De technische en organisatorische beveiligingsmaatregelen (TOM's) van FlyID. Deze bijlage werkt de beveiligingsafspraken uit de verwerkersovereenkomst, SLA en algemene voorwaarden concreet uit.
Informatiebeveiligingsbijlage · Versie 1.0 · 06-08-2026
Behorende bij de SaaS-overeenkomst, Verwerkersovereenkomst en Service Level Agreement van Starruk B.V. (in oprichting), handelend onder de naam FlyID.
Artikel 1 – Doel en reikwijdte
1. Deze Security Annex beschrijft de technische en organisatorische beveiligingsmaatregelen die FlyID toepast ter bescherming van de beschikbaarheid, integriteit, vertrouwelijkheid en veerkracht van de Dienst en de verwerkte gegevens.
2. Deze Security Annex vormt een integraal onderdeel van: a. de SaaS-overeenkomst; b. de Verwerkersovereenkomst; c. de Service Level Agreement; d. de Algemene Voorwaarden, voor zover daarin naar deze bijlage wordt verwezen.
3. De in deze Security Annex beschreven maatregelen vormen een nadere uitwerking van de verplichtingen inzake informatiebeveiliging zoals overeengekomen tussen Partijen.
Artikel 2 – Beveiligingsdoelstellingen
FlyID streeft naar een informatiebeveiligingsniveau dat is gebaseerd op de volgende uitgangspunten: a. bescherming van de vertrouwelijkheid van gegevens; b. waarborging van de integriteit van systemen en gegevens; c. beschikbaarheid van de dienstverlening; d. aantoonbare beheersing van beveiligingsrisico's; e. naleving van toepasselijke wet- en regelgeving; f. voortdurende verbetering van het informatiebeveiligingsmanagement.
Artikel 3 – Toepasselijke normen
1. FlyID richt haar informatiebeveiliging risicogebaseerd in.
2. Daarbij kan FlyID gebruikmaken van algemeen aanvaarde normen en best practices, waaronder – voor zover van toepassing: a. ISO/IEC 27001; b. ISO/IEC 27002; c. ISO/IEC 27017; d. ISO/IEC 27018; e. CIS Controls; f. OWASP Application Security Verification Standard (ASVS); g. OWASP Top 10; h. NIST Cybersecurity Framework.
3. Verwijzingen naar normen vormen geen garantie dat FlyID gecertificeerd is, tenzij dit uitdrukkelijk schriftelijk is overeengekomen of aantoonbaar is gemaakt.
Artikel 4 – Governance
1. FlyID onderhoudt een stelsel van beleidsmaatregelen en procedures gericht op de beheersing van informatiebeveiligingsrisico's.
2. Het informatiebeveiligingsbeleid wordt periodiek geëvalueerd en waar nodig aangepast aan: a. wijzigingen in de dienstverlening; b. gewijzigde dreigingen; c. technologische ontwikkelingen; d. wijzigingen in wet- en regelgeving.
3. Verantwoordelijkheden voor informatiebeveiliging worden intern toegewezen aan daartoe bevoegde functionarissen.
Artikel 5 – Risicomanagement
1. FlyID voert periodiek risicoanalyses uit met betrekking tot de beveiliging van haar dienstverlening.
2. De uitkomsten van deze risicoanalyses kunnen leiden tot: a. aanvullende beveiligingsmaatregelen; b. wijzigingen in processen; c. technische verbeteringen; d. aanpassing van beleidsdocumenten.
3. De frequentie en diepgang van risicoanalyses worden afgestemd op de aard, omvang en risico's van de dienstverlening.
Artikel 6 – Personeel en bewustwording
1. FlyID draagt er zorg voor dat medewerkers en ingeschakelde derden die toegang hebben tot bedrijfs- of persoonsgegevens beschikken over een passend beveiligingsbewustzijn.
2. Voor zover passend gelet op de functie worden medewerkers: a. geïnformeerd over het informatiebeveiligingsbeleid; b. gewezen op hun verantwoordelijkheden ten aanzien van vertrouwelijkheid en gegevensbescherming; c. periodiek getraind in informatiebeveiliging en privacy; d. geïnformeerd over actuele cyberdreigingen en beveiligingsrisico's.
3. FlyID kan periodiek awarenessprogramma's, simulaties of andere maatregelen inzetten om het beveiligingsbewustzijn te vergroten.
Artikel 7 – Geheimhouding
1. Medewerkers en ingeschakelde derden die toegang hebben tot vertrouwelijke informatie zijn gehouden aan passende geheimhoudingsverplichtingen.
2. Deze verplichtingen blijven ook na beëindiging van de arbeids- of opdrachtrelatie van kracht voor zover de aard van de informatie dit vereist.
Artikel 8 – Functiescheiding
1. Waar redelijkerwijs mogelijk past FlyID functiescheiding toe bij kritieke processen.
2. Kritieke bevoegdheden worden slechts toegekend aan personen voor wie deze noodzakelijk zijn voor de uitoefening van hun functie.
3. Toegang tot productieomgevingen wordt beperkt tot geautoriseerde medewerkers.
Artikel 9 – Beleid en procedures
1. FlyID onderhoudt interne procedures voor: a. wijzigingsbeheer; b. incidentmanagement; c. toegangsbeheer; d. leveranciersbeheer; e. kwetsbaarhedenbeheer; f. continuïteitsbeheer; g. back-up- en herstelprocedures.
2. Deze procedures worden periodiek geëvalueerd en indien nodig aangepast.
Artikel 10 – Algemene beveiligingsmaatregelen
1. FlyID past passende technische beveiligingsmaatregelen toe die aansluiten bij: a. de stand van de techniek; b. de uitvoeringskosten; c. de aard, omvang, context en doeleinden van de verwerking; d. de risico's voor betrokkenen.
2. De beveiligingsmaatregelen worden periodiek geëvalueerd en waar nodig aangepast.
Artikel 11 – Netwerkbeveiliging
1. Netwerken worden zoveel mogelijk logisch gescheiden naar functie en beveiligingsniveau.
2. Verkeer van en naar de productieomgeving wordt beschermd door passende netwerkbeveiligingsmaatregelen, waaronder waar passend: a. firewalls; b. web application firewalls; c. netwerksegmentatie; d. DDoS-bescherming; e. intrusion detection of intrusion prevention.
3. Externe beheerverbindingen worden uitsluitend toegestaan via beveiligde communicatiekanalen.
Artikel 12 – Endpoint- en serverbeveiliging
1. Productiesystemen worden voorzien van passende beveiligingsmaatregelen tegen ongeautoriseerde toegang en malware.
2. Servers worden waar mogelijk volgens beveiligde configuratiestandaarden ingericht.
3. Niet-noodzakelijke diensten, protocollen en softwarecomponenten worden uitgeschakeld of verwijderd indien dit redelijkerwijs mogelijk is.
Artikel 13 – Malwarebescherming
1. FlyID treft maatregelen ter voorkoming, detectie en beperking van malware.
2. Voor zover passend worden systemen voorzien van: a. endpointbeveiliging; b. malwaredetectie; c. e-mailfiltering; d. monitoring van verdachte activiteiten.
Artikel 14 – Bescherming van gegevens
1. Gegevens worden tijdens opslag en overdracht beschermd door passende beveiligingsmaatregelen.
2. Voor zover passend worden vertrouwelijke gegevens versleuteld opgeslagen.
3. Dataverkeer tussen gebruikers en de Dienst wordt beschermd door actuele cryptografische protocollen.
Artikel 15 – Toegangsbeheer
1. FlyID past een toegangsbeheerproces toe dat is gebaseerd op het beginsel van least privilege en, waar passend, need-to-know.
2. Gebruikers krijgen uitsluitend toegang tot systemen en gegevens die noodzakelijk zijn voor de uitvoering van hun werkzaamheden.
3. Toegangsrechten worden periodiek beoordeeld en waar nodig aangepast of ingetrokken.
Artikel 16 – Authenticatie
1. Accounts zijn persoonlijk en mogen niet worden gedeeld, tenzij de aard van de dienstverlening dit uitdrukkelijk vereist.
2. Voor beheerdersaccounts en andere accounts met verhoogde rechten wordt, waar passend, meervoudige authenticatie (MFA) toegepast.
3. Authenticatiemiddelen worden op passende wijze beheerd en beschermd tegen ongeautoriseerd gebruik.
Artikel 17 – Wachtwoordbeleid
1. FlyID hanteert een wachtwoordbeleid dat aansluit bij actuele beveiligingsinzichten.
2. Waar wachtwoorden worden gebruikt, gelden passende eisen ten aanzien van: a. minimale lengte; b. complexiteit of passphrases; c. veilige opslag; d. bescherming tegen ongeautoriseerde toegang.
3. Wachtwoorden worden niet in leesbare vorm opgeslagen.
Artikel 18 – Privileged Access Management
1. Beheerdersrechten worden uitsluitend toegekend aan medewerkers voor wie deze noodzakelijk zijn.
2. Gebruik van beheerdersrechten wordt zoveel mogelijk geregistreerd en gemonitord.
3. Tijdelijke verhoogde rechten worden, waar mogelijk, na afloop van de betreffende werkzaamheden ingetrokken.
Artikel 19 – Accountbeheer
1. Accounts worden aangemaakt, gewijzigd en verwijderd volgens een gecontroleerd autorisatieproces.
2. Accounts van uitdienst getreden medewerkers of beëindigde opdrachtnemers worden zo spoedig mogelijk gedeactiveerd of verwijderd.
3. Inactieve accounts kunnen periodiek worden gecontroleerd en, indien passend, gedeactiveerd.
Artikel 20 – Cryptografisch beleid
1. FlyID past passende cryptografische maatregelen toe ter bescherming van de vertrouwelijkheid, integriteit en authenticiteit van gegevens.
2. Cryptografische maatregelen worden geselecteerd op basis van: a. de aard van de gegevens; b. het risicoprofiel van de verwerking; c. de stand van de techniek; d. algemeen aanvaarde beveiligingsstandaarden.
3. Verouderde of als onveilig aangemerkte cryptografische algoritmen worden, voor zover redelijkerwijs mogelijk, uitgefaseerd.
Artikel 21 – Encryptie tijdens transport
1. Gegevens die via openbare netwerken worden verzonden, worden beschermd door middel van actuele en algemeen geaccepteerde transportversleuteling.
2. FlyID streeft ernaar uitsluitend beveiligde communicatieprotocollen en actuele TLS-configuraties toe te passen.
3. Onbeveiligde protocollen worden uitsluitend gebruikt indien dit technisch noodzakelijk is en passende aanvullende beveiligingsmaatregelen zijn getroffen.
Artikel 22 – Encryptie van opgeslagen gegevens
1. Voor gegevens waarvan verlies of onbevoegde kennisneming aanzienlijke risico's kan opleveren, past FlyID waar passend encryptie toe tijdens opslag.
2. Encryptie wordt toegepast op basis van een risicobeoordeling waarbij rekening wordt gehouden met: a. de gevoeligheid van de gegevens; b. de opslaglocatie; c. de dreigingen voor de betreffende omgeving.
Artikel 23 – Sleutelbeheer
1. Cryptografische sleutels worden beheerd volgens gedocumenteerde procedures.
2. Sleutels worden uitsluitend toegankelijk gemaakt voor daartoe geautoriseerde personen of systemen.
3. FlyID neemt passende maatregelen voor: a. veilige generatie van sleutels; b. veilige opslag; c. periodieke rotatie waar passend; d. intrekking of vervanging bij een vermoeden van compromittering.
Artikel 24 – Logging
1. FlyID registreert, voor zover passend en proportioneel, gebeurtenissen die relevant zijn voor de beveiliging van de Dienst.
2. Logregistraties kunnen onder meer betrekking hebben op: a. authenticatiepogingen; b. gebruik van beheerdersrechten; c. wijzigingen in configuraties; d. beveiligingsincidenten; e. systeemfouten; f. kritieke beheeractiviteiten.
3. Logging wordt ingericht met inachtneming van privacy- en proportionaliteitsbeginselen.
Artikel 25 – Bescherming van loggegevens
1. Logbestanden worden beschermd tegen ongeautoriseerde wijziging, verwijdering of openbaarmaking.
2. Toegang tot loggegevens is beperkt tot geautoriseerde personen voor zover dit noodzakelijk is voor: a. beveiligingsonderzoek; b. incidentafhandeling; c. compliance; d. auditdoeleinden.
3. Bewaartermijnen voor loggegevens worden vastgesteld op basis van wettelijke verplichtingen, beveiligingsbehoeften en operationele noodzaak.
Artikel 26 – Monitoring
1. FlyID monitort de beschikbaarheid en beveiliging van haar systemen waar passend.
2. Monitoring kan onder meer betrekking hebben op: a. systeembelasting; b. netwerkverkeer; c. verdachte activiteiten; d. beveiligingsmeldingen; e. beschikbaarheid van kritieke componenten.
3. Bevindingen uit monitoring kunnen aanleiding geven tot nader onderzoek of aanvullende beveiligingsmaatregelen.
Artikel 27 – Detectie van beveiligingsincidenten
1. FlyID treft redelijke maatregelen om beveiligingsincidenten tijdig te detecteren.
2. Voor zover passend worden geautomatiseerde detectiemechanismen toegepast.
3. Ernstige of vermoedelijke beveiligingsincidenten worden behandeld overeenkomstig het Incident Response-proces.
Artikel 28 – Kwetsbaarhedenbeheer
1. FlyID onderhoudt een proces voor het identificeren, beoordelen en behandelen van beveiligingskwetsbaarheden.
2. Kwetsbaarheden worden geprioriteerd op basis van: a. ernst; b. waarschijnlijkheid van misbruik; c. impact op de dienstverlening; d. beschikbaarheid van mitigerende maatregelen.
3. Waar passend maakt FlyID gebruik van geautomatiseerde scans, handmatige beoordelingen of externe beveiligingsonderzoeken.
Artikel 29 – Patchmanagement
1. Beveiligingsupdates worden beoordeeld en, waar passend, tijdig toegepast.
2. Kritieke beveiligingsupdates krijgen prioriteit.
3. Voorafgaand aan implementatie kunnen patches worden getest indien dit redelijkerwijs mogelijk is.
4. Indien onmiddellijke installatie niet mogelijk is, treft FlyID passende tijdelijke mitigerende maatregelen.
Artikel 30 – Responsible Disclosure
1. FlyID kan een responsible disclosure-beleid hanteren voor meldingen van beveiligingskwetsbaarheden.
2. Meldingen worden zorgvuldig beoordeeld en behandeld.
3. Een melder die te goeder trouw handelt overeenkomstig het beleid wordt, voor zover wettelijk toegestaan, niet benadeeld vanwege de melding.
Artikel 31 – Veilige softwareontwikkeling
1. FlyID streeft naar een gestructureerd ontwikkelproces waarin informatiebeveiliging gedurende de gehele ontwikkelcyclus wordt meegenomen.
2. Beveiligingsaspecten worden waar passend betrokken bij: a. ontwerp; b. ontwikkeling; c. testen; d. implementatie; e. onderhoud.
Artikel 32 – Codekwaliteit
1. Softwareontwikkeling vindt plaats volgens intern vastgestelde kwaliteitsrichtlijnen.
2. Waar passend worden toegepast: a. peer reviews; b. geautomatiseerde codeanalyse; c. dependency-scans; d. software composition analysis; e. beveiligingstesten.
Artikel 33 – Testomgevingen
1. Ontwikkel-, test- en productieomgevingen worden zoveel mogelijk logisch van elkaar gescheiden.
2. Productiegegevens worden niet gebruikt in testomgevingen, tenzij: a. dit noodzakelijk is; b. passende beveiligingsmaatregelen zijn getroffen; c. de verwerking verenigbaar is met de toepasselijke wetgeving.
3. Indien persoonsgegevens in testomgevingen worden gebruikt, worden deze waar mogelijk gepseudonimiseerd of geanonimiseerd.
Artikel 34 – Wijzigingsbeheer
1. Wijzigingen aan de Dienst worden beheerst uitgevoerd volgens een wijzigingsbeheerproces.
2. Het wijzigingsbeheerproces omvat, voor zover passend: a. documentatie van wijzigingen; b. risicoanalyse; c. beoordeling; d. testen; e. goedkeuring; f. gecontroleerde implementatie; g. mogelijkheid tot herstel indien een wijziging ongewenste gevolgen heeft.
3. Spoedwijzigingen kunnen versneld worden uitgevoerd indien dit noodzakelijk is voor de beveiliging of continuïteit van de Dienst. Dergelijke wijzigingen worden achteraf geëvalueerd en gedocumenteerd.
Artikel 35 – Selectie en beoordeling van leveranciers
1. FlyID beoordeelt leveranciers en subverwerkers voorafgaand aan hun inschakeling op de risico's voor informatiebeveiliging, privacy, continuïteit en compliance.
2. Bij de beoordeling kunnen onder meer de volgende aspecten worden betrokken: a. de aard van de dienstverlening; b. de toegang tot systemen en gegevens; c. de beveiligingsmaatregelen van de leverancier; d. relevante certificeringen of assurance-rapportages; e. de locatie van de gegevensverwerking; f. de financiële en organisatorische continuïteit van de leverancier.
3. De diepgang van de beoordeling is afhankelijk van de aard, omvang en risico's van de uitbestede dienstverlening.
Artikel 36 – Contractuele beveiligingsverplichtingen
1. Met leveranciers en subverwerkers die toegang hebben tot vertrouwelijke informatie of persoonsgegevens worden passende contractuele afspraken gemaakt over informatiebeveiliging en vertrouwelijkheid.
2. Voor subverwerkers die persoonsgegevens verwerken gelden tevens de verplichtingen uit de Verwerkersovereenkomst.
3. FlyID blijft verantwoordelijk voor de naleving van haar contractuele verplichtingen, behoudens voor zover de wet of de overeenkomst anders bepaalt.
Artikel 37 – Incidentresponsproces
1. FlyID beschikt over een gedocumenteerd proces voor het registreren, beoordelen, beheersen en afhandelen van beveiligingsincidenten.
2. Het incidentresponsproces omvat, voor zover passend: a. detectie; b. registratie; c. classificatie; d. prioritering; e. containment; f. onderzoek; g. herstel; h. evaluatie en verbetering.
3. Incidenten worden behandeld overeenkomstig hun aard, ernst en mogelijke impact op de dienstverlening.
Artikel 38 – Datalekken
1. Indien een beveiligingsincident tevens kwalificeert als een inbreuk in verband met persoonsgegevens, handelt FlyID overeenkomstig de Verwerkersovereenkomst en de toepasselijke wetgeving.
2. FlyID informeert Klant zonder onredelijke vertraging nadat zij kennis heeft genomen van een datalek waarbij persoonsgegevens van Klant zijn betrokken, overeenkomstig de afspraken in de Verwerkersovereenkomst.
3. FlyID verstrekt voor zover beschikbaar de informatie die redelijkerwijs noodzakelijk is voor Klant om aan diens wettelijke verplichtingen te voldoen.
Artikel 39 – Evaluatie
1. Na afhandeling van een ernstig beveiligingsincident kan FlyID een evaluatie uitvoeren.
2. De evaluatie kan leiden tot: a. aanvullende beveiligingsmaatregelen; b. procesverbeteringen; c. technische aanpassingen; d. aanvullende trainingen of bewustwordingsmaatregelen.
Artikel 40 – Back-upbeleid
1. FlyID maakt periodiek back-ups van gegevens en systemen voor zover dit noodzakelijk is voor de continuïteit van de dienstverlening.
2. De frequentie, retentie en wijze van opslag van back-ups worden afgestemd op: a. de aard van de dienstverlening; b. de bedrijfscontinuïteit; c. contractuele verplichtingen; d. wettelijke bewaarplichten.
3. Back-ups worden passend beveiligd tegen verlies, ongeautoriseerde toegang en wijziging.
Artikel 41 – Herstelprocedures
1. FlyID beschikt over procedures voor het herstellen van gegevens en systemen na een verstoring.
2. Herstelprocedures worden periodiek beoordeeld en, waar passend, getest.
3. De overeengekomen hersteldoelstellingen (RTO en RPO) zijn opgenomen in de Service Level Agreement, voor zover van toepassing.
Artikel 42 – Business Continuity
1. FlyID onderhoudt passende maatregelen ter waarborging van de continuïteit van de dienstverlening.
2. Continuïteitsmaatregelen kunnen onder meer betrekking hebben op: a. redundante infrastructuur; b. beschikbaarheid van kritieke systemen; c. noodprocedures; d. alternatieve communicatiemiddelen; e. herstelplanning.
Artikel 43 – Disaster Recovery
1. FlyID beschikt over procedures voor herstel na ernstige verstoringen van de dienstverlening.
2. Disaster Recovery-plannen worden periodiek geëvalueerd en waar passend getest.
3. Bevindingen uit tests kunnen aanleiding geven tot aanpassing van procedures of technische maatregelen.
Artikel 44 – Beveiliging van locaties
1. Voor zover FlyID gebruikmaakt van eigen bedrijfsruimten waarin bedrijfskritische systemen of vertrouwelijke informatie aanwezig zijn, worden passende fysieke beveiligingsmaatregelen getroffen.
2. Deze maatregelen kunnen onder meer bestaan uit: a. toegangscontrole; b. bezoekersregistratie; c. cameratoezicht, voor zover rechtmatig; d. afsluitbare ruimten; e. branddetectie- en blusvoorzieningen.
Artikel 45 – Datacenters
1. Voor gehoste infrastructuur maakt FlyID gebruik van datacenters of cloudleveranciers die passende fysieke beveiligingsmaatregelen toepassen.
2. FlyID beoordeelt deze maatregelen op basis van beschikbare documentatie, assurance-rapportages of certificeringen, voor zover passend.
Artikel 46 – Interne evaluaties
1. FlyID evalueert periodiek de effectiviteit van haar informatiebeveiligingsmaatregelen.
2. Evaluaties kunnen bestaan uit: a. interne controles; b. risicoanalyses; c. managementreviews; d. technische beveiligingsonderzoeken.
Artikel 47 – Externe audits
1. Indien FlyID beschikt over relevante assurance-rapportages of certificeringen, kan zij deze, voor zover contractueel toegestaan en onder passende vertrouwelijkheidsvoorwaarden, beschikbaar stellen aan Klant.
2. Klantaudits vinden uitsluitend plaats overeenkomstig de afspraken in de SaaS-overeenkomst of de Verwerkersovereenkomst.
3. FlyID is niet verplicht informatie te verstrekken waarvan openbaarmaking de beveiliging van haar systemen of die van andere klanten onevenredig zou schaden.
Artikel 48 – Actualisering van deze Security Annex
1. FlyID kan deze Security Annex wijzigen indien dit noodzakelijk is vanwege: a. technologische ontwikkelingen; b. gewijzigde dreigingen; c. wijzigingen in wet- en regelgeving; d. verbeteringen van de dienstverlening; e. wijzigingen in de beveiligingsarchitectuur.
2. Wijzigingen die de beveiliging niet wezenlijk verminderen kunnen door FlyID eenzijdig worden doorgevoerd.
3. Indien een wijziging een materiële invloed heeft op de overeengekomen beveiligingsmaatregelen, informeert FlyID Klant hierover vooraf, tenzij onmiddellijke implementatie noodzakelijk is om beveiligingsredenen of op grond van een wettelijke verplichting.
Artikel 49 – Samenhang met overige contractdocumenten
1. Deze Security Annex vormt een integraal onderdeel van de SaaS-overeenkomst, de Verwerkersovereenkomst en de Service Level Agreement.
2. Bij strijdigheid tussen deze Security Annex en de Verwerkersovereenkomst prevaleren voor zover het de verwerking van persoonsgegevens betreft de bepalingen van de Verwerkersovereenkomst.
3. Voor overige onderwerpen geldt de in de SaaS-overeenkomst opgenomen rangorde van contractdocumenten.
Artikel 50 – Inwerkingtreding
1. Deze Security Annex treedt in werking op dezelfde datum als de SaaS-overeenkomst, tenzij Partijen schriftelijk anders overeenkomen.
2. De Security Annex blijft van kracht zolang de onderliggende overeenkomst van kracht is of zolang FlyID persoonsgegevens of andere gegevens van Klant verwerkt of beheert.
| Onderwerp | Maatregel |
|---|---|
| Governance | Informatiebeveiligingsbeleid, risicobeoordelingen en periodieke evaluaties |
| Organisatie | Geheimhouding, functiescheiding, awareness en interne procedures |
| Toegang | Least privilege, MFA voor beheerders, periodieke autorisatiebeoordelingen |
| Netwerk | Firewalls, netwerksegmentatie, beveiligde beheerverbindingen |
| Data | Encryptie tijdens transport, risicogebaseerde encryptie van opslag |
| Monitoring | Logging, detectie van beveiligingsincidenten en monitoring van kritieke systemen |
| Kwetsbaarheden | Kwetsbaarhedenscans, patchmanagement en responsible disclosure |
| Softwareontwikkeling | Secure Development Lifecycle, code reviews en wijzigingsbeheer |
| Leveranciers | Risicobeoordeling, contractuele beveiligingseisen en toezicht op subverwerkers |
| Incidenten | Incidentresponsproces, datalekprocedures en evaluatie na incidenten |
| Continuïteit | Back-ups, herstelprocedures, Business Continuity en Disaster Recovery |
| Fysieke beveiliging | Toegangscontrole en beveiligde datacenterfaciliteiten |
| Assurance | Interne evaluaties, externe audits en assurance-rapportages waar beschikbaar |