beveiliging

Wat we doen, en wat we nog niet hebben.

Elke regel hieronder is een controleerbare uitspraak met een datum waarop hij gemeten is. Wat er niet staat, hebben we niet. Dat is de hele opzet van deze pagina.

deze pagina is nog niet compleet

Van de acht punten hieronder draagt er op dit moment 1 van de 8 een echte meetdatum. Zolang dat niet acht van de acht is, staat deze pagina op noindex en gaat hij niet publiek: een pagina die per punt een datum belooft, mag die belofte niet zelf breken.

wat we doen

Acht uitspraken, elk met een meetdatum.

Geen van deze zinnen is een keurmerk. Het zijn dingen die we hebben ingericht en die we opnieuw meten als er iets verandert.

  1. 01

    Onze server draait bij een ISO 27001:2022-gecertificeerde Europese aanbieder.

    open

    De certificering is van de aanbieder, niet van basestep. We controleren het certificaat jaarlijks op nummer en geldigheidsdatum, en de scope moet de dienst dekken die we afnemen.

    meetdatum ontbreekt nog: certificaatnummer en geldigheidsdatum van de aanbieder

  2. 02

    Back-ups worden versleuteld (AES-256) voordat ze naar Europese opslag in Amsterdam gaan.

    gemeten

    Lokaal maken we dagelijks een back-up, wekelijks gaat er een versleutelde kopie naar een tweede Europese locatie, en het terugzetten is met een echte test bewezen.

  3. 03

    De database is niet vanaf internet te benaderen.

    open

    Dit is een aanwijsbare netwerkconfiguratie en geen beleidsvoornemen: de database luistert niet op een publiek adres.

    meetdatum ontbreekt nog: datum van de netwerkmeting

  4. 04

    Versleutelde verbindingen (TLS 1.2 en 1.3, HSTS).

    open

    Al het verkeer loopt over TLS. HSTS staat aan; preload noemen we hier bewust niet, want dat mag alleen als het domein daadwerkelijk op de preload-lijst staat.

    meetdatum ontbreekt nog: datum van de TLS- en HSTS-meting, en of het domein op de preload-lijst komt

  5. 05

    Tweestapsverificatie verplicht voor beheerders.

    open

    Technisch afgedwongen, niet alleen als beleid opgeschreven.

    meetdatum ontbreekt nog: datum waarop de afdwinging is gecontroleerd

  6. 06

    We vragen nooit je BSN.

    open

    Een productkeuze die je kunt narekenen: er is geen veld voor, en de belastingmotor heeft het niet nodig. Het btw-identificatienummer van een eenmanszaak is sinds 2020 losgekoppeld van het BSN.

    meetdatum ontbreekt nog: geen meting nodig, wel een datum waarop het is vastgesteld

  7. 07

    We lezen je documenten niet automatisch in.

    open

    Geen OCR over je bonnen, geen automatische documentverwerking. Je bonnen bewaar je zelf; het platform slaat geen bestanden op.

    meetdatum ontbreekt nog: geen meting nodig, wel een datum waarop het is vastgesteld

  8. 08

    We meten zonder cookies.

    open

    Daarom staat er geen cookiebanner op deze site. De onderbouwing staat in artikel 11.7a lid 3 van de Telecommunicatiewet: voor meting die strikt noodzakelijk is en geen apparaat volgt, is geen toestemming nodig.

    meetdatum ontbreekt nog: datum waarop de meetopzet is gecontroleerd

wat we nog niet hebben

Net zo belangrijk, en daarom even zichtbaar.

Een beveiligingspagina die alleen vertelt wat er goed gaat, vertelt de helft. Dit is de andere helft.

Geen externe pentest.Staat op de roadmap, zonder datum zolang die niet vaststaat.
Geen eigen certificering.De ISO-certificering hierboven is van onze aanbieder. basestep zelf is niet gecertificeerd en zegt dat ook nergens anders.
Geen schijfversleuteling op de server zelf.De back-ups zijn versleuteld; de schijf van de server is dat niet. Staat op de roadmap.
Geen gemeten beschikbaarheid.We publiceren geen uptimepercentage, want we meten het niet. Een statuspagina staat op de roadmap.

Wat er wel en niet op de planning staat lees je op de roadmap, en waar we je gegevens verwerken staat straks in de privacyverklaring.

iets gevonden

Meld het, en publiceer het niet.

Vind je een kwetsbaarheid, mail dan naar info@basestep.io met genoeg detail om het na te doen. Publiceer niets zolang het niet verholpen is. Hetzelfde adres staat in onze security.txt. Wat we niet beloven: er is geen bug-bountyprogramma en geen toegezegde reactietermijn.

Eerlijk over wat er staat.

Mail ons

Ook eerlijk over wat er nog niet is: dat staat hierboven, niet in de kleine letters.