Veiligheid

Inleiding

Deze pagina beschrijft de uitgangspunten, maatregelen en beheersprocessen die Loxia AI hanteert voor veiligheid, beveiliging, risicobeheer, gegevensbescherming en informatiebeveiliging. De inhoud is bedoeld als technisch en juridisch kader voor de wijze waarop het platform wordt ontworpen, beheerd en gecontroleerd. Daarbij staat centraal dat beveiliging niet uitsluitend wordt benaderd als een technische functie, maar als een samenhangend stelsel van technische maatregelen, organisatorische maatregelen en continue beheersing van operationele risico’s.

Binnen een SaaS-omgeving voor B2B-gebruik, waaronder premium retail, e-commerce, logistiek en zakelijke dienstverlening in Nederland en de Benelux, is platformveiligheid afhankelijk van meerdere niveaus van controle. Dit betreft onder meer toegangscontrole, netwerkbeveiliging, systeembeveiliging, logging, monitoring, incidentbeheer en het zorgvuldig scheiden van gegevensstromen. De inrichting van deze maatregelen is erop gericht om vertrouwelijkheid, integriteit en beschikbaarheid van gegevens en diensten te waarborgen.

Beveiligingskader en risicobeheer

Loxia AI hanteert een risicogebaseerde benadering voor beveiliging. Dit betekent dat beveiligingsmaatregelen worden afgestemd op de aard van de verwerkingen, de gevoeligheid van de gegevens, de kans op misbruik en de potentiële gevolgen voor betrokkenen en klanten. Binnen dit kader worden risico’s periodiek geïdentificeerd, beoordeeld en geprioriteerd, zodat maatregelen proportioneel zijn en aansluiten op actuele dreigingen zoals ongeautoriseerde toegang, misconfiguraties, gegevenslekken, tokenmisbruik en verstoring van dienstverlening.

Risicobeheer omvat onder meer het beheer van technische kwetsbaarheden, het beoordelen van wijzigingen in infrastructuur en applicaties, en het vastleggen van controlemaatregelen voor kritieke componenten. In een omgeving waarin API’s, integraties en geautomatiseerde workflows worden gebruikt, is het bijzonder relevant om afhankelijkheden te monitoren en wijzigingen gecontroleerd door te voeren. Dit geldt ook voor omgevingen waar gegevens uit verschillende bronnen samenkomen, zoals CRM-systemen, ticketingplatforms of zakelijke communicatiemiddelen.

Het beveiligingskader is verder gebaseerd op het principe van minimale noodzakelijkheid. Slechts de gegevens, processen en rechten die nodig zijn voor een bepaald doel worden geactiveerd of toegekend. Hierdoor wordt de impact van fouten of incidenten beperkt en wordt het algemene niveau van dataveiligheid verhoogd. Dit uitgangspunt geldt zowel voor interne beheerprocessen als voor de configuratie van klantomgevingen.

Toegangscontrole en identiteitsbeheer

Toegangscontrole vormt een kernonderdeel van informatiebeveiliging. Loxia AI past rollen- en rechtenbeheer toe om te waarborgen dat alleen bevoegde personen toegang hebben tot specifieke functies, omgevingen en gegevens. Administratieve toegang wordt beperkt tot geautoriseerde medewerkers en beheerders, waarbij privileges worden toegekend op basis van taakverantwoordelijkheid en operationele noodzaak. Toegang wordt niet standaard breed verstrekt, maar expliciet vastgesteld en periodiek geëvalueerd.

Identiteitsbeheer omvat maatregelen zoals sterke authenticatie, beheer van sessies, beperking van ongebruikte accounts en controle op escalatie van bevoegdheden. Waar passend worden aanvullende verificatiemethoden toegepast voor gevoelige handelingen, bijvoorbeeld bij wijziging van beveiligingsinstellingen, export van gegevens of beheer van integraties. In een B2B-context, bijvoorbeeld voor premium retailorganisaties in Amsterdam of logistieke partijen in Nederland, is dit essentieel om interne scheiding van functies te ondersteunen en fouten door onbevoegde handelingen te beperken.

Ook externe toegang wordt gecontroleerd. Leveranciers, tijdelijke beheerders en andere derde partijen krijgen uitsluitend toegang wanneer dit noodzakelijk is en onder voorwaarden die zijn vastgelegd in contractuele en operationele beheersafspraken. Toegang wordt geregistreerd en kan worden ingetrokken zodra de noodzaak vervalt. Dit draagt bij aan naleving van compliance-eisen en ondersteunt aantoonbare beveiligingsgovernance.

Gegevensbescherming en privacy

Gegevensbescherming is een integraal onderdeel van de beveiligingsarchitectuur. Loxia AI verwerkt uitsluitend gegevens binnen de kaders van de toepasselijke wet- en regelgeving, waaronder de Algemene verordening gegevensbescherming (AVG/GDPR). Daarbij wordt rekening gehouden met beginselen als doelbinding, gegevensminimalisatie, juistheid, opslagbeperking en vertrouwelijkheid. Deze beginselen bepalen hoe gegevens worden verzameld, opgeslagen, geraadpleegd, overgedragen en verwijderd.

Privacybescherming wordt gerealiseerd door technische en organisatorische maatregelen die het risico op onbedoelde openbaarmaking of onrechtmatige verwerking beperken. Denk hierbij aan beperkte autorisatie, versleutelde overdracht, segmentatie van gegevensomgevingen en gecontroleerde bewaartermijnen. In omgevingen waarin bijvoorbeeld klantinteracties, contactgegevens of operationele metadata worden verwerkt, wordt erop toegezien dat gegevens uitsluitend toegankelijk zijn voor geautoriseerde verwerking en dat toegang aantoonbaar kan worden verantwoord.

Daarnaast wordt rekening gehouden met het beginsel van privacy by design en privacy by default. Dit betekent dat bij ontwerp en configuratie van processen en systemen standaardinstellingen worden gekozen die de minste hoeveelheid gegevens blootstellen. Waar relevant worden gegevens geanonimiseerd, gepseudonimiseerd of logisch afgeschermd om de impact van incidenten te verminderen en de naleving van privacyverplichtingen te ondersteunen.

Technische maatregelen voor systeembeveiliging

Systeembeveiliging omvat een combinatie van infrastructuurbeveiliging, applicatiebeveiliging en operationele controlemechanismen. Loxia AI gebruikt technische maatregelen die zijn gericht op het beperken van ongeautoriseerde toegang, het detecteren van afwijkingen en het verminderen van de gevolgen van technische storingen. Hieronder vallen onder meer encryptie tijdens transport, beveiligde configuraties, isolatie van componenten, beperkte netwerktoegang en mechanismen voor integriteitscontrole.

Daarnaast worden logregistratie en monitoring toegepast om relevante gebeurtenissen inzichtelijk te maken. Denk aan authenticatiepogingen, toegangswijzigingen, configuratieaanpassingen en foutmeldingen in kritieke systemen. Deze gegevens ondersteunen detectie van verdachte patronen en maken het mogelijk om incidenten sneller te analyseren. Voor een SaaS-platform in een omgeving met hoge operationele eisen, zoals logistieke ketens of premium handelsomgevingen, is tijdige detectie van afwijkingen noodzakelijk om verstoring en gegevensverlies te beperken.

Patch- en wijzigingsbeheer maken eveneens deel uit van de systeembeveiliging. Kritieke updates worden beoordeeld en waar nodig binnen een gecontroleerd proces uitgerold. Configuratiewijzigingen worden zo ingericht dat de kans op ongewenste effecten wordt beperkt. Dit geldt ook voor afhankelijkheden van softwarecomponenten van derden, waarbij beveiligingsrelevante updates en kwetsbaarheden actief worden gevolgd.

Organisatorische maatregelen en interne beheersing

Naast technische maatregelen zijn organisatorische maatregelen essentieel voor effectieve beveiliging. Loxia AI hanteert interne procedures voor taakverdeling, autorisatie, wijzigingsbeheer, incidentafhandeling en evaluatie van beveiligingsmaatregelen. Deze procedures zijn bedoeld om menselijke fouten te beperken, verantwoordelijkheden helder te beleggen en controleerbaarheid te vergroten. In een bedrijfsomgeving waarin meerdere teams, leveranciers of externe integraties betrokken zijn, voorkomt een duidelijke governance-structuur dat beveiligingsmaatregelen versnipperd worden toegepast.

Medewerkers en beheerders krijgen instructies die aansluiten op hun rol en toegangsniveau. Dit omvat onder meer richtlijnen voor het omgaan met vertrouwelijke gegevens, het herkennen van verdachte activiteiten en het escaleren van beveiligingsincidenten. Opleiding en periodieke bewustwording zijn belangrijke onderdelen van informatiebeveiliging, omdat technische controles alleen effectief zijn wanneer gebruikers en beheerders de onderliggende processen correct toepassen.

Verder worden wijzigingen aan systemen, integraties en beveiligingsinstellingen uitsluitend via gecontroleerde procedures doorgevoerd. Dit ondersteunt traceerbaarheid en maakt achteraf vast te stellen wie welke handeling heeft uitgevoerd, op welk moment en met welk doel. Daarmee wordt niet alleen de operationele veiligheid versterkt, maar ook de onderbouwing van compliance richting klanten en toezichthouders.

Incidentbeheer en continuïteit

Incidentbeheer is ingericht om beveiligingsincidenten snel te identificeren, te classificeren, te beperken en op te lossen. Een incident kan variëren van een beperkte ongeautoriseerde toegangspoging tot een materiële verstoring van beschikbaarheid of integriteit van data. Het doel van incidentbeheer is om schade te beperken, herhaling te voorkomen en lessen structureel te verwerken in verbetermaatregelen.

Wanneer een incident wordt vastgesteld, worden de relevante systemen, accounts of processen waar nodig tijdelijk beperkt of geïsoleerd. Vervolgens wordt onderzoek uitgevoerd naar oorzaak, impact en omvang. De uitkomsten worden gebruikt om technische aanpassingen, aanvullende controles of procedurele verbeteringen door te voeren. Deze aanpak sluit aan bij een volwassen benadering van platformveiligheid, waarin incidenten niet alleen reactief worden afgehandeld, maar ook worden ingezet als bron voor structurele risicoreductie.

Beschikbaarheid en continuïteit maken onderdeel uit van deze benadering. Back-up- en herstelprocessen worden zo ingericht dat essentiële data en configuraties kunnen worden hersteld binnen een redelijke termijn, afhankelijk van de aard van de dienst en de toepasselijke serviceafspraken. Daarbij wordt aandacht besteed aan de betrouwbaarheid van herstelprocedures en de afstemming tussen technische herstelmogelijkheden en operationele prioriteiten.

Compliance, controle en verbetering

Compliance is voor Loxia AI geen afzonderlijke laag naast beveiliging, maar een geïntegreerd onderdeel van governance en dataveiligheid. Beveiligingsmaatregelen worden afgestemd op toepasselijke wettelijke en contractuele verplichtingen, waaronder de AVG/GDPR en relevante vereisten rond gegevensverwerking, bewaarbeperkingen en beveiliging van verwerking. Waar klanten aanvullende eisen stellen, bijvoorbeeld vanuit sectorale normen of interne auditkaders, wordt beoordeeld hoe deze binnen de bestaande beveiligingsarchitectuur kunnen worden ondersteund.

Controlemechanismen bestaan onder meer uit periodieke evaluatie van toegangsrechten, beoordeling van logging en monitoring, documentatie van wijzigingen en interne toetsing van kritieke processen. Op die manier wordt niet alleen vastgesteld of maatregelen bestaan, maar ook of zij daadwerkelijk functioneren zoals bedoeld. Deze vorm van controle is essentieel voor betrouwbare informatiebeveiliging in een omgeving waar meerdere partijen afhankelijk zijn van de beschikbaarheid en integriteit van het platform.

Verbetering is een doorlopend proces. Beveiligingsmaatregelen worden aangepast aan nieuwe dreigingen, technologische ontwikkelingen en gewijzigde operationele vereisten. Door beveiliging, privacy en risicobeheer structureel te koppelen aan beheerprocessen, wordt gewerkt aan een consistent niveau van bescherming dat past bij professionele B2B-omgevingen in Nederland en de Benelux.

Verantwoordelijkheden en contact in beveiligingszaken

De verantwoordelijkheid voor beveiliging ligt niet uitsluitend bij één functie of afdeling, maar is verdeeld over technische, operationele en bestuurlijke rollen. Beheerders, ontwikkelteams en verantwoordelijke functionarissen dragen ieder bij aan naleving van beveiligingsvereisten en aan de uitvoering van maatregelen die betrekking hebben op systeembeveiliging, toegangscontrole en gegevensbescherming. Deze verdeling waarborgt dat veiligheid structureel wordt meegenomen in ontwerp, beheer en evaluatie.

Wanneer er vragen zijn over beveiliging, incidenten of de verwerking van gegevens in relatie tot beveiligingsmaatregelen, worden deze afgehandeld via de daarvoor aangewezen interne processen. Daarbij geldt dat onderzoeken zorgvuldig, feitelijk en traceerbaar worden uitgevoerd. Dit ondersteunt zowel transparantie richting klanten als de naleving van wettelijke verplichtingen op het gebied van privacy en compliance.