Beveiligingsverklaring

Deze beveiligingsverklaring is van toepassing op alle producten en diensten van Banqup Group en haar filialen, tenzij anders vermeld. Deze beveiligingsverklaring maakt ook deel uit van de gebruikersovereenkomsten voor klanten van Banqup Group. Banqup Group hecht veel waarde aan het vertrouwen van haar klanten door de organisatie als bewaarder van hun gegevens te laten optreden.

Banqup Group neemt haar verantwoordelijkheid om de informatie van haar klanten te beschermen en te beveiligen ernstig, en streeft naar volledige transparantie over de hieronder beschreven beveiligingspraktijken.

Algemeen

Fysieke beveiliging

De informatiesystemen en technische infrastructuur van Banqup worden gehost in datacenters van wereldklasse met SOC 2-accreditatie. De fysieke beveiligingsmaatregelen in deze datacenters omvatten monitoring 24 uur op 24, 7 dagen op 7, camera's, bezoekersregistratie, toegangsbeperkingen en alles wat men mag verwachten van een uiterst beveiligde faciliteit voor gegevensverwerking.

Toegangscontrole

Toegang tot de technologische middelen van Banqup is enkel toegestaan via een beveiligde verbinding (bv. VPN, SSH) en vereist multifactorauthenticatie. Het wachtwoordbeleid voor de productieomgeving van Banqup vereist complexiteit en periodieke vervanging, voorziet in vergrendeling en staat hergebruik niet toe. Banqup verleent toegang op basis van het need-to-know-principe en het least-privilege-principe, herziet rechten elk kwartaal en trekt de toegang onmiddellijk in bij het einde van een dienstverband.

Beveiligingsbeleid

Banqup onderhoudt zijn beleid inzake informatiebeveiliging en herziet en actualiseert dit periodiek, minstens jaarlijks. Medewerkers moeten dit beleid jaarlijks bevestigen en volgen bijkomende opleidingen die aansluiten bij hun functie. De opleidingen zijn erop gericht te voldoen aan alle specificaties en regelgeving die op Banqup van toepassing zijn.

Personeel

Banqup voert bij aanwerving een achtergrondcontrole uit (voor zover toegestaan of mogelijk gemaakt door de toepasselijke wetgeving en landen). Daarnaast communiceert Banqup zijn beleid inzake informatiebeveiliging aan alle personeelsleden (die dit moeten bevestigen), vereist het dat nieuwe medewerkers geheimhoudingsovereenkomsten ondertekenen en voorziet het in doorlopende opleidingen rond privacy en beveiliging.

Toegewijd beveiligingspersoneel

Banqup beschikt over een toegewijde privacy- en beveiligingsorganisatie die zich richt op de beveiliging van applicaties, cloud, netwerken en systemen. Dit team is ook verantwoordelijk voor compliance op het gebied van beveiliging, opleiding en incidentrespons.

Kwetsbaarheidsbeheer en penetratietests

Banqup onderhoudt een gedocumenteerd programma voor kwetsbaarheidsbeheer, dat periodieke scans, en de identificatie en verhelping van beveiligingskwetsbaarheden op servers, werkstations, netwerkapparatuur en applicaties omvat. Alle netwerken, met inbegrip van test- en productieomgevingen, worden regelmatig gescand door vertrouwde externe partners. Kritieke patches worden bij voorrang op servers toegepast, en alle andere patches naargelang nodig. Banqup voert daarnaast regelmatig interne en externe penetratietests uit en verhelpt gevonden resultaten volgens hun ernst.

Encryptie

Banqup versleutelt alle data in rust in de datacenters en alle data in beweging volgens de cryptografische standaard van Banqup, die jaarlijks wordt herzien.

Ontwikkeling

Het ontwikkelteam van Banqup past veilige codeertechnieken en best practices toe, gebaseerd op de OWASP Top Ten. Ontwikkelaars krijgen bij aanwerving en jaarlijks een formele opleiding in veilige ontwikkeling van webapplicaties. Ontwikkelings-, test- en productieomgevingen zijn van elkaar gescheiden. Alle wijzigingen worden door collega's herzien (peer review) en gelogd met het oog op prestaties, audit en forensisch onderzoek, voordat ze naar de productieomgeving worden uitgerold.

Beheer van bedrijfsmiddelen

Banqup onderhoudt een beleid voor het beheer van bedrijfsmiddelen, dat de identificatie, classificatie, bewaring en verwijdering van informatie en bedrijfsmiddelen omvat. Toestellen die door het bedrijf worden verstrekt, zijn uitgerust met volledige harde-schijfversleuteling en actuele antivirussoftware. Enkel door het bedrijf verstrekte toestellen krijgen toegang tot de productienetwerken.

Incidentbeheer

Banqup hanteert een responsproces voor beveiligingsincidenten dat de eerste respons, het onderzoek, de kennisgeving aan klanten (minstens zoals vereist door de toepasselijke wetgeving), publieke communicatie, prudentiële rapportering en herstel omvat.

Kennisgeving van datalekken

Ondanks alle inspanningen is geen enkele methode voor gegevensoverdracht via het internet en geen enkele methode voor elektronische opslag volledig veilig. Net als elke andere organisatie kan Banqup geen absolute veiligheid garanderen. Wanneer Banqup echter kennis krijgt van een beveiligingsincident, zal het de betrokken gebruikers hiervan op de hoogte brengen, zodat zij passende beschermende maatregelen kunnen nemen. De procedures van Banqup voor kennisgeving van datalekken zijn in overeenstemming met de verplichtingen op grond van de toepasselijke nationale wetten en regelgeving, evenals eventuele sectorregels of -normen die van toepassing zijn op Banqup en zijn filialen. Banqup engageert zich om haar klanten volledig op de hoogte te houden van alles wat relevant is voor de beveiliging van hun account, en om hen alle informatie te bezorgen die zij nodig hebben om aan hun eigen wettelijke rapporteringsverplichtingen te voldoen.

Bedrijfscontinuïteitsbeheer

Back-ups worden versleuteld en bewaard binnen de productieomgeving om hun vertrouwelijkheid en integriteit te waarborgen. Banqup hanteert een back-upstrategie om downtime en gegevensverlies tot een minimum te beperken.

Uw verantwoordelijkheid

Om uw gegevens veilig te houden, moet u ook de beveiliging van uw account bewaken door voldoende complexe wachtwoorden te gebruiken en deze veilig te bewaren. U dient zich ook bewust te zijn van uw context en omgeving en op een veilige manier te werken. Tot slot dient u ervoor te zorgen dat uw eigen systemen voldoende beveiligd zijn.

Logging en monitoring

Applicatie- en infrastructuursystemen loggen informatie in een centraal beheerde logopslag voor probleemoplossing, beveiligingsreviews en analyse door geautoriseerd personeel van Banqup. Logs worden bewaard in overeenstemming met de wettelijke vereisten. Banqup zal klanten redelijke bijstand en toegang tot logs verlenen in geval van een beveiligingsincident dat hun account treft.

Compliance

Banqup Group heeft een Information Security Management System (ISMS), governance, risicobeheer en compliancepraktijken geïmplementeerd, die aansluiten bij de huidige kaders en best practices op het gebied van informatiebeveiliging. Ons ISMS is ISO 27001-gecertificeerd. Daarnaast voldoen de betaalproducten van Banqup aan de Payment Card Industry Data Security Standards (PCI DSS 3.2).

Fraude

Banqup Payments maakt gebruik van regelgebaseerde en AI-ondersteunde detectiesystemen om de transacties van klanten te beschermen tegen financiële criminaliteit. Deze detectiesystemen worden voortdurend herzien om zich aan te passen aan veranderende bedreigingen, wat resulteert in een lager fraudepercentage voor klanten van Banqup en hun eigen klanten.

Multifactorauthenticatie

Banqup Payments gebruikt het 3D Secure-protocol (3DS) om een extra beveiligingslaag toe te voegen aan online elektronische betalingen. Dit vermindert het risico op ongeoorloofde transacties en chargebacks. Met 3DS ingeschakeld genieten klanten van tweefactorauthenticatie bij betalingen, d.w.z. betalingen worden pas uitgevoerd nadat de klant deze heeft geautoriseerd.