MTH SECURITY OVERVIEW

Context

CRANIUM heeft Move To Happiness (“MTH”) ondersteund bij het structureren en documenteren van de security-, privacy-, cloud- en AI-governancepraktijken voor het doel van klant- en partnerdue diligence.

De onderstaande bijlage is bedoeld om door MTH gebruikt te worden als een standaard informatiepakket en kan worden opgenomen in een document met MTH-branding.

Deze informatie is gebaseerd op input uit bestaande documentatie die door verschillende bronnen binnen MTH is aangeleverd en impliceert daarom geen verificatie of bevestiging van de juistheid van deze informatie.

Bijlage

Dit document geeft een high-level overzicht van de security-, privacy-, cloud- en AI-governancepraktijken van Move To Happiness (“MTH”). Het is ontworpen om te worden gedeeld met onze klanten en partners als een standaardantwoord op security- en due diligence-vragenlijsten. Het weerspiegelt de huidige operationele praktijken en is niet bedoeld ter vervanging van contractuele documentatie of klant-specifieke overeenkomsten. Dit document is vertrouwelijk.

1. Organisatie- en servicecontext

1.1. Juridische entiteit

Move To Happiness Hub BV, België. Move To Happiness Hub BV is de juridische entiteit die verantwoordelijk is voor de ontwikkeling, exploitatie en levering van het Move To Happiness-platform.

1.2. Zakelijke scope

Move To Happiness biedt een digitaal wellbeingplatform voor organisaties, aangeboden als een Software-as-a-Service (SaaS)-oplossing. Het platform stelt organisaties in staat om het welzijn van medewerkers te ondersteunen via:

een aanpasbaar community- en contentplatform voor interne communicatie en wellbeingcontent;
configureerbare wellbeingcampagnes en -reizen; een individuele digitale wellbeingassistent voor medewerkers;
een AI-gebaseerde analyselaag die geaggregeerde en geanonimiseerde wellbeinginzichten biedt op organisatie- of teamniveau.

Het platform is primair ontworpen ter ondersteuning van welzijn en engagement binnen organisaties. Daarnaast biedt MTH dashboards die gestructureerde inzichten leveren op basis van vooraf gedefinieerde indicatoren. Deze dashboards kunnen reflectie, coaching en organisatiebrede gesprekken ondersteunen, maar nemen of handhaven niet autonoom arbeidsgerelateerde beslissingen.

1.3. Verwerkte data

In het kader van de levering van het platform kunnen de volgende categorieën data worden verwerkt:

basisidentificatie- en professionele gegevens van gebruikers (zoals naam, werk e‑mailadres, rol of afdeling);
door gebruikers gegenereerde interactiedata gerelateerd aan wellbeingcontent en platformgebruik;
platform- en gebruiksmetadata (zoals tijdstempels, interactietypes en technische identifiers);
optionele wellbeing-gerelateerde data afkomstig van gekoppelde wearables of enquêtes, enkel indien expliciet geactiveerd door de gebruiker.

Er worden geen gegevens verwerkt die verder gaan dan wat noodzakelijk is voor de levering en werking van het platform.

1.4. Cloudgebruik

Het Move To Happiness-platform wordt volledig gehost in een Europese cloudomgeving gebruikmakend van Microsoft Azure. De dienst wordt uitsluitend geleverd als een SaaS-oplossing. Data en applicatieworkloads worden gehost binnen de Europese Economische Ruimte (EER).

Cloudinfrastructuur, beschikbaarheid en baseline securitycontrols worden geleverd door Microsoft Azure, terwijl security op applicatieniveau, toegangsbeheer en databeschermingsmaatregelen worden beheerd door Move To Happiness.

Deze cloudopzet ondersteunt beschikbaarheid, schaalbaarheid, databescherming en securitymonitoring in lijn met verwachtingen van klanten en regelgeving.

2. Gegevensbescherming en privacy

2.1. Governance voor gegevensbescherming

MTH heeft geen formeel aangestelde interne Data Protection Officer.

Ondersteuning voor gegevensbescherming en digitale wetgevingsnaleving wordt geleverd door CRANIUM, een gespecialiseerd privacy- en digitaalrechtkantoor. CRANIUM ondersteunt MTH met GDPR-governance, contractuele afstemming, interpretatie van regelgeving en risicoanalyses.

Bernd Fiten, Head of Digital Law bij CRANIUM, fungeert als extern aanspreekpunt voor juridische en privacygerelateerde vragen.

MTH onderhoudt interne governance-maatregelen ter ondersteuning van GDPR-naleving, waaronder een register van verwerkingsactiviteiten, interne dataprotectiebeleid en gedocumenteerde procedures voor de omgang met persoonsgegevens. Waar vereist, worden Data Protection Impact Assessments uitgevoerd voordat nieuwe of materieel gewijzigde verwerkingsactiviteiten in productie worden genomen.

MTH hanteert een privacy policy waarin wordt beschreven hoe persoonsgegevens worden verzameld en gebruikt via de website, sociale media, diensten en events, inclusief de toepasselijke doelen, rechtsgronden, bewaartermijnen en rechten van betrokkenen. Deze privacy policy is te vinden op de website: https://knowledge.movetohappiness.com/nl/privacy-policy

GDPR-bewustzijn binnen MTH wordt ondersteund door periodieke interne sessies en praktische richtlijnen, zodat medewerkers in hun dagelijkse werk vertrouwd zijn met vertrouwelijkheid, security verplichtingen en beginselen van gegevensbescherming.

Persoonsgegevens worden uitsluitend verwerkt voor vooraf gedefinieerde doeleinden en in overeenstemming met de GDPR-beginselen van rechtmatigheid, behoorlijkheid, transparantie, dataminimalisatie en doelbinding. Waar vereist, is verwerking gebaseerd op expliciete toestemming van de gebruiker of een andere toepasselijke GDPR-rechtsgrond.

Alle verwerkingen van persoonsgegevens zijn, waar vereist, contractueel geregeld via Data Processing Agreements en gedocumenteerd in de standaard contractuele en privacydocumentatie van MTH.

Privacy by design is ingebed in de platformarchitectuur, onder meer via anonimisering van het datawarehouse dat wordt gebruikt voor analytics en rapportering. Gebruikers behouden controle over hun data en kunnen toestemming op elk moment intrekken wanneer toestemming de toepasselijke rechtsgrond is.

Een gedetailleerd overzicht van datastromen is beschikbaar en kan op verzoek worden gedeeld om te documenteren hoe persoonsgegevens door het platform stromen en welke technische en organisatorische maatregelen in elke fase van toepassing zijn.

2.2. Rechten van betrokkenen

MTH beschikt over gedefinieerde processen voor de behandeling van verzoeken van betrokkenen, inclusief het recht op inzage, rectificatie, wissing, beperking, bezwaar en het intrekken van toestemming waar van toepassing.

Verzoeken kunnen worden ingediend via de contactgegevens die zijn vermeld in de MTH-privacy policy en worden opgevolgd en afgehandeld via de passende interne en externe ondersteuningskanalen, afhankelijk van de aard en de omvang van het verzoek.

2.3. Datadeling, verwerkers en subverwerkers

MTH schakelt externe dienstverleners in om de levering van het platform en gerelateerde diensten te ondersteunen. Deze partijen treden op als verwerkers of subverwerkers, afhankelijk van de verwerkingscontext.

Waar vereist, worden Data Processing Agreements afgesloten en subverwerkers worden gedocumenteerd, beoordeeld en bijgewerkt wanneer de verwerkingsomstandigheden veranderen of nieuwe leveranciers worden geïntroduceerd. Leveranciers en subverwerkers die het MTH-platform ondersteunen, worden onderworpen aan security- en risicocriteria vóór onboarding. Waar relevant worden contractuele clausules en due diligence-checks gebruikt om afstemming met de security-, vertrouwelijkheids- en databeschermingseisen van MTH te waarborgen.

Waar overdrachten van persoonsgegevens buiten de Europese Economische Ruimte plaatsvinden, zijn dergelijke overdrachten onderworpen aan passende waarborgen, zoals het gebruik van door de Europese Commissie goedgekeurde Standard Contractual Clauses, in lijn met de aanpak zoals beschreven in de MTH-privacy policy.

Subverwerkers die specifieke platformfunctionaliteiten ondersteunen, omvatten onder meer Microsoft Azure (cloudhosting en infrastructuur), Brevo (e‑mailcommunicatie), Vimeo (videocontentlevering), WeFitter (wearable-datakoppeling) en Typeform (enquête- en formulierverwerking). Deze subverwerkers zijn gevestigd in de EU of vertrouwen, waar toepasselijk, op passende GDPR-overdrachtswaarborgen, waaronder de Standard Contractual Clauses van de Europese Commissie.

3. AI-governance

Move To Happiness gebruikt artificiële intelligentie als een ondersteunende functionaliteit binnen het wellbeingplatform. AI is ontworpen om gebruikers en organisaties te ondersteunen met begeleiding en inzichten en neemt geen bindende of autonome beslissingen over individuen.

Gedetailleerde informatie over AI-functionaliteit, datagebruik, waarborgen, governance en compliance-uitlijning wordt verstrekt in een apart document (op aanvraag beschikbaar). Dit security- en due diligence-document geeft daarom enkel een beknopte, governance-georiënteerde samenvatting van AI. Minimaal gelden de volgende principes voor alle AI-functionaliteiten binnen MTH:

Adviserend karakter: AI-uitvoer is niet bindend en heeft geen juridische of vergelijkbaar significante gevolgen.
Geen autonome HR-besluitvorming: AI-functionaliteit neemt niet autonoom individuele arbeidsgerelateerde beslissingen of handhaaft deze. Eventuele HR-gerelateerde inzichten binnen het platform worden buiten de AI-componenten gegenereerd en blijven niet-bindend.
Privacy by design: individuele interacties blijven vertrouwelijk en organisaties ontvangen uitsluitend geaggregeerde en geanonimiseerde inzichten.
Geen training op klantdata: klant- en gebruikersdata worden niet gebruikt om onderliggende AI-modellen te trainen.
Menselijke controle: gebruikers behouden autonomie en AI-uitvoer is onderworpen aan technische en organisatorische waarborgen.
Functioneel begrensd: AI-systemen opereren binnen vooraf gedefinieerde use cases en technische guardrails.

Alle AI-functionaliteiten zijn geïntegreerd in het bredere security-, privacy- en governancekader van MTH. Elke nieuwe AI-functie of integratie is onderworpen aan:

een voorafgaande juridische en risicoanalyse;
waar vereist, een DPIA en/of AI Act-compliancecheck;
interne validatie vóór gebruik in productie;
transparante documentatie voor klanten.

Voor volledige transparantie over AI-componenten, datastromen, waarborgen en governance-maatregelen worden klanten verwezen naar een apart document (op aanvraag beschikbaar).

4. Veilige configuratie

4.1. Systeemverharding en baselineconfiguratie

MTH past een “hardened-by-default”-configuratiebenadering toe in de volledige cloud- en applicatieomgeving. Securitycontrols zijn ingebed op systeem-, netwerk- en applicatieniveau om het aanvalsoppervlak te minimaliseren en ongeautoriseerde toegang te voorkomen.

Alle standaard-, generieke of onnodige systeem- en applicatieaccounts worden uitgeschakeld of verwijderd vóór uitrol naar productie.

Alleen benoemde serviceaccounts met strikt afgebakende rechten zijn toegestaan.

Sterke authenticatie wordt afgedwongen via Microsoft Entra ID of client-side SSO-integraties. Waar SSO is geactiveerd, beheert de identiteitsprovider van de klant de wachtwoordpolicy’s, MFA-afdwinging, sessietime-outs en conditional access. Onnodige software, systeemhulpprogramma’s, achtergrondservices en systeemcomponenten worden verwijderd of uitgeschakeld als onderdeel van het standaard buildproces.

Alle productieomgevingen worden uitgerold vanaf een gestandaardiseerde configuratiebaseline die in lijn met interne securitybeleid wordt onderhouden en herzien wanneer belangrijke platformwijzigingen plaatsvinden.

De productieomgeving wordt uitgerold op een Microsoft Azure App Service Plan (EU-regio) met zoneredundantie, zodat data en applicatiecomponenten over meerdere beschikbaarheidszones binnen Europa worden gerepliceerd ter ondersteuning van continuïteit en veerkracht.

4.2. Uitvoeringscontroles

AutoRun en vergelijkbare uitvoeringsmechanismen zijn uitgeschakeld op productiesystemen.

Host-based firewalls zijn actief op alle servers en cloudworkloads. Inkomende en uitgaande verbindingen worden beperkt tot expliciet goedgekeurde eindpunten via Azure Firewall- en Web Application Firewall (WAF)-policies. Alleen gedefinieerde IP-ranges en beveiligde virtuele netwerken hebben toegang tot backendsystemen en databases.

De platformarchitectuur is logisch gesegmenteerd, met gescheiden datastores voor operationele verwerking (OLTP) en analytische rapportering (OLAP), zodat rapporteringsworkloads geen impact hebben op productiesystemen en de scheiding tussen omgevingen wordt versterkt.

Interne platformcomponenten (inclusief de MTH Engine, API’s en het Data Warehouse) zijn strikt gescheiden van externe dienstverleners zoals Vimeo, Brevo, Typeform en WeFitter.

4.3. Backup- en recoveryconfiguratie

Back-ups worden geïmplementeerd volgens een 3-2-1-strategie:

Primaire productiedata in Azure
Geautomatiseerde Azure cloudback-ups
Back-ups worden opgeslagen op gescheiden media en over verschillende beschikbaarheidszones om single points of failure te voorkomen.

De hersteldoelstellingen zijn:

RTO (catastrofale incidenten): 4 uur
RTO (granulair herstel): 1–2 dagen

Granulair herstel op recordniveau is mogelijk, zodat gedeeltelijke restores kunnen worden uitgevoerd zonder volledige database terugdraai. Deze backup- en recovery controls maken deel uit van de bredere business continuity- en veerkrachtstrategie van MTH en zijn ontworpen om servicebeschikbaarheid, dataherstelbaarheid en operationele continuïteit te waarborgen bij technische storingen, security-incidenten of rampscenario’s.

5. Toegangscontrole

5.1. Authenticatie

Gebruikerstoegang tot het MTH-platform is onderworpen aan formele goedkeuring en onderbouwing en is altijd gekoppeld aan benoemde individuen. Toegangsrechten worden toegekend op basis van rol en zakelijke noodzaak en periodiek herzien.

Voor standaardgebruikers ondersteunt MTH een wachtwoordloos inlogmechanisme. Gebruikers authenticeren via een unieke, eenmalige login-code die naar hun e‑mailadres wordt verzonden. Deze code is vijf minuten geldig en kan niet worden hergebruikt, wat het risico op wachtwoordcompromittering of ‑hergebruik verlaagt.

Authenticatie wordt centraal beheerd via Microsoft Entra ID, met:

Single Sign-On (SSO) voor eindgebruikers,
Multi-Factor Authentication (MFA), afhankelijk van de Entra ID-configuratie van de klant,
Conditional access policies bepaald door de identiteitsomgeving van de klant.

Waar SSO is ingeschakeld, vertrouwt MTH op de identiteitsprovider en securitycontrols van de klant, zodat de authenticatie- en toegangsbeveiligingsstandaarden aansluiten bij die van de klant zelf. MTH ondersteunt zowel Microsoft- als Google-authenticatorapps via deze opzet.

5.2. Autorisatie

Binnen het platform wordt Role-Based Access Control (RBAC) afgedwongen. Gebruikers hebben alleen toegang tot data en functionaliteiten die nodig zijn voor hun rol. Beheerders hebben toegang tot een gescheiden beheersomgeving, die is beschermd door bijkomende authenticatiecontroles, waaronder MFA. Externe toegang, bijvoorbeeld voor developers of auditors, wordt uitsluitend verleend na goedkeuring en voor een beperkte tijdsperiode.

Gebruikersaccounts worden automatisch uitgeschakeld of verwijderd wanneer ze niet langer nodig zijn via API-gestuurde lifecyclemanagement. Administratieve en bevoorrechte toegang is beperkt tot een klein aantal geautoriseerde medewerkers. Verhoogde privileges zijn rolgebaseerd en worden periodiek herzien. Authenticatie- en wachtwoordbeleid voor administratieve accounts volgt de SSO- en identity securityconfiguratie van de klant, inclusief wachtwoordcomplexiteit en rotatievereisten.

6. Endpoint- en devicesecurity

Toegang tot beheersinterfaces, productieomgevingen en klantdata is beperkt tot geautoriseerd personeel dat gebruikmaakt van door het bedrijf beheerde laptops. Toegang wordt verder beperkt via netwerkcontroles. Op dit moment is administratieve en productie-toegang alleen toegestaan vanaf expliciet geregistreerde IP-adressen die gekoppeld zijn aan goedgekeurde MTH-locaties, waaronder het kantoornetwerk en geautoriseerde thuiswerkomgevingen. Verbindingen vanuit niet-geregistreerde IP-adressen worden geblokkeerd.

Privé- of niet-beheerde devices zijn niet toegestaan voor administratieve of productie-toegang. Mobiele devices worden beperkt tot communicatie- en authenticatiedoeleinden, zoals multi-factor authenticatieapps, en hebben geen directe toegang tot productiesystemen of klantdata.

Endpointbeveiliging vertrouwt op securityfuncties op besturingssysteemniveau en standaard securityconfiguraties op door het bedrijf beheerde devices. Deze omvatten full-disk encryptie, lokale endpointbescherming, automatische systeemupdates en toegangscontrole op deviceniveau. Devices zijn beschermd via gebruikersauthenticatie, schermvergrendeling en inactiviteits-timeouts.

In het geval dat een device verloren, gestolen of vervangen wordt, kunnen toegangsgegevens worden ingetrokken en accounts worden gedeactiveerd om verdere toegang te voorkomen. Device-toegang en wijzigingen worden herzien als onderdeel van de access- en securitygovernanceprocessen van MTH.

7. Malwarebescherming

Anti-malwarebescherming is uitgerold over alle servers en cloudinfrastructuur binnen de MTH-omgeving. Deze beschermingen worden automatisch beheerd en omvatten realtime malwaredetectie, regelmatige signature-updates en monitoring van verdacht gedrag.

Voor endpointdevices die door MTH-medewerkers worden gebruikt, steunt malwarebescherming op securitymechanismen op besturingssysteemniveau en gebruikersgerichte beschermingsmaatregelen. Door het bedrijf beheerde laptops maken gebruik van standaard OS-securityfuncties, waaronder ingebouwde bescherming, automatische updates en beperkte uitvoeringsrechten. Afzonderlijke endpoints kunnen daarnaast lokale anti-malwaresoftware draaien.

Gebruikers zijn beperkt in het uitvoeren van niet-vertrouwde of potentieel schadelijke software. Maatregelen zijn ook aanwezig om het risico op ongeautoriseerde code-uitvoering te verkleinen. Toegang tot bekende malafide websites wordt gedeeltelijk geblokkeerd via securitycontrols op endpoint- en/of netwerkniveau.

8. Assetsecurity

8.1. Assetinventaris

MTH onderhoudt een gestructureerd overzicht van hardware- en software-assets die betrokken zijn bij de levering van het platform en gerelateerde verwerkingsactiviteiten. Dit overzicht omvat, waar toepasselijk, clou domgevingen, servers, netwerkcomponenten, door het bedrijf beheerde laptops, securitytools en relevante SaaS-diensten die worden gebruikt ter ondersteuning van operaties en dienstverlening.

Assetgerelateerde informatie wordt beheerd onder rolgebaseerde toegangsbeperkingen. Alleen geautoriseerde rollen kunnen items registreren, wijzigen of verwijderen, in lijn met de toegangsbeheerpraktijken van MTH. MTH werkt aan verdere formalisering van de assetinventaris als onderdeel van het bredere informatiebeveiligingsmaturiteitstraject.

8.2. Patchmanagement

Alle software die binnen de MTH-omgeving wordt ingezet, is gelicentieerd, wordt ondersteund door de leverancier en wordt gemonitord voor securityupdates. Systemen zijn zo geconfigureerd dat besturingssystemen, applicaties en ondersteunende componenten binnen ondersteunde lifecyclefases blijven.

Securitypatches voor besturingssystemen en applicatiesoftware worden binnen maximaal 14 dagen na release toegepast, in lijn met standaardtermijnen voor kwetsbaarheidsremediatie. Patchuitrol vindt gecontroleerd plaats om operationele impact te beperken terwijl het beveiligingsniveau behouden blijft.

Waar mogelijk zijn automatische updates standaard ingeschakeld, met name voor SaaS-diensten en door Azure beheerde componenten. Kritieke platformcomponenten (waaronder API’s, databases en het datawarehouse) worden gemonitord en gecontroleerd geüpdatet, bij voorkeur buiten piekgebruik om beschikbaarheid te waarborgen.

Legacy-, end-of-life- of niet-ondersteunde software is niet toegestaan in productieomgevingen. Waar tijdelijke aanhouding onvermijdelijk is, worden dergelijke systemen geïsoleerd, wordt toegang beperkt en worden compenserende maatregelen toegepast totdat volledige remediatie is afgerond.

8.3. Kwetsbaarheidsbeheer

MTH hanteert een formeel kwetsbaarheidsbeheerproces dat omvat:

identificatie van kwetsbaarheden via leveranciersadviezen en monitoring;
beoordeling van ernst en potentiële impact;
prioritering van remediatieacties;
opvolging van patchuitrol en oplossing.

De assetinventaris en updateaanpak worden periodiek herzien. De IT Manager voert minstens halfjaarlijkse reviews uit om te bevestigen dat softwarelicenties geldig blijven, hardware voldoet aan prestatie- en securityverwachtingen, en geregistreerde toegang en logging afgestemd blijven op de huidige organisatie-structuur. Deze reviews worden vastgelegd als onderdeel van de securitygovernancerecords van MTH.

9. Monitoring en logging

Security- en systeemgebeurtenislogs worden gegenereerd voor:

authenticatiepogingen
wijzigingen in privileges
systeemtoegang
API-calls
configuratiewijzigingen

Deze logs worden opgeslagen binnen de Azure-omgeving en zijn beschermd tegen manipulatie.

Realtime monitoring en alertering worden geïmplementeerd via Azure Monitor en Application Insights, die automatisch abnormaal gedrag, mislukte authenticatiepogingen en verdachte activiteiten detecteren en signaleren.

Securityrelevante gebeurtenissen binnen de cloudomgeving worden gelogd en gemonitord. Logs zijn beschermd tegen ongeautoriseerde toegang en aanpassing om securitymonitoring, incidentdetectie en forensische analyse te ondersteunen. Securitytelemetrie en alerts worden centraal opgevolgd met Azure-native tooling om snelle detectie en reactie op potentiële security-incidenten te faciliteren.

10. Secure development

MTH past securitycontrols toe doorheen de volledige softwareontwikkelingscyclus om het risico te beperken dat kwetsbaarheden in productiesystemen worden geïntroduceerd.

Broncode is onderworpen aan handmatige securityreviews vóór uitrol. Deze reviews zijn gericht op het detecteren van logische fouten, securityzwaktes en misconfiguraties voordat wijzigingen worden vrijgegeven.

Automatische broncode-analysetools zijn op dit moment nog niet gestandaardiseerd in de volledige ontwikkelingscyclus. Codekwaliteit en securitycontrols steunen daarom hoofdzakelijk op handmatige review- en testprocessen.

Securityoverwegingen zijn ingebed in de ontwikkelworkflow, inclusief beoordeling van wijzigingen, validatie van configuraties en verificatie van toegangsbeperkingen vóór release.

11. Netwerk- en perimeterbeveiliging

MTH beschermt de infrastructuur via gelaagde netwerksecuritycontrols op de perimeter en systeemscheidingsvlakken.

Het platform volgt een defence-in-depthmodel, waarbij netwerksegmentatie, toegangscontroles en continue monitoring worden gecombineerd om de vertrouwelijkheid, integriteit en beschikbaarheid van data te beschermen. De infrastructuur maakt gebruik van Azure Firewall en Web Application Firewall (WAF) om verkeer te filteren, abnormaal gedrag te detecteren en bescherming te bieden tegen distributed denial-of-service (DDoS)-aanvallen.

Netwerkfirewalls en securitygateways zijn ingezet om inkomend en uitgaand verkeer te beperken en kritieke systemen te segmenteren. Deze controls zijn ontworpen om ongeautoriseerde toegang te voorkomen en blootstelling aan externe bedreigingen te minimaliseren.

Alle verbindingen tussen platformcomponenten zijn beveiligd met SSL/TLS 1.2 of hoger. Data-uitwisseling tussen interne systemen verloopt via geauthenticeerde API’s en externe partners ontvangen uitsluitend geanonimiseerde of gepseudonimiseerde data, zoals weergegeven in het MTH-datastroomoverzicht.

Standaardgebruikersnamen en ‑wachtwoorden op netwerkapparatuur en grenssystemen worden vóór gebruik in productie gewijzigd en gehard.

Open poorten en blootgestelde services worden geïdentificeerd, gedocumenteerd en herzien. Waar technische of zakelijke afhankelijkheden vereisen dat bepaalde poorten of services openblijven, wordt dit onderbouwd en goedgekeurd. Op dit moment wordt een deel van dit goedkeurings- en reviewproces nog handmatig uitgevoerd.

Een default-denybenadering wordt gedeeltelijk toegepast, wat betekent dat alleen expliciet geautoriseerde verbindingen worden toegestaan waar dit technisch haalbaar is.

Remote beheersinterfaces op firewall- en netwerkapparatuur zijn beperkt en uitsluitend toegankelijk voor geautoriseerd personeel via gecontroleerde toegangspaden.

12. Cloudsecurity

Het MTH-platform wordt geleverd als een Software as a Service (SaaS)-oplossing en wordt gehost in een cloudomgeving op Microsoft Azure.

De cloudinfrastructuur host zowel applicatiediensten als klantdata. Alle kernplatformcomponenten, waaronder databases, API’s en applicatiediensten, zijn gedeployed binnen de Europese Economische Ruimte. Hoge beschikbaarheid wordt ondersteund door cloud-native redundantie en replicatie over beschikbaarheidszones binnen de Microsoft Azure-omgeving, waardoor het risico op single points of failure wordt verlaagd en de voortzetting van dienstverlening bij infrastructuurstoringen wordt ondersteund.

Het platform is gehost op een Microsoft Azure App Service Plan (EU-regio) met ingebouwde zoneredundantie, wat geografische replicatie en continuïteit over meerdere Europese beschikbaarheidszones verzekert.

Data wordt zowel in transit als in rust versleuteld met industriestandaard encryptiemechanismen die worden geleverd door de Azure-cloudomgeving en applicatielaagsecurity. Data in transit is versleuteld met TLS 1.3. Data in rust is beschermd met encryptiemechanismen en sleutelbeheer op basis van RSA HSM 2048-bit, zoals beschreven in de MTH-datastroomdocumentatie.

MTH ondersteunt dataportabiliteit door klanten in staat te stellen hun data op verzoek in een gestructureerd en gangbaar formaat op te vragen.

Een exit-strategie is gedefinieerd om ervoor te zorgen dat klantdata veilig kan worden geëxtraheerd en systemen op gecontroleerde wijze kunnen worden uitgefaseerd aan het einde van een contractuele relatie. Deze maatregelen ondersteunen operationele veerkracht, disaster recovery en langetermijnservicecontinuïteit voor klanten.

De onderliggende cloudinfrastructuur wordt geleverd door Microsoft Azure binnen de EER. Microsoft Azure beschikt over internationaal erkende securitycertificeringen en -attesten, waaronder ISO 27001, ISO 27701 en SOC 2 Type II, en opereert in overeenstemming met de GDPR. Deze certificeringen zijn van toepassing op de cloudserviceprovider en maken deel uit van het shared responsibility-model waarbinnen MTH opereert.

13. Fysieke beveiliging

Fysieke beveiliging wordt aangepakt via een cloud-native operationeel model. MTH exploiteert geen on-premises datacenters of kantoorservers voor de opslag van persoonsgegevens. Alle primaire data en back-ups worden gehost in beveiligde cloudomgevingen.

Fysieke beveiligingsrisico’s worden daarom primair beheerd via de fysieke en operationele securitycontrols van Microsoft voor Azure-datacenters, aangevuld met organisatorische maatregelen voor door MTH beheerde gebruikersdevices.

Microsoft Azure implementeert meerdere lagen van fysieke beveiliging voor datacenters, waaronder 24/7 monitoring en surveillance, gecontroleerde fysieke toegang (zoals badge-gebaseerde toegang, beveiligingspersoneel en bijkomende verificatiemechanismen), scheiding van zones voor bezoekers en personeel, en omgevingsbescherming zoals branddetectie- en responsmaatregelen, lekdetectie en redundante stroom- en klimaatbeheersing ter ondersteuning van beschikbaarheid en integriteit.

Binnen MTH richten organisatorische maatregelen voor fysieke security zich op endpointbescherming en gecontroleerde werkplektops, waaronder versleutelde bedrijfs-laptops (full-disk encryptie) en automatische apparaatvergrendeling. Kantoor-toegang is beperkt tot geautoriseerd personeel en MTH werkt met een hybride werkmodel met beperkte fysieke aanwezigheid op locatie.

14. Governance

14.1. Operationele processen

MTH hanteert formele, gedocumenteerde governance- en operationele processen om te waarborgen dat informatiebeveiliging, gegevensbescherming en systeemintegriteit op een gestructureerde en auditeerbare manier worden beheerd.

Een formeel changemanagementproces is aanwezig voor wijzigingen aan systemen, configuraties en platformfunctionaliteiten. Wijzigingen worden vooraf beoordeeld op security- en operationele impact en worden gedocumenteerd en traceerbaar uitgevoerd.

Een proces voor security-incidentmanagement is opgezet om tijdige detectie, escalatie, onderzoek, indamming en remediatie van security-incidenten te waarborgen. Incidenten worden gelogd en geëvalueerd ter ondersteuning van continue verbetering.

MTH onderhoudt een proces voor de afhandeling van kwetsbaarheden, waarbij securityzwaktes worden geïdentificeerd, beoordeeld, geprioriteerd en geremedieerd. Dit proces is afgestemd op patch- en risicomanagementworkflows en ondersteunt zowel proactieve als reactieve securitycontrols.

Toegangsbeheer wordt geregeld via gedefinieerde procedures voor het toekennen, wijzigen en intrekken van toegangsrechten, zodat toegang rolgebaseerd, goedgekeurd en herzien is.

Alle medewerkers en contractors zijn contractueel gebonden aan vertrouwelijkheids- en niet-openbaarmakingsverplichtingen als voorwaarde voor hun samenwerking, zodat klant- en organisatiedata beschermd blijven.

14.2. Verzekeringsdekking

MTH is gedekt door een cyber- en beroepsaansprakelijkheidsverzekering voor de ICT-sector, uitgegeven door KBC en onderschreven via ADD nv (Almarisk), polisnummer 37987431. De polis voorziet onder meer in de volgende kerndekkingen: beroepsaansprakelijkheid tot € 500.000 per verzekeringsperiode, bedrijfsaansprakelijkheid (BA Uitbating) tot € 1.500.000 per schadegeval inclusief gevolgschade, na-leveringsaansprakelijkheid tot € 1.500.000 per schadegeval, en rechtsbijstand tot € 25.000 per schadegeval. Cybergerelateerde incidenten zijn gedekt onder professionele fouten, dataverlies en aansprakelijkheid voortvloeiend uit datalekken, zoals verder beschreven in de polisvoorwaarden, secties 1.1–1.2. Deze verzekering dekt incidenten zoals dataverlies, onbedoelde schendingen van vertrouwelijkheid en cyberincidenten als gevolg van professionele fouten.

14.3. Auditondersteuning

Waar klanten redelijke auditondersteuning vragen in het kader van due diligence of contractuele verificatie, kan MTH dergelijke ondersteuning faciliteren, onder voorbehoud van voorafgaande kennisgeving en passende vertrouwelijkheidswaar-borgen. Auditondersteuning wordt geboden aan een standaard uurtarief van € 130 per uur.

15. Personeelsbeheer

MTH past een formeel proces voor personeels- en toegangsbeheer toe, zoals gedefinieerd in het interne Access Policy, dat wordt opgevolgd door een aangewezen Access Manager. Dit proces regelt onboarding, rolwijzigingen en offboarding voor alle medewerkers met toegang tot persoonsgegevens of productiesystemen.

15.1. Onboarding

Vooraleer een nieuwe medewerker of contractor systeemtoegang krijgt, ontvangt de Access Manager de bevestigde startdatum en valideert hij de noodzakelijke toegangen op basis van de rol van de betrokkene. Toegang wordt strikt toegekend volgens het principe van least privilege en pas na afronding en goedkeuring van een toegangsaanvraagformulier dat door de Access Manager wordt ondertekend.

Standaard toegangsprofielen per rol en applicatie (zoals interne portalen, samenwerkings-tools en administratieve platforms) zijn gedefinieerd in een centraal register en worden minstens jaarlijks herzien.

15.2. Rolwijzigingen

Wanneer de rol of verantwoordelijkheden van een medewerker wijzigen, worden bestaande toegangsrechten formeel herzien. Waar nodig worden nieuwe rechten toegekend of bestaande rechten ingetrokken via een gedocumenteerd toegangsreviewformulier dat is goedgekeurd door de Access Manager.

15.3. Offboarding

Wanneer een medewerker de organisatie verlaat, wordt de Access Manager vooraf geïnformeerd over de vertrekdatum. Er wordt een formeel revocatieformulier ingediend en alle toegang tot klantdata, applicaties, interne systemen en zakelijke e‑mail wordt vóór de laatste werkdag verwijderd.

Alle toegang-gerelateerde documentatie (toegangsaanvragen, reviews en intrekkingen) wordt maximaal drie maanden na beëindiging bewaard en daarna veilig verwijderd. Dit waarborgt een volledig auditeerbare toegangslifecycle in lijn met de GDPR-beginselen van accountability, dataminimalisatie en toegangsbeperking.

16. Training en bewustwording

MTH organiseert om de drie jaar een formele GDPR- en datasecuritytraining voor alle medewerkers. Deze training wordt ontwikkeld en gegeven in samenwerking met CRANIUM en focust op het versterken van het organisatiebrede bewustzijn rond gegevensbescherming en informatiebeveiliging.

De meest recente sessie vond plaats in december 2023 en werd geleid door Bernd Fiten, Head of Digital Law bij CRANIUM.

Het trainingsprogramma omvat onder meer:

de kernbeginselen van de GDPR (rechtmatigheid, doelbinding, transparantie, dataminimalisatie);
de rollen en verantwoordelijkheden van verwerkingsverantwoordelijken en verwerkers;
procedures voor datalekken en de 72‑uursmeldingsplicht;
de omgang met gezondheidsdata en wearabledata;
interne procedures voor toegangsbeheer en datasecurity.

De training combineert theorie met praktische scenario’s, interactieve cases en polls op basis van reële operationele situaties binnen MTH.

De effectiviteit van de training wordt opgevolgd. De resultaten van de sessie in 2023 toonden dat 100 procent van de deelnemers de rol van de DPO correct identificeerde, 88 procent de meldingsplicht bij datalekken begreep en dat de gemiddelde tevredenheidsscore 4,4 op 5 bedroeg.

Tussen de formele trainingscycli ontvangen medewerkers doorlopende securitybewustwordingscommunicatie en refreshers over onder meer:

phishingrisico’s;
veilige wachtwoord- en authenticatiepraktijken;
versleutelde communicatie;
correcte omgang met persoonsgegevens in e‑mails, rapporten en interne systemen.

Nieuwe medewerkers ontvangen een introductie in GDPR en informatiebeveiliging als onderdeel van hun onboarding, zodat zij vanaf de eerste dag vertrouwd zijn met de interne regels en securityverwachtingen.

17. Leveranciersbeheer

17.1. Onboarding van leveranciers

Onboarding en opvolging van leveranciers volgen een gestructureerde, risicogebaseerde aanpak. Voor elke nieuwe integratie of leveranciersrelatie beoordeelt MTH minimaal de dataresidentie binnen de EER, de aanwezigheid van relevante securitycertificeringen (bijvoorbeeld ISO 27001 of SOC 2 Type II waar toepasselijk), of klantondersteuning of andere vormen van toegang buiten de EU plaatsvinden en of een Data Transfer Impact Assessment (DTIA) nodig is. Waar aan deze voorwaarden niet kan worden voldaan of waar juridische en securityrisico’s niet voldoende kunnen worden gemitigeerd, wordt de integratie niet goedgekeurd.

17.2. Contractuele aanpak

Waar een leverancier persoonsgegevens verwerkt, is een Data Processing Agreement (DPA) vereist. Voor grotere providers (waaronder aanbieders met standaard, niet-onderhandelbare DPA’s) voert MTH een interne juridische en technische beoordeling uit van de beschikbare contractuele documentatie om te verzekeren dat GDPR-vereisten zijn afgedekt, waaronder verwerkingsinstructies, duidelijkheid over dataresidentie en supportlocaties, incident- en meldingsverplichtingen en de beschrijving van passende technische en organisatorische maatregelen.

Leveranciersopvolging gebeurt doorgaans via gedocumenteerde due diligence, contractreview en periodieke herbeoordeling van de subverwerkerslijst, eerder dan via on-site audits. Waar relevant worden DTIA-resultaten bewaard als referentiemateriaal voor toekomstige leveranciersbeoordelingen en vergelijkbare integraties.

17.3. Verdere formalisering

MTH werkt aan verdere formalisering van leveranciersrisicobeheer als onderdeel van het bredere informatiebeveiligingsmaturiteitstraject, inclusief de uitwerking van een meer gestructureerd framework voor leveranciersrisicobeheer dat is afgestemd op de lopende ISO 27001-implementatie-inspanningen.