Aan tafel met Bob: Hoe Cube veiligheid en data-integriteit waarborgt.

De weg naar certificering.

Met de opkomst van ISO 27001 werd onderzocht wat deze certificering inhield en welke impact het zou hebben op Cube. Samen met collega’s zette hij een Information Security Management System (ISMS) met bijbehorend team op. "We wilden niet alleen voldoen aan de regelgeving, maar ook een cultuur creëren waarin veiligheid een vanzelfsprekendheid is. Iedereen binnen Cube moet begrijpen waarom bepaalde regels er zijn en hoe ze bijdragen aan een veiligere werkomgeving." Om zijn expertise te versterken, volgde Bob diverse cursussen en behaalde hij internationale certificeringen waarmee Cube kan aantonen een competente specialist in huis te hebben.

Werkwijze en protocollen.

Cube hanteert strikte protocollen om de veiligheid van systemen en gegevens te waarborgen. Dit begint met het in kaart brengen van alle data en het koppelen van restricties en beveiligingen. "We werkten altijd al met duidelijke richtlijnen en werkafspraken, maar met een groeiend klantenbestand en complexere projecten hebben we onze processen verder aangescherpt en gestandaardiseerd," legt Bob uit.

Een belangrijk onderdeel hiervan is de Cube Code, een document dat alle medewerkers ontvangen en ondertekenen. Hierin staan richtlijnen voor veilig werken, data-opslag en privacybescherming. Daarnaast worden alle beleidsdocumenten bijgehouden in een levend managementsysteem waardoor updates en wijzigingen direct inzichtelijk en toepasbaar zijn.

Het hele systeem rondom veiligheid moet continu worden gemonitord. Dit omvat niet alleen software, maar ook mensen, processen, software en beleid. Beleid vertaalt zich naar processen, en de effectiviteit daarvan wordt gecontroleerd door middel van logging en monitoring. "We zorgen ervoor dat alles wat we doen aantoonbaar en herleidbaar is. Dat betekent dat we niet alleen zeggen wat we doen, maar ook kunnen bewijzen dat we het daadwerkelijk naleven."

Een concreet voorbeeld hiervan is een incident waarbij een monitoringstool een inconsistentie in database queries opmerkte. "Onze lead developer merkte direct op dat dit een potentieel risico kon zijn. We hebben het probleem geanalyseerd en een beleid geïmplementeerd dat ervoor zorgt dat deze fout zich niet opnieuw voordoet. Dit laat zien hoe onze aanpak niet alleen reactief, maar ook proactief is."

Beveiliging van klantgegevens.

Bij Cube geldt dat de interne aanpak voor veiligheid ook wordt toegepast op opdrachtgevers. Dit betekent dat klantgegevens altijd worden beschermd volgens strikte richtlijnen. "We werken volgens het principe van 'least privilege', een developer heeft alleen toegang tot de projecten en benodigde data waar hij of zij direct aan werkt. Dit minimaliseert risico’s en zorgt ervoor dat gevoelige informatie niet onnodig wordt blootgesteld," zegt Bob.

Daarnaast is het interne beleid sterk uitgebreid. Waar voorheen vooral richtlijnen voor developers golden, omvat het beleid nu de hele organisatie. "Een projectmanager heeft misschien geen directe toegang tot code, maar moet wel weten hoe klantdata wordt verwerkt. Iedereen binnen Cube heeft een rol in het waarborgen van veiligheid." Medewerkers worden actief betrokken bij het naleven van de richtlijnen en kunnen bij twijfel situaties als security-incidenten rapporteren. "We hebben een cultuur waarin iedereen zich verantwoordelijk voelt voor veiligheid. We houden elkaar scherp, organiseren trainingen en presentaties, en werken samen om het beleid niet alleen te volgen, maar ook te leven. Dat is een groot verschil met hoe we vroeger werkten," benadrukt Bob.

Continu leren en verbeteren.

Een essentieel onderdeel van het waarborgen van veiligheid is het up-to-date houden van kennis. Cube volgt actief relevante nieuwsbronnen, houdt en volgt aanvullende security-trainingen en zorgt ervoor dat medewerkers bekend zijn met de laatste ontwikkelingen in het vakgebied. "We nemen geen genoegen met 'goed genoeg'. We willen altijd een stap verder gaan en onszelf verbeteren. Dat zit in ons DNA."

De ISO-certificering vereist bovendien dat kennis periodiek wordt bijgewerkt, waardoor er een constante prikkel is om te blijven leren. "Wat ons echt onderscheidt, is dat we veiligheid niet zien als een verplichting, maar als een kans om uit te blinken. We bouwen niet alleen veilige software, we zorgen ervoor dat onze opdrachtgevers daar op kunnen vertrouwen." Om dat vertrouwen te onderbouwen, laten onze opdrachtgevers regelmatig pentesten en audits uitvoeren op de software die we bouwen. Veiligheid is niet alleen een kwestie van vertrouwen, maar ook van controle.

Onderdeel van de bedrijfscultuur.

Volgens Bob wordt het streven naar continue verbetering zowel intern als extern opgemerkt: “Opdrachtgevers, partners en medewerkers waarderen de zorgvuldigheid waarmee we testprocessen en beveiligingsmaatregelen implementeren.” Dankzij de beleidsprocessen en implementatie van een gestructureerd security-framework heeft Cube een omgeving gecreëerd waarin veiligheid niet alleen een technische vereiste is, maar ook een integraal onderdeel van de bedrijfscultuur is. Het resultaat: Een organisatie die niet alleen voldoet aan regelgeving, maar ook continu streeft naar verbetering en optimalisatie in de beveiliging van data en systemen.