ISO 27001 gecertificeerd: waarom dataveiligheid bij koppelingen cruciaal is

Wat er werkelijk door je koppeling stroomt

Een klant plaatst een bestelling in je webshop. Binnen een paar seconden stroomt er een stroom aan gegevens naar Exact Online: naam, adres, e-mailadres, telefoonnummer. Daarnaast de bestelgegevens — producten, bedragen, BTW-berekeningen, eventuele kortingen. En bij de betaling: bankrekeningnummer en betaalmethode.

Dat is geen abstracte data. Het zijn persoonsgegevens die onder de AVG vallen, gecombineerd met financiele informatie die je bedrijf kwetsbaar maakt als ze in verkeerde handen terechtkomen.

De meeste ondernemers denken bij een webshopkoppeling aan gemak: orders automatisch verwerken, voorraad synchroniseren, facturen aanmaken zonder overtypen. Terecht. Maar elke koppeling is ook een doorgeefluik van gevoelige informatie. En de beveiliging van dat doorgeefluik verdient minstens evenveel aandacht als de functionaliteit.

Het risico dat niemand ziet — tot het te laat is

Een veilige webshop koppeling is geen luxe. Het is een noodzaak. Toch is beveiliging zelden het eerste waar ondernemers naar vragen bij het kiezen van een koppelingsleverancier. De focus ligt op functies, prijs en implementatiesnelheid. Begrijpelijk — maar riskant.

Wat kan er misgaan bij een slecht beveiligde koppeling? Klantgegevens die onversleuteld worden verstuurd tussen systemen. Inloggegevens die op een onbeveiligde server worden opgeslagen. Een API-verbinding zonder fatsoenlijke authenticatie, waardoor kwaadwillenden toegang krijgen tot je administratie.

De gevolgen zijn niet theoretisch. Datalekken kosten het mkb gemiddeld tienduizenden euro's aan directe schade — boetes van de Autoriteit Persoonsgegevens niet meegerekend. Maar de grootste schade is vaak het vertrouwen dat je verliest bij je klanten. Dat verdien je niet terug met een excuusmail.

De CIA-triad: drie pijlers van dataveiligheid

ISO 27001 — de internationale standaard voor informatiebeveiliging — is gebouwd op drie principes, bekend als de CIA-triad.

Vertrouwelijkheid (Confidentiality). Alleen geautoriseerde personen en systemen mogen toegang hebben tot de data. Klantgegevens die door je koppeling stromen, moeten onleesbaar zijn voor iedereen behalve de verzender en de ontvanger.

Integriteit (Integrity). Data mag onderweg niet worden gewijzigd. Als een order met drie producten je webshop verlaat, moeten er drie producten in Exact Online aankomen — niet twee, niet vier, en niet drie met een ander bedrag.

Beschikbaarheid (Availability). De koppeling moet werken wanneer je die nodig hebt. Een beveiligingsmaatregel die zo streng is dat je koppeling regelmatig uitvalt, schiet zijn doel voorbij.

Deze drie pijlers klinken vanzelfsprekend. Het verschil zit in de vraag of een leverancier ze daadwerkelijk structureel borgt — of ze alleen noemt op een website.

Hoe iWebDevelopment beveiliging structureel aanpakt

Bij iWebDevelopment is informatiebeveiliging geen bijzaak en geen marketingverhaal. Het is een doorlopend proces dat jaarlijks wordt gecontroleerd door een onafhankelijke auditor.

ISO 27001 certificering

iWebDevelopment is ISO 27001 gecertificeerd. Dat betekent dat het volledige informatiebeveiligingsbeleid — van toegangscontrole tot incidentbeheer — voldoet aan de strengste internationale standaard. Niet eenmalig, maar doorlopend. Elk jaar vindt er een externe audit plaats die controleert of alle processen, systemen en procedures nog aan de norm voldoen.

ISO 27001 is geen checkbox. Het dwingt een organisatie om risico's systematisch te identificeren, maatregelen te treffen en die maatregelen continu te evalueren. Dat maakt het verschil tussen een bedrijf dat zegt veilig te zijn en een bedrijf dat het kan bewijzen.

Onafhankelijke pentest

Naast de jaarlijkse audit laat iWebDevelopment onafhankelijke penetratietests uitvoeren door een extern beveiligingsbureau. Dat bureau probeert — met dezelfde technieken als kwaadwillende hackers — kwetsbaarheden te vinden in de systemen en koppelingen.

Het doel is niet om te bevestigen dat alles veilig is. Het doel is om zwakke plekken te vinden voordat iemand anders dat doet. Eventuele bevindingen worden direct opgepakt en verholpen.

Encryptie op bankniveau

Alle data die tussen je webshop en Exact Online stroomt, wordt versleuteld met AES-256 encryptie — dezelfde standaard die banken gebruiken voor internetbankieren. Zowel data in transit (onderweg tussen systemen) als data at rest (opgeslagen op servers) is versleuteld.

Zelfs als iemand erin zou slagen om dataverkeer te onderscheppen, is de informatie onleesbaar zonder de juiste sleutels. Dat geldt voor klantgegevens, orderdata en financiele informatie.

EU-gehost, versleuteld, onder jouw controle

Onze infrastructuur draait volledig in de EU, ISO 27001 gecertificeerd en versleuteld in rust en in transit. Webshopkoppelingen werken als beveiligd doorgeefluik: orders stromen van je webshop naar Exact Online zonder tussentijds ergens te blijven hangen. Voor analytics-koppelingen richten wij een privé omgeving in per administratie, afgeschermd en door jou beheerd. Jij bepaalt wie erbij kan en kunt elke koppeling op elk moment intrekken.

Dat minimaliseert het aanvalsoppervlak. Er is simpelweg geen database met bankgegevens of factuurbedragen die buitgemaakt kan worden.

Officieel Exact Online partnerschap

iWebDevelopment is officieel partner van Exact Online. Dat partnerschap is niet puur commercieel — Exact stelt concrete beveiligingseisen aan partners die toegang krijgen tot hun API. Door aan die eisen te voldoen, is de koppeling gebouwd volgens de richtlijnen die Exact zelf hanteert voor de bescherming van klantdata.

Het partnerschap betekent ook directe communicatie bij API-wijzigingen of beveiligingsupdates. Geen verrassingen, geen achterstallig onderhoud.

De AVG-component

Sinds de invoering van de AVG in 2018 ben je als ondernemer verantwoordelijk voor de bescherming van persoonsgegevens — ook wanneer je die verwerking uitbesteedt aan een softwareleverancier. Een koppeling die klantdata verwerkt zonder adequate beveiliging, is niet alleen een technisch risico. Het is een juridisch risico.

Bij het kiezen van een koppelingsleverancier is het verstandig om te vragen naar een verwerkersovereenkomst, het beveiligingsbeleid en eventuele certificeringen. Een ISO 27001 certificaat geeft je als ondernemer de zekerheid dat de leverancier voldoet aan een internationaal erkende norm — iets dat je bij een AVG-controle kunt overleggen.

Waar je op moet letten bij andere aanbieders

Niet elke koppelingsleverancier investeert in beveiliging op dit niveau. Bij het vergelijken van aanbieders zijn er een paar vragen die je kunt stellen.

Heeft de aanbieder een ISO 27001 certificering of vergelijkbare certificering? Wordt er regelmatig een onafhankelijke pentest uitgevoerd? Hoe wordt data versleuteld — zowel in transit als at rest? Waar worden gegevens opgeslagen, en hoe lang? Is er een verwerkersovereenkomst beschikbaar?

Het ontbreken van antwoorden op deze vragen is op zichzelf al een antwoord.

Maandelijks opzegbaar, je data blijft van jou

Beveiliging gaat ook over controle. Bij iWebDevelopment is de koppeling maandelijks opzegbaar. Er is geen jaarcontract dat je vastlegt, geen vendor lock-in die je dwingt te blijven. En omdat er geen financiele data op eigen servers wordt opgeslagen, hoef je je bij opzegging geen zorgen te maken over wat er met je gegevens gebeurt.

Je data stroomt van je webshop naar Exact Online. Het blijft van jou. Altijd.

Vertrouwen begint bij de keuze voor een veilige koppeling

Een webshopkoppeling met Exact Online moet in de eerste plaats betrouwbaar werken. Maar betrouwbaarheid zonder beveiliging is als een voordeur die altijd openstaat — het werkt, maar je voelt je er niet prettig bij.

ISO 27001 certificering, onafhankelijke pentests, AES-256 encryptie en een officieel Exact Online partnerschap zijn geen verkoopargumenten. Het zijn randvoorwaarden voor een koppeling waar je je klantdata aan toevertrouwt.

Benieuwd hoe een veilige webshop koppeling er in de praktijk uitziet? Plan een demo en ontdek hoe de beveiliging achter de schermen werkt.

Wil je een veilige koppeling? Bekijk onze webshopkoppelingen →