Beveiliging

Dierdossiers, behandellogboeken en vrachthistorieken zijn bedrijfskritische data. Deze pagina beschrijft hoe Mule de systemen beschermt die het bouwt en beheert. Klanten ontvangen de volledige maatregelen in hun verwerkersovereenkomst en kunnen op elk moment beveiligingsvragen stellen.

1. Uitgangspunten

• Uw data, onder uw regels. Klantsystemen worden gehost in de EU of de VS, naar keuze van de klant. Het Mule Portal draait in de EU (Frankfurt) op één gedeelde database, waarbij elke lees- en schrijfactie in de applicatie beperkt is tot de organisatie van de klant.
• Minimale rechten. Medewerkers en gebruikers krijgen alleen de toegang die hun rol vereist. Rechten worden bij elk verzoek op de server gecontroleerd, niet alleen in de interface.
• Dossiers die u kunt aantonen. Belangrijke dossiers zoals vrachten, behandelingen en handtekeningen kunnen alleen worden aangevuld (append-only), met apparaattijd en servertijd, zodat wijzigingen een spoor achterlaten.

2. Toegang

• Meervoudige authenticatie voor elk account van medewerkers van Mule en voor de eigenaars en facturatieverantwoordelijken van klanten in het Portal.
• Toegang tot productie wordt gelogd en binnen 1 werkdag na een rolwijziging ingetrokken.
• Geen gedeelde accounts.

3. Gegevensbescherming

• TLS 1.2 of hoger voor al het verkeer; versleuteling in rust door onze hosting- en databaseleveranciers.
• Geheimen in een beheerde opslag, nooit in code of chat.
• Dagelijkse versleutelde back-ups, met een herstel dat minstens elke 6 maanden wordt getest.
• Veldapps die offline werken, houden een lokale versleutelde wachtrij bij en synchroniseren zodra er weer bereik is.

4. Software bouwen

• Codereview bij elke wijziging, scans op afhankelijkheden en geheimen, gescheiden staging- en productieomgevingen.
• Geen ongemaskeerde persoonsgegevens uit productie in de ontwikkelomgeving.
• Beveiligingsupdates voor frameworks en afhankelijkheden worden maandelijks toegepast, en kritieke patches zo snel als praktisch mogelijk, binnen elke vaste maandelijkse vergoeding.

5. Website

• Strikte beveiligingsheaders, waaronder een Content Security Policy, HSTS en framebescherming.
• Geen optioneel script van derden wordt geladen vóór toestemming.

6. Incidenten

Mule heeft een schriftelijk incidentresponsplan. Klanten worden zonder onredelijke vertraging, en binnen 48 uur nadat Mule ervan op de hoogte is, geïnformeerd over een inbreuk in verband met persoonsgegevens die hun data treft.

7. Certificeringen

Mule beschikt momenteel niet over een ISO 27001- of SOC 2-certificering. We publiceren een certificering hier pas zodra die is toegekend.

8. Een kwetsbaarheid melden

Zie Kwetsbaarheden melden en ons security.txt.