Databeveiliging
Databeveiliging bij mTrip
Databeveiliging bij mTrip omvat hosting op Amazon Web Services, beheerde toegang, encryptie, back-ups, kaartbetalingen en het verwijderen van data. Een onafhankelijk bedrijf test het platform en de reisapps minstens één keer per jaar, en mTrip evalueert zijn beveiligingsbeleid minstens één keer per jaar.
Cyber Essentials-gecertificeerd
Geldig tot 30 oktober 2027. Bekijk het certificaat
Trust Center
Klanten: je vindt onze beveiligingsdocumenten in het Trust Center
Het mTrip Trust Center is er voor klanten van mTrip. Je vindt er het beleid en de beveiligingsdocumenten van mTrip. Begin daar als je een leveranciersbeoordeling uitvoert.
Certificering
Cyber Essentials-gecertificeerd
mTrip Inc heeft het Cyber Essentials-certificaat, een door de Britse overheid gesteunde regeling voor bescherming tegen de meest voorkomende cyberaanvallen. Het IASME Consortium certificeerde mTrip op 30 oktober 2026 en het certificaat is geldig tot 30 oktober 2027. Het geldt voor de hele organisatie. Dit niveau van Cyber Essentials is gebaseerd op zelfbeoordeling.
De kern
Databeveiliging in vier punten
Gehost op AWS, zonder toegang van medewerkers tot servers
Europese klanten worden gehost in Frankfurt, met geüploade bestanden in Londen. Andere klanten worden gehost in Noord-Virginia. Medewerkers van mTrip hebben geen fysieke toegang tot de infrastructuur.
Versleuteld tijdens verzending en bij opslag
Verkeer verloopt via TLS 1.2 of hoger. Databases, bestandsopslag en back-ups zijn versleuteld met AES-256 en de applicatie versleutelt daarnaast de meest gevoelige reizigersgegevens.
Dagelijkse back-ups, herstel jaarlijks getest
Van productiedatabases wordt dagelijks een back-up gemaakt, met point-in-time recovery over 7 dagen. Back-ups worden gekopieerd naar een tweede AWS-regio en zijn beveiligd tegen verwijdering.
Elk jaar getest door een onafhankelijk bedrijf
Een onafhankelijk bedrijf test het platform en de reisapps minstens één keer per jaar, en mTrip evalueert zijn beveiligingsbeleid minstens één keer per jaar.
Defence in depth
Beschermingslagen, van de buitenste laag tot de back-up
Infrastructuur
Databeveiliging: hosting en back-ups
Hosting
Gehost op Amazon Web Services
AWS · Frankfurt · Londen · Noord-Virginia
- Het mTrip-platform draait op Amazon Web Services (AWS).
- Europese klanten worden gehost in Frankfurt (Duitsland). Hun geüploade bestanden staan in Londen (Verenigd Koninkrijk).
- Andere klanten worden gehost in Noord-Virginia (Verenigde Staten).
- AWS beschikt over de certificeringen SOC 1, SOC 2, SOC 3, ISO 27001 en PCI DSS (zie AWS-compliance).
- Die certificeringen zijn van AWS. Medewerkers van mTrip hebben geen fysieke toegang tot de infrastructuur.
Back-ups
Dagelijkse versleutelde back-ups, elk jaar getest
Dagelijks · 7 dagen herstel · Tweede AWS-regio
- mTrip maakt dagelijks een back-up van de productiedatabases, met point-in-time recovery over de afgelopen 7 dagen.
- mTrip versleutelt de back-ups, kopieert ze naar een tweede AWS-regio en beschermt ze tegen verwijdering.
- Minstens één keer per jaar test mTrip een herstel.
Toegang
Toegang, inloggen en versleuteling
Toegang
Beheerde toegang en monitoring
SSO · MFA · Web application firewall
- Toegang tot productie verloopt via single sign-on met meervoudige authenticatie. mTrip legt elke beheeractie vast in een logboek.
- Openbaar verkeer loopt via een web application firewall met rate limiting en regels tegen veelvoorkomende aanvallen.
- Dreigingsdetectie draait continu op het productieaccount.
Inloggen
Inloggen voor beheerders en wachtwoorden
bcrypt · Rate limiting · Blokkade na 5 pogingen
- Beheerders van het mTrip-webplatform loggen in met een eenmalige code die per e-mail wordt verstuurd, of via de eigen single sign-on van de klant. mTrip hasht wachtwoorden met bcrypt, past rate limiting toe op inlogpogingen en blokkeert een account na 5 mislukte pogingen.
Versleuteling
Versleuteling tijdens verzending en in opslag
TLS 1.2+ · AES-256 · Op veldniveau
- Verkeer naar het mTrip-webplatform en de bijbehorende API’s gebruikt TLS 1.2 of hoger. mTrip versleutelt databases, bestandsopslag en back-ups in opslag met AES-256.
- De applicatie versleutelt ook de gevoeligste velden van reizigers, zoals e-mailadres, telefoonnummer, geboortedatum en boekingsreferenties.
Mensen
Medewerkers, apparaten en toegangscontroles
Medewerkers
Bewustzijn en vertrouwelijkheid van medewerkers
Ondertekend beleid
- Medewerkers ondertekenen het cybersecuritybeleid van mTrip.
- Het beleid gaat over vertrouwelijke gegevens, klantgegevens, persoonlijke apparaten, veilig e-mailgebruik, wachtwoorden en gegevensoverdracht.
- Iedereen met toegang tot de systemen van mTrip volgt het, ook leveranciers en partners. Overtredingen leiden tot disciplinaire maatregelen.
Apparaten
Apparaatbeveiliging
macOS-firewall · Malwarebescherming · Vergrendeling na 15 minuten
- De medewerkers van mTrip werken op Mac-laptops.
- De macOS-firewall staat aan, de ingebouwde malwarebescherming van Apple (XProtect en Gatekeeper) staat aan en elk apparaat vergrendelt met een wachtwoord na maximaal 15 minuten inactiviteit.
Toegangsbeheer
Rolgebaseerde toegang en toegangscontroles
Minimale rechten · Controle elke 6 maanden · Beheerders tweemaal per jaar gecontroleerd
- mTrip verleent toegang volgens het principe van minimale rechten.
- IT en de leidinggevende van de aanvrager keuren elke toegangsaanvraag goed. Elk account is persoonlijk en heeft eigen inloggegevens.
- Toegang wordt ingetrokken zodra iemand vertrekt. mTrip controleert de toegang ten minste elke zes maanden.
- Beheerdersaccounts worden tweemaal per jaar gecontroleerd. Beheerders gebruiken een apart account voor beheertaken.
- Multifactorauthenticatie is verplicht voor alle gebruikers van de clouddiensten van mTrip (Google Workspace, AWS, Asana en Pipedrive).
Zekerheid
Testen, releases en incidentafhandeling
Zekerheid
Onafhankelijke tests en beleidsevaluaties
Onafhankelijk bedrijf · Ten minste jaarlijks
- Een onafhankelijk bedrijf test het platform en de reisapps ten minste eenmaal per jaar. mTrip evalueert zijn beveiligingsbeleid ten minste eenmaal per jaar.
Releasebeveiliging
Kwetsbaarheidsanalyses vóór een release
OWASP Testing Guide · OWASP Top Ten
- Het beveiligingsbeleid van mTrip voor webapplicaties vereist een beveiligingsanalyse op basis van de OWASP Testing Guide voordat een nieuwe of grote release live gaat.
- Kleinere releases krijgen minimaal een geautomatiseerde scan op de risico’s uit de OWASP Top Ten. mTrip lost bevindingen met een hoog risico direct op of beperkt de blootstelling vóór de release, en plant bevindingen met een gemiddeld risico in.
Wijzigingsbeheer
Veilige ontwikkeling en wijzigingsbeheer
Wijzigingscontrole · Terraform · CI/CD
- Wijzigingen doorlopen een gedocumenteerd wijzigingsproces en versiebeheer. mTrip beschrijft zijn infrastructuur als code met Terraform. De applicatie draait in containers die mTrip bij elke release opnieuw bouwt en uitrolt via een CI/CD-pipeline.
Incidentafhandeling
Incidentafhandeling en hoe je een incident meldt
Incidentteam · Schriftelijke procedure
- mTrip heeft een schriftelijke procedure voor incidentbeheer en incidentafhandeling, met een eigen incidentteam.
- De procedure omvat melden, indammen, bewijs verzamelen, herstel en een evaluatie achteraf.
- Vermoed je een beveiligingsincident? Meld het dan per e-mail aan [email protected].
- Je bericht waarschuwt het supportteam en is de eerste registratie van het incident.
- Heeft een incident gevolgen voor klanten, dan informeert mTrip hen.
Gegevens
Continuïteit, verwijdering en kaartbetalingen
Continuïteit
Bedrijfscontinuïteit en disaster recovery
Continuïteitsplan · Herstelplan
- mTrip heeft een bedrijfscontinuïteitsplan en een disaster recovery-plan.
- Alle medewerkers werken op afstand, dus een verhuizing van kantoor is niet nodig. De kritieke systemen van mTrip draaien in de cloud.
Gegevensverwijdering
Gegevens verwijderen na afloop van een contract
Offboardingprocedure
- Als een contract eindigt, verwijdert mTrip de gegevens van de klant volgens de offboardingprocedure voor klanten.
Kaartbetalingen
Kaartbetalingen blijven bij een PCI DSS-provider
PCI Booking · Conferma · Alleen token
- Kaartnummers worden rechtstreeks ingevoerd in het beveiligde kaartformulier van PCI Booking, een PCI DSS-gecertificeerde provider. mTrip bewaart alleen een token en een afgeschermd kaartnummer (de eerste zes en laatste vier cijfers).
- mTrip slaat nooit volledige kaartnummers of beveiligingscodes op.
- Virtuele kaarten die via Conferma worden uitgegeven, kunnen in de app aan reizigers worden getoond.
- Conferma levert de kaartafbeeldingen aan en mTrip slaat geen kaartgegevens op.
Vragen van securityteams
Veelgestelde vragen
Hosting en certificering
Wat doet mTrip voor databeveiliging?
mTrip host het platform op Amazon Web Services, versleutelt dataverkeer en opgeslagen gegevens, beheert en logt beheerderstoegang, maakt dagelijks back-ups van de productiedatabases en laat creditcardnummers bij een PCI DSS-gecertificeerde aanbieder. Een onafhankelijk bedrijf test het platform en de reisapps minstens één keer per jaar.
Waar host mTrip klantgegevens?
Op Amazon Web Services. Europese klanten worden gehost in Frankfurt (Duitsland), met geüploade bestanden in Londen (Verenigd Koninkrijk). Andere klanten worden gehost in Noord-Virginia (Verenigde Staten).
Welke certificeringen zijn van toepassing?
mTrip Inc heeft het Cyber Essentials-certificaat, op 30 oktober 2026 afgegeven door het IASME Consortium en geldig tot 30 oktober 2027. Het geldt voor de hele organisatie (zelfbeoordeling). AWS beschikt over SOC 1-, SOC 2-, SOC 3-, ISO 27001- en PCI DSS-certificeringen voor de infrastructuur waarop mTrip draait. PCI Booking, een PCI DSS-gecertificeerde aanbieder, verwerkt creditcardnummers. In het Trust Center vinden klanten van mTrip het beleid en de beveiligingsdocumenten van mTrip.
Gegevensbescherming
Zijn gegevens versleuteld?
Ja. Dataverkeer naar het platform en de bijbehorende API’s gebruikt TLS 1.2 of hoger. mTrip versleutelt databases, bestandsopslag en back-ups bij opslag met AES-256. Daarnaast versleutelt de applicatie e-mailadres, telefoonnummer, geboortedatum en boekingsreferenties.
Slaat mTrip creditcardnummers op?
Nee. Creditcardnummers worden rechtstreeks ingevoerd in het beveiligde kaartformulier van PCI Booking, een PCI DSS-gecertificeerde aanbieder. mTrip bewaart alleen een token en een gemaskeerd kaartnummer en slaat nooit volledige kaartnummers of beveiligingscodes op.
Hoe vaak worden er back-ups gemaakt en wordt het terugzetten getest?
mTrip maakt dagelijks back-ups van de productiedatabases, met point-in-time recovery over de afgelopen 7 dagen. Back-ups zijn versleuteld, worden gekopieerd naar een tweede AWS-regio en zijn beveiligd tegen verwijdering. mTrip test minstens één keer per jaar een herstel.
Wat gebeurt er met onze gegevens als het contract eindigt?
mTrip verwijdert de gegevens van de klant volgens de eigen offboardingprocedure voor klanten.
Toegang, testen en incidentrespons
Hoe loggen beheerders in op het mTrip-webplatform?
Met een eenmalige code die per e-mail wordt verstuurd, of via de eigen single sign-on van de klant. mTrip blokkeert een account na 5 mislukte inlogpogingen.
Wordt mTrip door een onafhankelijk bedrijf getest?
Ja. Een onafhankelijk bedrijf test het platform en de reisapps minstens één keer per jaar. mTrip evalueert het beveiligingsbeleid eveneens minstens één keer per jaar.
Hoe meld ik een beveiligingsincident bij mTrip?
Stuur een e-mail naar [email protected]. Het bericht waarschuwt het supportteam en vormt de eerste registratie van het incident.
Heeft mTrip een incidentresponsplan en een disaster recovery-plan?
Ja. mTrip heeft een schriftelijke procedure voor incidentbeheer en incidentrespons met een incidentresponsteam, en daarnaast een bedrijfscontinuïteitsplan en een disaster recovery-plan.
Bekijk de details en spreek daarna met het team
Het Trust Center is bedoeld voor klanten van mTrip en bevat het beleid en de beveiligingsdocumenten van mTrip. Heb je andere vragen, stel ze dan tijdens een demo. Lees ook het privacybeleid.