Wat moeten we een SaaS-leverancier over beveiliging vragen voordat we tekenen?

Stel vragen waarvan u de antwoorden kunt controleren en die ertoe doen als er iets misgaat. Bewijs: welke onafhankelijke rapporten of certificaten dekken de dienst die u koopt, zoals een SOCSOC: security operations centre. Een team, vaak dag en nacht actief, dat aanvallen opspoort en erop reageert. 2 Type II-rapport of een ISO/IEC 27001-certificaat, met reikwijdte en datum, en mag u ze inzien? Gegevens: waar worden ze opgeslagen en verwerkt, welke subverwerkers zijn betrokken, worden ze gebruikt om modellen te trainen, hoe lang worden ze bewaard en hoe krijgt u ze bij vertrek terug in een bruikbaar formaat? Toegang: single sign-on, verplichte MFA, rolgebaseerde rechten en exporteerbare auditlogs. Incidenten: hoe snel informeren ze u, via welk kanaal, en welke steun bieden ze bij uw eigen meldplichten onder de AVGAVG: Algemene verordening gegevensbescherming. De Europese privacywet (Verordening (EU) 2016/679). of NIS2NIS2: tweede Europese richtlijn voor netwerk- en informatiebeveiliging. De Europese cyberbeveiligingswet (Richtlijn (EU) 2022/2555) met beveiligings- en meldplichten voor veel bedrijven.? Weerbaarheid: back-ups, hersteldoelen en bescherming tegen misbruik van een beheerdersaccount. Kwetsbaarheden: hoe behandelen ze meldingen en hoe snel patchen ze? Zet de belangrijkste antwoorden in het contract of de verwerkersovereenkomst, niet alleen in een vragenlijst. Een kleinere leverancier met duidelijke, eerlijke antwoorden kan veiliger zijn dan een grote met vage.

← Alle 25 vragen over Cloud- en SaaS-beveiligingAlle onderwerpen