Wat is een SOC verklaring?
SOC staat voor Service Organization Control Report en stelt criteria voor het beheren van gegevens op basis van vijf ‘serviceprincipes’: beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy. Om aan te tonen dat aan de eisen wordt voldaan, kan een SOC2 verklaring aangevraagd worden.
Waarom deze verklaring?
Als SaaS oplossing verwerken wij veel gegevens. We vinden het belangrijk om transparant te zijn over de beveiliging van deze gegevens. Met een SOC2 type 1 verklaring tonen wij aan dat wij een betrouwbare partner zijn, die op een zorgvuldige en veilige manier met gegevens omgaat.
Irma Meinema van Durf IT Risk Management begeleidde het certificeringstraject. ‘’De beveiliging van Ruler was al goed op orde, hiermee wordt dit ook aantoonbaar gemaakt,’’ vertelt ze. ‘’In de SOC2 type 1 verklaring staat hoe processen zijn geregeld en welke beheersmaatregelen zijn genomen, zowel bij de Ruler redactie als bij ontwikkelpartij Lifely.’’
Hoe zag het certificeringstraject eruit?
Wij besloten te focussen op de serviceprincipes beveiliging, beschikbaarheid en vertrouwelijkheid. Het verkrijgen van de certificering was een omvangrijk traject. Het begon met een beoordeling van de beveiligingsniveaus die er al waren. Meinema: ‘’Behalve de vereiste basis van SOC2 heeft Ruler gekozen om extra cloud controls toe te voegen. Heel slim, want Ruler is een SAAS applicatie en staat dus in de cloud.‘’
Daarna hebben we ervoor gezorgd dat alle veiligheidsmaatregelen ook zichtbaar zijn, om aan te kunnen tonen hoe we Ruler veilig houden. Tijdens een audit door een onafhankelijke partij werden de maatregelen en procedures getoetst en het SOC2 rapport tot op de laatste komma gecontroleerd. Nadat het audit team had vastgesteld dat we aan alle eisen voldoen en het SOC2 rapport klopt, heeft de auditor een SOC2 verklaring opgesteld en toegevoegd aan ons rapport.
We delen het SOC2 rapport graag met onze klanten. Wil je hem ontvangen? Vraag hem dan aan via info@ruler.nl.
Hoe nu verder?
Dat de SOC2 type 1 verklaring verkregen is, betekent niet dat het werk nu gedaan is. ‘’Wij zullen de risico’s en genomen maatregelen continu blijven monitoren en waar nodig nieuwe maatregelen treffen,’’ vertelt Niels Huijpen, Ruler’s Information Security Officer (ISO). Over een halfjaar vindt er opnieuw een audit plaats waarbij wordt gecontroleerd of alle maatregelen daadwerkelijk worden uitgevoerd zoals bedoeld in het rapport. Als dit het geval blijkt, ontvangt Ruler ook een SOC2 type 2 verklaring.
Het Ruler team is ervan overtuigd dat Ruler veilig was en blijft
Wat merk je hiervan als gebruiker?
Het Ruler team is ervan overtuigd dat Ruler veilig was en blijft. Eigenlijk verandert er niets in Ruler zelf. Om jou als klant op de hoogte te houden van onze veiligheid gaat het Ruler team op vaste momenten met de Ruler beheerders communiceren, bijvoorbeeld over updates of onderhoud. Hierover houden wij onze gebruikers op de hoogte via een aparte paragraaf in de release notes.
Hoe goed onze beveiliging ook op orde is, ook wij kunnen niet garanderen dat we nooit te maken krijgen met een hacker of ander beveiligingsincident. Mocht er ondanks alle maatregelen toch een security incident plaatsvinden, dan zullen wij ook hierover direct formeel rapporteren richting onze gebruikers.
Samen houden we Ruler veilig
Merk jij als gebruiker kwetsbaarheden in de beveiliging van Ruler? Of heb je een andere vraag over de security van Ruler? Neem dan contact op met onze Information Security Officer Niels Huypen via security@ruler.nl. Zo houden we Ruler samen veilig.
