enkele subverwerkers van gegevens, services en gegevens, worden gegevens voornamelijk gehost in Amazon AWS-datacentra. Voor klanten in de VS en klanten die hun gegevens in de VS willen houden, hebben we systemen in AWS-datacentra in de regio North Virginia in de VS. Voor klanten in de EU/EER (inclusief het VK en Zwitserland) hebben we systemen in AWS-datacentra die productiegegevens bewaren in DC Dublin, Ierland met een failover in DC Frankfurt. Er zijn echter ook enkele subverwerkers van gegevens die een beperkte subset van gegevens in de Verenigde Staten verwerken. Een volledig overzicht van de verwerkingslocaties is te vinden in onze lijst van subverwerkers.

Onze systemen zijn gebouwd met het oog op zowel zakelijke continuïteit als calamiteitenherstel. Onze IT-infrastructuur, waaronder systemen en databases, is gespreid over meerdere Amazon AWS-datacentra (beschikbaarheidszones) voor zowel de regio's EU als VS omwille van de continuïteit. Systemen bevinden zich in onze eigen virtual private cloud (VPC) met network access control lists (ACL's) om te voorkomen dat ongeautoriseerde verzoeken toegang krijgen tot het interne netwerk.

We gebruiken het AWS Fargate-platform als een service. AWS Fargate is een serverloze computerengine voor Amazon Elastic Container Service (Amazon ECS) waarmee KnowBe4 containers kan draaien zonder clusters van virtuele machines (VM's) te hoeven provisioneren. AWS Fargate beheert de onderliggende infrastructuur en clusters. Ook past het de app automatisch aan op de vraag. AWS Fargate maakt het overbodig om EC2-instanties te schalen, monitoren, patchen en beveiligen.

Gegevenscommunicatie tussen onze back-endsystemen en de back-endsystemen van onze klanten wordt versleuteld, waardoor gegevens zijn beschermd tijdens de overdracht. Gegevens wordt bewaard in een versleutelde Amazon Relational Database Service (Amazon RDS), wat zorgt voor beschikbaarheid en gegevensduurzaamheid. Opslag wordt verstrekt door versleutelde Amazon Simple Storage Service (S3)-buckets speciaal voor KnowBe4. Versleuteling wordt ingeschakeld om gegevens in rust te beschermen.

 

10. Hoe zorgt KnowBe4 voor de vertrouwelijkheid van onze gegevens? 

Ons interne netwerk wordt beschermd tegen openbaar internetverkeer via toestandsgevoelige firewalls verstrekt door Amazon AWS. Een beveiligingsgroep fungeert als firewall en controleert welk verkeer toegestaan wordt in een groep instanties. Voor elke beveiligingsgroep worden er aangepaste regels toegevoegd die bepalen welk inkomend verkeer toegelaten wordt tot instanties in de groep. Al het andere inkomende verkeer wordt geweigerd.

Versleutelde communicatie wordt gebruikt om externe internetsessies naar onze applicaties en ons intern netwerk te beschermen. Versleuteling wordt gebruikt om de privacy en integriteit te waarborgen van gegevens die doorgegeven worden via het openbare netwerk.

Alle gegevens worden verzonden via beveiligde kanalen. Dit omvat de website van de trainingsconsole van de dienstverlener, informatie die ter verwerking naar derden gestuurd wordt en logboekregistratie. Gegevens die gestuurd worden tussen de webserver en de database wordt gedaan binnen een virtual private cloud binnen AWS.

Gegevens die gestuurd worden tussen onze applicaties en applicaties van onze klanten worden geforceerd via minimaal een HTTPS TLS 1.2-verbinding (standaard op het hoogst beschikbare TLS-niveau) met behulp van moderne cijferreeksen. De database-instantie wordt versleuteld met de versleutelingsstandaard AES256.

 

11. Wat is je beleid voor gegevensbewaring? 

Je vindt ons beleid voor gegevensbewaring hier.

 

12. Ondertekent KnowBe4 een Business Associate Addendum zoals beschreven in HIPAA-wetgeving? 

Business Associate Addendums zijn vereist voor organisaties die PHI verwerken namens een gedekte entiteit. Onze BAA is beschikbaar op https://www.knowbe4.com/business-associate-agreement en maakt deel uit van onze Servicevoorwaarden of een andere afzonderlijk ondertekende overeenkomst, zoals een Master Services Agreement ('MSA'), die tussen klanten en KnowBe4 van kracht is aangaande het gebruik door de klant van KnowBe4’s diensten ('Overeenkomst'), waar van toepassing.

 

12. Is KnowBe4 HIPAA gecertificeerd? 

Nee en er bestaat momenteel geen HIPAA voor cloudserviceproviders. Ongeacht de toepasbaarheid van de HIPAA stemt KnowBe4 zijn informatiebeveiligingsprogramma af op FedRAMP, NIST 800-53 en ISO 27001-vereisten.

 

13. Hoe kunnen klanten de locatie verifiëren waar hun gegevens worden opgeslagen/op welke locatie hun console zich bevindt?

Na het inloggen op hun console kunnen klanten de URL zien en verifiëren waar hun console opgeslagen is binnen alle locaties van KnowBe4’s AWS. In de onderstaande tabel zie je informatie over de URL van de console en de bijbehorende AWS-opslaglocatie: