Home / Beveiliging en gegevensbescherming
Beveiliging en gegevensbescherming
Uw compliancedocumentatie beschrijft waar uw bedrijf kwetsbaar is. Hier ziet u hoe Complass deze gegevens beschermt, wie wat mag doen en hoe u zelf de controle houdt.
Inhoud
- Aanmelden en toegang
- Geen inzage door beheerders zonder uw toestemming
- Versleuteling
- Versleutelde backups
- Hosting en bedrijfsvoering
- Applicatiebeveiliging
- Alle wijzigingen traceerbaar
- Gegevensbescherming en controle
- Kwetsbaarheidsgegevens zonder dat gegevens het portaal verlaten
- Transparantie
- Wat wij bewust niet doen
- Technische details
Vijf lagen tussen internet en uw gegevens
- 1
Versleutelde verbinding en beveiligingsheaders
Het portaal is alleen bereikbaar via HTTPS en browsers onthouden dit een jaar (HSTS). Een strikt content security policy staat alleen scripts, stijlen en lettertypen van onze eigen server toe, en het portaal kan niet in andere websites worden ingebed.
- 2
Aanmelden met wachtwoord en MFA
Iedereen meldt zich aan met een wachtwoord en een code uit de authenticator-app. MFA is verplicht voor alle gebruikers, ook voor onze eigen beheerders.
- 3
Rollen en gedetailleerde rechten
Beheerder, bewerker of alleen lezen, optioneel beperkt tot afzonderlijke projecten met “lezen” of “bewerken”. Daarnaast stellen uw beheerders per persoon en gebied (normenkader, module, menu-item) geen toegang, lezen of schrijven in, plus speciale rechten zoals exporteren, verwijderen of goedkeuren. Wijzigingen gaan onmiddellijk in en worden gelogd.
- 4
Strikte scheiding van klanten
Bij elke toegang controleert de server of het project bij uw bedrijf hoort. Projecten van andere bedrijven bestaan vanuit het perspectief van het portaal simpelweg niet: het antwoord is “niet gevonden”.
- 5
Versleutelde bewijsbestanden
Geüpload bewijs wordt versleuteld met een aparte sleutel per klant en opgeslagen buiten de openbaar toegankelijke map. Alleen personen die het project mogen zien, kunnen het downloaden.
Onze maatregelen in detail
Aanmelden en toegang
De server beslist bij elk verzoek wie binnen mag en wat diegene mag doen.
- Verplichte MFA
- Passkeys
- Aanmelden met bedrijfsaccount (SSO)
- Wachtwoorden met Argon2id
- Oplopende accountblokkade
- Rate Limiting en IP-blokkade
- Melding bij een nieuw apparaat
- Sessietime-out
- Opnieuw bevestigen vóór gevoelige acties
- Rollen en gedetailleerde rechten
- Rolprofielen
- Vierogenprincipe
- Scheiding van opdrachtgevers
- Leverancierstoegang
Alle maatregelen in dit gebied tonen (14)
Verplichte MFA
Wachtwoord en code uit de authenticator-app – of een passkey, die beide factoren dekt – voor iedereen, ook voor onze beheerders.
Passkeys
Aanmelden met vingerafdruk, Face ID, Windows Hello of een beveiligingssleutel. Een passkey dekt beide factoren; wachtwoord en authenticator-app blijven beschikbaar als terugvaloptie.
Aanmelden met bedrijfsaccount (SSO)
Aanmelden via uw identiteitsprovider (OpenID Connect met PKCE), bijv. Microsoft Entra ID, Google Workspace, Okta of Keycloak. Uw beheerders kunnen SSO voor uw bedrijf verplicht stellen.
Wachtwoorden met Argon2id
Minimaal 12 tekens, uitsluitend opgeslagen als Argon2id-hash.
Oplopende accountblokkade
Geblokkeerd na herhaalde mislukte pogingen, bij verdere pogingen langer: 15 minuten, 1 uur, 24 uur.
Rate Limiting en IP-blokkade
Aanmeldpogingen per IP-adres zijn beperkt; bij aanvalspatronen wordt het adres geblokkeerd en wordt de bedrijfsvoering gealarmeerd.
Melding bij een nieuw apparaat
Meldt iemand zich aan vanaf een nieuw apparaat, dan ontvangt de betrokkene een e-mail.
Sessietime-out
Afmelding na 30 minuten inactiviteit, uiterlijk na 10 uur (standaard; per bedrijf 10–60 minuten resp. 4–12 uur).
Opnieuw bevestigen vóór gevoelige acties
Voor bijzonder gevoelige acties vraagt Complass een nieuwe bevestiging met app-code of passkey (“step-up”), ook binnen een lopende sessie.
Rollen en gedetailleerde rechten
Geen toegang, lezen of schrijven per persoon en gebied, plus speciale rechten, optioneel in de tijd beperkt.
Rolprofielen
Voorgedefinieerde rolprofielen zoals “Externe auditor” kunnen worden overgenomen en door uw beheerders aan uw bedrijf worden aangepast.
Vierogenprincipe
Voor risicoacceptaties en documentgoedkeuringen kunnen uw beheerders een vierogenprincipe instellen. Ingrepen van Complass in uw gegevens (bijv. wachtwoord en MFA resetten, e-mailadres wijzigen, een project definitief verwijderen) vinden bij ons altijd pas plaats na goedkeuring door een tweede persoon.
Scheiding van opdrachtgevers
Elke query is beperkt tot uw bedrijf; andere objecten zijn “niet gevonden”.
Leverancierstoegang
Leveranciers zien alleen de aan hen toegewezen vragenlijsten en bewijs; de scheiding wordt automatisch getest.
Wie mag wat?
Rollen bepalen wat iemand in principe mag. Daarnaast kunt u bewerkers en lezers beperken tot afzonderlijke projecten en per project “lezen” of “bewerken” instellen, nooit meer dan de rol toestaat.
Tabel met rollen en rechten tonen
| Rol | Projecten bekijken | Inhoud bewerken | Documenten goedkeuren | Projecten aanmaken | Team beheren | Exporteren | Projecten verwijderen |
|---|---|---|---|---|---|---|---|
| Beheerder | alle | ja | ja | ja | ja | ja | ja1 |
| Bewerker | alle of geselecteerde | ja2 | nee | ja3 | nee | ja | nee |
| Alleen lezen | alle of geselecteerde | nee | nee | nee | nee | ja | nee |
| Auditor“alleen lezen” met vervaldatum | geselecteerde, tot de vervaldatum | nee | nee | nee | nee | ja | nee |
| Complass-adviseuralleen met uw toestemming | alle, zolang goedgekeurd | ja | nee | nee | nee | ja | nee |
- Naar de prullenbak, herstelbaar gedurende 30 dagen; pas nadat de projectnaam is ingetypt.
- In alle projecten of alleen in die met de instelling “bewerken”.
- Alleen met toegang tot alle projecten.
Bewerken vereist een geldige licentie; nadat de licentie is afgelopen, blijven bekijken en exporteren mogelijk. De laatste beheerder van een bedrijf kan niet worden teruggezet, zodat uw team nooit zonder beheerder komt te zitten.
De tabel toont de standaardwaarden per rol. Onder “Rechten” passen uw beheerders de rechten per persoon gedetailleerd aan: per gebied (elk normenkader, elke module, elk menu-item) geen toegang, lezen of schrijven, plus speciale rechten zoals exporteren (ook per gebied), verwijderen, documenten goedkeuren, meldingsfasen indienen, assets importeren, personen uitnodigen en rechten beheren, optioneel in de tijd beperkt en via rolprofielen. De strengste regel geldt altijd; alleen-lezen schrijft nooit. Menu-items zonder recht worden verborgen en de server weigert directe verzoeken. Afzonderlijke personen kunnen ook voor precies één object (bijv. een taak of een document) worden uitgenodigd om te becommentariëren of mee te bewerken, zonder verdere rechten te krijgen. De gefilterde rechtenmatrix exporteert u als bewijs (Excel, CSV, pdf).
Geen inzage door beheerders zonder uw toestemming
In de gebruikersinterface zien Complass-beheerders alleen administratieve gegevens zoals bedrijf, geboekte modules en aantal gebruikers. Inzage in uw inhoud is alleen mogelijk met uw uitdrukkelijke, in de tijd beperkte toestemming.
- Assets, incidenten, kwetsbaarheden, taken
- Projecten alleen met toestemming voor adviseurs
- Noodtoegang alleen met uw toestemming
- Supportbijlagen alleen na goedkeuring
- Supportsessie alleen met toestemming
- Zichtbaar en op elk moment te beëindigen
- Gescheiden rollen bij Complass
Alle maatregelen in dit gebied tonen (7)
Assets, incidenten, kwetsbaarheden, taken
Niet toegankelijk voor Complass-beheerders in de gebruikersinterface.
Projecten alleen met toestemming voor adviseurs
Projecten, documenten en bewijsstukken zien onze adviseurs alleen wanneer uw beheerder adviseurstoegang geeft. Elke sessie waarin een adviseur een project opent, staat met het type toegang in uw logboek.
Noodtoegang alleen met uw toestemming
Alleen als u die vooraf hebt toegestaan, met motivering en goedkeuring door een tweede persoon, maximaal 60 minuten, alleen-lezen, in het logboek en met onmiddellijke e-mail aan uw beheerders.
Supportbijlagen alleen na goedkeuring
Bijlagen bij supporttickets zien wij pas nadat uw beheerder het ticket heeft goedgekeurd.
Supportsessie alleen met toestemming
De betrokkene keurt de sessie goed, beperkt tot 30, 60 of 120 minuten, standaard alleen-lezen en zonder bestanden of export. Schrijftoegang vereist daarnaast de instemming van uw beheerder.
Zichtbaar en op elk moment te beëindigen
Een banner toont “supportsessie actief” en u kunt de sessie op elk moment beëindigen. Elke paginaweergave wordt gelogd, en Complass heeft voor de sessie bovendien MFA nodig.
Gescheiden rollen bij Complass
Rollen zijn intern gescheiden, bijv. engineering, sales en finance: medewerkers zien alleen wat zij voor hun taak nodig hebben.
Versleuteling
Data in Transit en Data at Rest.
- Data in Transit
- Bewijsbestanden per klant
- MFA-secrets en -codes
Alle maatregelen in dit gebied tonen (3)
Data in Transit
Uitsluitend HTTPS, HSTS gedurende een jaar inclusief subdomeinen.
Bewijsbestanden per klant
Versleuteld met een aparte sleutel per klant (XChaCha20-Poly1305), buiten de openbare map.
MFA-secrets en -codes
MFA-secrets versleuteld, uitnodigingslinks en herstelcodes uitsluitend opgeslagen als HMAC.
Versleutelde backups
Een backup is zo goed als de bescherming ervan. Daarom kan zelfs iemand met toegang tot de server de databasebackups niet lezen.
- Dagelijks
- Versleuteld met een openbare sleutel
- Privésleutel niet op de server
- Bewijsbestanden blijven versleuteld
- Manipulatie wordt gedetecteerd
- Tot 60 dagen en gericht herstel
- Kopie buiten de server
Alle maatregelen in dit gebied tonen (7)
Dagelijks
Dagelijkse backup van de database en alle bewijsbestanden.
Versleuteld met een openbare sleutel
De databasebackup wordt met libsodium (XChaCha20-Poly1305) versleuteld voor een openbare sleutel.
Privésleutel niet op de server
Wij bewaren de privésleutel voor ontsleuteling uitsluitend offline.
Bewijsbestanden blijven versleuteld
Bewijsbestanden worden in versleutelde vorm gebackupt (sleutel per klant).
Manipulatie wordt gedetecteerd
Gewijzigde of beschadigde backups worden bij herstel gedetecteerd en niet toegepast.
Tot 60 dagen en gericht herstel
Op de server blijven de laatste 30 dagelijkse backups; buiten de server zijn er bovendien dagelijkse standen die vanaf de server niet kunnen worden verwijderd, en een maandelijkse offline kopie. Elke backup wordt uiterlijk na 60 dagen verwijderd of overschreven; afzonderlijke projecten kunnen selectief als kopie worden hersteld.
Kopie buiten de server
Een versleutelde kopie van elke backup staat daarnaast buiten de server in een datacenter in Duitsland.
Hosting en bedrijfsvoering
Waar Complass draait en hoe wij de bedrijfsvoering in de gaten houden.
- Gehost in Duitsland
- Monitoring
- Dagelijks bedrijfsrapport
- Beschikbaarheid van buitenaf controleerbaar
- Alleen het toegangspunt is openbaar
Alle maatregelen in dit gebied tonen (5)
Gehost in Duitsland
Bij Hetzner Online GmbH in datacenters in Duitsland, met een verwerkersovereenkomst.
Monitoring
Backups, cronjobs, opslag, kwetsbaarheidsgegevens, e-mailbezorging, serverfouten en responstijden worden continu gecontroleerd; Complass wordt automatisch gealarmeerd als er iets afwijkt.
Dagelijks bedrijfsrapport
Complass ontvangt dagelijks een rapport over de staat van de bedrijfsvoering, zonder klantinhoud.
Beschikbaarheid van buitenaf controleerbaar
Een statusadres zonder klantgegevens maakt monitoring van de beschikbaarheid van buitenaf mogelijk; externe monitoring wordt ingericht.
Alleen het toegangspunt is openbaar
Database, bewijs, backups en programmacode zijn afgeschermd van het web.
Applicatiebeveiliging
Bescherming tegen typische aanvallen op webapplicaties.
- Content security policy
- Beveiligingsheaders en CSRF-bescherming
- Uploadcontroles
- Veilige XML-verwerking
- Netwerkopnames uitsluitend in de browser
- Automatische beveiligingsscans
- OWASP ASVS 5.0
Alle maatregelen in dit gebied tonen (7)
Content security policy
Alleen scripts, stijlen en lettertypen van onze eigen server, geen inline scripts, geen inbedding in andere sites.
Beveiligingsheaders en CSRF-bescherming
Beveiligingsheaders bij elk antwoord, CSRF-token voor elke wijziging.
Uploadcontroles
Geüploade bestanden worden gecontroleerd op extensie en werkelijke inhoud; alleen toegestane typen.
Veilige XML-verwerking
XML-imports (bijv. Nmap, scanners, Excel) zonder het laden van externe bronnen en zonder het oplossen van externe entiteiten.
Netwerkopnames uitsluitend in de browser
PCAP-bestanden worden in de browser geanalyseerd en niet geüpload.
Automatische beveiligingsscans
Bij elke wijziging in de code: statische code-analyse, een zoekopdracht naar per ongeluk opgeslagen secrets, controle van alle externe componenten op bekende kwetsbaarheden, een softwarestuklijst (SBOM) en een dynamische scan van de draaiende toepassing.
OWASP ASVS 5.0
OWASP ASVS 5.0: niveau 1 98 % · niveau 2 93 % · niveau 3 85 % (zelfbeoordeling, stand 21.10.2026). Eén gemotiveerde uitzondering, openlijk vermeld.
Alle wijzigingen traceerbaar
Voor uw auditbewijs: wie heeft wat en wanneer gewijzigd.
- Wijzigingsgeschiedenis per object
- Versies met goedkeuring
- Opmerkingengeschiedenis
- Auditexport
- Auditlogboek klant
- Logboek met manipulatiedetectie
Alle maatregelen in dit gebied tonen (6)
Wijzigingsgeschiedenis per object
Wie, wanneer, oude en nieuwe waarde, bijv. bij catalogusitems, taken en fasen.
Versies met goedkeuring
Eerdere versies van documenten met goedkeuring (naam, datum) en versies van bewijsbestanden blijven beschikbaar.
Opmerkingengeschiedenis
Bewerkte opmerkingen behouden hun eerdere versies; ingetrokken en verborgen opmerkingen blijven bewaard.
Auditexport
Een versleuteld pakket voor interne en externe audits: projecten, documenten, bewijsstukken, registers en logboek, alleen binnen de leesrechten van de persoon die het aanvraagt. Die ontvangt de downloadlink per e-mail. Een manifest met controlesommen toont aan dat het pakket ongewijzigd is; u controleert dit in het portaal.
Auditlogboek klant
Aanmeldingen, exports, rechtenwijzigingen, verwijderingen en andere belangrijke handelingen, filterbaar en exporteerbaar voor uw beheerders.
Logboek met manipulatiedetectie
Elke vermelding in uw klantlogboek en de beveiligingsgebeurtenissen is via een hashketen (HMAC-SHA-256) gekoppeld aan de vorige; wijzigingen of verwijderingen worden bij de controle zichtbaar. De controlestatus (laatst gecontroleerd, controlewaarde) ziet u in het klantlogboek en in de export.
Gegevensbescherming en controle
Uw gegevens zijn van u.
- Geen advertentietrackers
- Bewaartermijnen
- Op elk moment exporteren, geen lock-in
- Overstappen naar een andere aanbieder zonder kosten
- Leestoegang na afloop van het contract
- Gegevens verwijderen op verzoek
Alle maatregelen in dit gebied tonen (6)
Geen advertentietrackers
In het klantgedeelte geen tracking- of analysetools en geen externe lettertypen of scripts; op de openbare website bezoekersstatistieken zonder cookies (Plausible, EU); alleen strikt noodzakelijke cookies: de sessie en, als u een taal kiest, uw taal.
Bewaartermijnen
IP-adressen in het logboek worden na 90 dagen ingekort, logboekvermeldingen na 24 maanden verwijderd, aanvragen van prospects na 12 maanden.
Op elk moment exporteren, geen lock-in
Documenten, tabellen, rapporten en het compliancepakket met alle bewijsbestanden zijn op elk moment te exporteren.
Overstappen naar een andere aanbieder zonder kosten
Overstappen naar een andere aanbieder of naar uw eigen systeem met vaste termijnen en export van de gegevens van uw bedrijf in open formaten. De pagina ‘Overstappen en gegevensexport’ beschrijft de procedure en de formaten.
Leestoegang na afloop van het contract
Na afloop van het contract blijft uw inhoud leesbaar en exporteerbaar; alleen bewerken wordt geblokkeerd.
Gegevens verwijderen op verzoek
In het portaal: eerst exporteren, daarna bevestiging met wachtwoord, MFA, bedrijfsnaam en e-mailadres, wachttijd van 7 dagen, verwijderingsbevestiging als pdf.
Kwetsbaarheidsgegevens zonder dat gegevens het portaal verlaten
Het vergelijken met openbare kwetsbaarheidsgegevens vindt plaats op onze server.
- Kopie van openbare bronnen
- Geen klantgegevens verzonden
Alle maatregelen in dit gebied tonen (2)
Kopie van openbare bronnen
NVD, CISA KEV, EPSS en ENISA EUVD worden naar de server gedownload.
Geen klantgegevens verzonden
Informatie uit uw assetinventaris wordt voor het vergelijken niet naar externe diensten verzonden.
Transparantie
Wat wij gebruiken, hoe wij Complass verder ontwikkelen en hoe u beveiligingskwetsbaarheden bij ons kunt melden.
- Subverwerkers
- Support via uw beheerder
- Versiegeschiedenis
- Een kwetsbaarheid melden
- Inhoud met AI-ondersteuning
Alle maatregelen in dit gebied tonen (5)
Subverwerkers
Voor de inhoud die u in het portaal vastlegt, gebruiken wij Hetzner Online GmbH (hosting). Met de extra module “Alarmering per sms en telefoon” komt sms77 io GmbH (seven.io) erbij voor telefoonnummer en alarmtekst.
Support via uw beheerder
Fouten, verzoeken en vragen bereiken ons gebundeld via uw beheerder. U ziet status en antwoorden in het ticket, tot en met “opgelost in versie …”. U ziet nooit de tickets van andere klanten, en omgekeerd.
Versiegeschiedenis
Wat er verandert, staat per versie onder “Wat is er nieuw”.
Een kwetsbaarheid melden
Stuur meldingen van beveiligingskwetsbaarheden naar security@complass.de; contact ook via /.well-known/security.txt.
Inhoud met AI-ondersteuning
Inhoud wordt met ondersteuning van AI gemaakt en door onze experts getoetst aan de oorspronkelijke teksten.
Wat gebeurt er als …?
Beveiliging blijkt in alledaagse situaties. Deze gevallen doen zich in elk bedrijf voor, en zo gaat Complass ermee om.
… een wachtwoord in verkeerde handen valt?
Zonder de code uit de authenticator-app komt niemand binnen. Na 5 onjuiste wachtwoorden wordt aanmelden met wachtwoord vanuit dat netwerk geblokkeerd, na 5 onjuiste codes het hele account, eerst voor 15 minuten, en langer bij een nieuwe blokkade binnen 24 uur. Zo kan niemand die alleen uw e-mailadres kent u buitensluiten. De betreffende persoon en uw beheerders ontvangen bij een blokkade een e-mail. Meldt iemand zich aan vanaf een nieuw apparaat, dan wordt de persoon ook per e-mail geïnformeerd. Mislukte aanmeldingen verschijnen in uw logboek.
… iemand het bedrijf verlaat?
Uw beheerder deactiveert het account onder “Team en toegang”. Alle open sessies van deze persoon eindigen onmiddellijk en aanmelden is niet meer mogelijk. De plek in uw gebruikersquotum komt weer vrij.
… iemand de browser open laat staan?
Na 30 minuten zonder invoer meldt het portaal automatisch af; uiterlijk na 10 uur is een nieuwe aanmelding met MFA vereist. Beheerders van een bedrijf kunnen hiervoor 10 tot 60 minuten en 4 tot 12 uur kiezen. Iedereen ziet de eigen actieve sessies en kan andere apparaten afmelden.
… de telefoon met de app kwijtraakt?
Gebruik uw herstelsleutel om één keer aan te melden en stel meteen een nieuwe app in. Zonder sleutel reset uw beheerder op verzoek de MFA; uw wachtwoord blijft behouden en eerdere sessies verlopen.
Meer gevallen tonen (5)
… een auditor inzage nodig heeft?
Maak een account aan met de rol “Alleen lezen”, beperkt tot het betreffende project en met een vervaldatum. Na die datum is aanmelden niet meer mogelijk, zonder dat iemand eraan hoeft te denken.
… Complass u moet ondersteunen?
Onze adviseurs zien uw projecten pas wanneer uw beheerder adviseurstoegang geeft, telkens voor maximaal 90 dagen. Elke sessie waarin een adviseur een project opent, staat in uw logboek, en de toestemming kunt u met één klik intrekken. Een noodtoegang is er alleen als uw bedrijf die vooraf heeft toegestaan: met opnieuw aanmelden, goedkeuring door een tweede persoon uit ons team, maximaal 60 minuten en alleen-lezen; uw beheerders worden onmiddellijk per e-mail geïnformeerd. Reset ons team de toegang van een persoon (wachtwoord en MFA-aanmelding), wijzigt het het e-mailadres of verwijdert het een project definitief, dan gebeurt dat alleen na goedkeuring door een tweede persoon uit ons team, en uw beheerders ontvangen daarover een e-mail. De link voor het opnieuw instellen ontvangt de persoon zelf per e-mail; ons team ziet die nooit. Dat geldt ook voor specialisten die Complass voor afzonderlijke opdrachten inschakelt: zij werken in opdracht van Complass en uitsluitend via de adviseurstoegang die u hebt gegeven.
… Complass uw weergave moet zien om te helpen?
U houdt de controle over supporttoegang: onze support ziet uw weergave alleen met uw toestemming, die u zelf geeft in het ticket of onder “Mijn account”. Deze is beperkt in tijd (30 minuten tot 2 uur), standaard alleen-lezen, zonder bestanden en zonder export, en kan op elk moment met één klik worden beëindigd. Uw accountpagina, wachtwoord en MFA, team, rechten en abonnement blijven vergrendeld. Het begin wordt aan u en uw beheerders gemeld, en elke paginaweergave staat in uw logboek. Goedkeuringen, releases, acceptaties, risicoacceptaties en leesbevestigingen kan de support ook met schrijftoegang niet geven; wat de support aanmaakt of wijzigt, is in de geschiedenis gemarkeerd met “in support aangemaakt door …”.
… een project per ongeluk wordt verwijderd?
Alleen beheerders (of personen aan wie uw beheerders het recht “Verwijderen” geven) mogen verwijderen, en alleen na invoer van de projectnaam en bevestiging met de actuele app-code of een passkey. Het project blijft daarna 30 dagen in de prullenbak en kan met één klik worden hersteld. Eerdere versies van documenten en checklists blijven bewaard en daarnaast is er een dagelijkse backup.
… de licentie afloopt?
Uw projecten blijven leesbaar en exporteerbaar; alleen bewerken wordt geblokkeerd. Het compliancepakket als zip-bestand bevat documenten, tabellen, rapporten en alle bewijsbestanden met controlesommen.
Wat wij bewust niet doen
- Geen advertentietrackers, geen analyse in het klantgedeelte
- Geen verkoop of doorgifte van uw gegevens
- Geen training van AI met uw gegevens
- Geen remote-controltools van derden
Details over de verwerking van persoonsgegevens vindt u in het privacybeleid.
Technische details voor uw IT
Voor IT-management en informatiebeveiligingsfunctionarissen: de maatregelen in detail.
Aanmelden en wachtwoorden
- Wachtwoorden van minimaal 12 tekens; afgewezen worden onder meer wachtwoorden die het e-mailadres, de eigen naam of de bedrijfsnaam bevatten, te eenvoudig zijn opgebouwd, tot de meest gebruikte wachtwoorden behoren of in bekende datalekken zijn opgedoken.
- Voor de controle op datalekken verlaten alleen de eerste 5 tekens van een hashwaarde van het wachtwoord de server (k-anonimiteit); het wachtwoord zelf wordt nooit verzonden.
- Uniforme foutmelding en gelijkgetrokken responstijd, zodat niet kan worden vastgesteld of een e-mailadres is geregistreerd.
- Gefaseerde blokkade na 5 mislukte pogingen (15 min, 1 u, 1 dag; de teller vervalt na 24 uur zonder mislukte poging): onjuiste wachtwoorden blokkeren alleen aanmelden met wachtwoord vanuit het netwerk waarvan ze komen, onjuiste codes het hele account. Daarnaast geldt Rate Limiting van 30 aanmeldpogingen per IP-adres binnen 15 minuten, ook voor passkeys.
- Toegang ontstaat alleen via uitnodigingslinks: 72 uur geldig, eenmalig te gebruiken, ook bij gelijktijdige aanroepen.
- Uitgaande verbindingen (Egress), bijvoorbeeld naar de aanbieder van aanmelden met bedrijfsaccount of naar beveiligingsadviezen van fabrikanten, gaan alleen via https naar openbare adressen; omleidingen worden afzonderlijk gecontroleerd. Interne netwerken van het datacenter zijn zo niet bereikbaar.
Bescherming tegen aanvallen op de aanmelding
- Gefaseerde blokkade: na 5 onjuiste wachtwoorden is aanmelden met wachtwoord vanuit dat netwerk 15 minuten geblokkeerd, na 5 onjuiste codes het hele account; bij een nieuwe blokkade binnen 24 uur wordt deze stapsgewijs verlengd (15 min, 1 u, 1 dag). Een geslaagde aanmelding zet de teller terug. Ook in een open sessie tellen onjuiste wachtwoorden en codes mee; na 5 mislukte pogingen eindigt de sessie.
- Rate Limiting per verbinding: maximaal 30 aanmeldpogingen per IP-adres binnen 15 minuten; na herhaalde mislukte pogingen reageert de aanmelding met vertraging (tot 2 seconden). Veel mislukte pogingen vanaf veel verschillende adressen van één verbinding blokkeren deze tijdelijk voor aanmelden.
- Dezelfde melding en dezelfde responstijd voor een onbekend adres, een onjuist wachtwoord en een geblokkeerd account: van buitenaf kan niet worden vastgesteld of een account bestaat of geblokkeerd is.
- Melding: bij een blokkering ontvangen de persoon en de beheerders van uw bedrijf een e-mail; beheerders kunnen de blokkering opheffen. Bij een aanmelding vanaf een tot nu toe onbekend apparaat ontvangt de persoon een e-mail (uit te schakelen onder “Mijn account”). Een bekend apparaat wordt herkend aan een ondertekende apparaatcookie, ook als het IP-adres verandert, anders grofweg aan browser, besturingssysteem en netwerkbereik, zonder locatiediensten.
- Alarmering van de bedrijfsvoering: mislukte pogingen, blokkades, IP-blokkades en verzoeken aan typische aanvalsdoelen worden vastgelegd als beveiligingsgebeurtenissen. Bij opeenhopingen, geblokkeerde verbindingen en gebeurtenissen op de accounts van onze beheerders wordt ons operationele team onmiddellijk per e-mail gealarmeerd; het ontvangt ook een dagelijks rapport.
- Uw beheerders zien de beveiligingsgebeurtenissen op de accounts van uw bedrijf (mislukte aanmeldingen, blokkades, nieuwe apparaten) met filters en export.
MFA-aanmelding
- TOTP volgens RFC 6238 (6 cijfers, 30 seconden), compatibel met gangbare authenticator-apps. Elke code is slechts één keer geldig (replay-bescherming).
- De QR-code voor de installatie wordt in de browser gegenereerd; het secret wordt niet naar een externe dienst verzonden.
- Eén herstelsleutel (28 tekens), eenmalig te gebruiken, daarna verplicht de app opnieuw instellen; op elk moment opnieuw te genereren.
- Zonder MFA is er geen toegang; de installatie wordt bij de eerste aanmelding afgedwongen.
Sessies en bescherming tegen aanvallen
- Sessiecookie met __Host--prefix, Secure, HttpOnly en SameSite=Strict; nieuw sessie-ID na elke aanmeldfase.
- Afmelding na 30 minuten inactiviteit, uiterlijk na 10 uur (standaard; per bedrijf 10–60 minuten resp. 4–12 uur).
- Wanneer het wachtwoord of het MFA-apparaat wordt gewijzigd, eindigen alle andere sessies van de persoon; bij deactivering alle sessies.
- CSRF-token voor elke wijziging.
- Content security policy zonder inline scripts en zonder externe bronnen (default-src 'self', frame-ancestors 'none', object-src 'none'), plus X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy en Cache-Control: no-store.
Versleuteling
- Data in Transit: uitsluitend HTTPS, HSTS gedurende een jaar inclusief subdomeinen.
- Bewijsbestanden: libsodium secretstream (XChaCha20-Poly1305) in blokken van 64 KiB, sleutel per klant afgeleid van de hoofdsleutel via KDF. Opgeslagen onder willekeurige namen buiten de web root (mappen 0700, bestanden 0600).
- MFA-secrets: versleuteld met libsodium secretbox (XSalsa20-Poly1305).
- Wachtwoorden: uitsluitend opgeslagen als Argon2id-hash; oudere hashes worden bij de eerstvolgende aanmelding automatisch vernieuwd. Uitnodigingslinks en herstelsleutels: uitsluitend opgeslagen als HMAC-SHA-256.
- Backup van bewijsbestanden: bevat de bestanden in versleutelde vorm.
- Databasebackup: hybride versleuteling (libsodium: bestandssleutel per backup, inhoud met XChaCha20-Poly1305, bestandssleutel verzegeld met de openbare backupsleutel). De privésleutel wordt niet op de server opgeslagen.
Bewijsbestanden
- Alleen bepaalde bestandstypen zijn toegestaan; zowel de extensie als de werkelijke inhoud worden gecontroleerd.
- Opvragen alleen met toegang tot het project of de taak: als download of, bij pdf, afbeeldingen en tekstbestanden, als weergave in de browser. Beide altijd in een afgeschermde omgeving (sandbox) zonder scripts.
- Dezelfde bestandsnaam maakt een nieuwe versie aan; eerdere versies blijven beschikbaar. Verwijderde bestanden worden na 30 dagen definitief verwijderd.
Backup en herstel
- Dagelijkse backup van de database (consistente, gecomprimeerde en versleutelde kopie) en van de bewijsbestanden; de laatste 30 backups worden bewaard.
- Prullenbak voor alle items (projecten, risico’s, incidenten, taken, assets, bewijsbestanden en meer): 30 dagen herstelbaar, daarna definitief verwijderd.
- Eerdere versies: de laatste 100 per document (goedgekeurde versies permanent), de laatste 50 toestanden per checklist.
- Eigen sleutel per klant in de backups: bij verwijdering wordt deze vernietigd; de gegevens zijn dan in de meeste backups direct en in alle uiterlijk bij het verlopen ervan onleesbaar.
- Afzonderlijke projecten kunnen uit een backup worden hersteld als kopie naast de huidige toestand, zonder bestaande gegevens te overschrijven.
Toegang door Complass
- Adviseurs zien klantprojecten alleen met goedkeuring van een beheerder van de klant; adviseurstoegang staat in het logboek van de klant (adviseurstoegang per sessie en project, noodtoegang bij elke projectopening met het bijbehorende nummer).
- Noodtoegang alleen als de klant die vooraf heeft toegestaan, met schriftelijke motivering, opnieuw aanmelden en goedkeuring door een tweede persoon, maximaal 60 minuten, alleen-lezen, in het logboek van de klant en met onmiddellijke e-mail aan de beheerders van de klant.
- Supportsessies alleen met toestemming van de betrokkene, in de tijd beperkt, standaard alleen-lezen, gestart met de MFA-code van onze beheerder in een aparte sessie (uw sessie wordt nooit overgenomen), en door u op elk moment te beëindigen; elke paginaweergave wordt vastgelegd in het auditlogboek van de klant.
- Supporthandelingen van onze beheerders, zoals het resetten van wachtwoord en MFA of het beëindigen van sessies, verschijnen ook in uw auditlogboek.
Bedrijfsvoering
- Gehost door Hetzner Online GmbH op servers in Duitsland.
- Alleen het toegangspunt van het portaal is openbaar bereikbaar; database, bewijsbestanden, backups en programmacode zijn afgeschermd van het web.
- Monitoring: beschikbaarheid, backups, cronjobs, opslag, kwetsbaarheidsgegevens, e-mailbezorging, serverfouten, responstijd en PHP worden continu gecontroleerd; alarmen gaan per e-mail naar Complass. Geen klantinhoud in de monitoring.
Veelgestelde vragen over beveiliging
Wie kan mijn gegevens zien?
De personen binnen uw bedrijf aan wie uw beheerders toegang geven, binnen hun rechten. Complass ziet in de interface alleen beheergegevens; inhoud alleen met uw adviseursgoedkeuring, in een door u toegestane supportsessie of in de vastgelegde noodtoegang, als u die vooraf hebt toegestaan.
Kan Complass technisch bij de gegevens?
Als exploitant beheren wij de server en de sleutels voor het versleutelen van de bewijsbestanden. Toegang buiten de gebruikersinterface wordt geregeld in de verwerkersovereenkomst en is beperkt tot de bedrijfsvoering.
Wat gebeurt er bij een beveiligingsincident bij Complass?
Wij informeren getroffen klanten onverwijld. Inbreuken op persoonsgegevens worden gemeld overeenkomstig de AVG, als verwerker eerst aan u als verwerkingsverantwoordelijke.
Is Complass gecertificeerd?
Nee. Op deze pagina beschrijven wij welke maatregelen zijn geïmplementeerd; vragen van uw IT-beveiligingsteam beantwoorden wij graag uitgebreid.
Vragen van uw IT-beveiligingsteam?
Vragen over de beveiliging van Complass beantwoorden wij graag, ook tijdens een demo.
Hoe we beoordelen volgens OWASP ASVS 5.0
Of per e-mail naar info@complass.eu.