Kinsta heeft altijd hard gewerkt om de veiligheid van ons hostingplatform en de websites van onze klanten te waarborgen. Of het nu gaat om het beschermen van accountgegevens, het bieden van tools om externe DDoS-aanvallen te voorkomen, het detecteren en opschonen van malware of het waarschuwen van website-eigenaren voor kwetsbaarheden in WordPress plugins, informatiebeveiliging is een van onze sterke punten.

Maar hostingbedrijven kunnen dat gemakkelijk beweren. Het bewijzen is de uitdaging.

De beste manier om zulke beweringen te bewijzen is om informatiebeveiligingspraktijken en -beleid te ontwikkelen die voldoen aan algemeen erkende normen en vervolgens de naleving van deze normen te laten bevestigen door onafhankelijke experts.

Dat is hoe Kinsta in 2023 voor het eerst voldeed aan de criteria voor System and Organization Controls 2 (SOC 2) vertrouwensdiensten, ontwikkeld door de Association of International Certified Professional Accountants (AICPA).

Vervolgens ontvingen we in augustus 2024, na een volledig jaar SOC 2-controle, certificering voor gegevensbeveiliging en privacycontroles die zijn gespecificeerd door de International Standards Organization (ISO) en de International Electrotechnical Commission (IEC).

Dit artikel gaat over Kinsta’s ISO/IEC certificering onder de norm ISO 27001 en twee van de uitbreidingen, ISO 27017 en ISO 27018.

Wat is ISO 27001?

Erik Van Dijk, hoofd IT van Kinsta, leidde het project om de ISO 27001 certificering te behalen en geeft aan dat het “de gouden standaard” is voor naleving van beveiligingsstandaarden.

ISO 27001 specificeert de controles die nodig zijn om de vertrouwelijkheid, integriteit en beschikbaarheid van informatie in een organisatie te waarborgen. Dit betekent het volgende:

• Vertrouwelijkheid – Ervoor zorgen dat alleen bevoegde personen toegang hebben tot informatie.
• Integriteit – Ervoor zorgen dat alleen bevoegde personen informatie kunnen wijzigen.
• Beschikbaarheid – Ervoor zorgen dat informatie toegankelijk is voor bevoegde personen wanneer dat nodig is.

Volgens Van Dijk definieert ISO 27001 de eisen voor de verschillende onderdelen van een Information Security Management System (ISMS). Maar dat systeem bestaat niet alleen uit hardware en software. Naast dergelijke technologische controles omvat het ISMS organisatorische, mensgerelateerde en fysieke controles:

• Organisatorische controles – Het definiëren van regels die gevolgd moeten worden en het gedrag dat verwacht wordt van gebruikers, apparatuur, software en systemen.
• Mensgerelateerde controles – Het verschaffen van kennis, opleiding, vaardigheden of ervaring aan mensen in de organisatie zodat ze hun werk veilig kunnen uitvoeren.
• Fysieke controles – Voorzieningen zoals toegangskaarten voor datacenters, bewakingscamera’s en sensoren voor inbraakdetectie.

Wat zijn ISO 27017 en 27018?

Van Dijk zei dat ISO 27017 en 27018 certificeerbare uitbreidingen zijn op ISO 27001 en bijzonder relevant zijn voor Kinsta omdat ze beide van toepassing zijn op cloud computing-omgevingen.

ISO 27017 schrijft beveiligingscontroles en implementatierichtlijnen voor cloud computing-omgevingen voor. Deze controles zijn van toepassing op taken zoals:

• Behandeling van klantactiva na beëindiging van het contract.
• Scheiding van virtuele omgevingen van klanten.
• Monitoring door de klant van activiteiten in een cloud computing-omgeving.

ISO 27018 richt zich op de bescherming van persoonlijk identificeerbare informatie in cloudomgevingen. Deze controles richten zich op zaken als:

• Transparantie in het rapporteren van de geografische locatie van de opslag van klantgegevens.
• Beperkingen op het gebruik van klantgegevens zonder toestemming.
• Veilige methoden voor het retourneren, overdragen en veilig verwijderen van persoonlijke gegevens.