Veiligheid bij maatwerksoftware:van ontwerp tot beheer

Begin met risico’s en gegevens

Breng in kaart welke gegevens de applicatie verwerkt, wie toegang nodig heeft en wat de gevolgen zijn van uitval, verlies of ongewenste inzage. Een intern planbord vraagt andere maatregelen dan software met klant-, betaal- of gezondheidsgegevens.

Beperk verzameling en bewaartermijnen tot wat het proces nodig heeft. Leg vast welke systemen gegevens aanleveren, waar back-ups staan en wie verantwoordelijk is voor verwijdering. Dit vormt de basis voor technische en organisatorische maatregelen.

Toegang en rechten

Gebruik persoonlijke accounts, sterke authenticatie en rollen met zo min mogelijk rechten. Beheerdersrechten horen niet bij dagelijks gebruik. Voor gevoelige functies kan tweefactorauthenticatie passend zijn. Trek toegang direct in wanneer iemand uit dienst gaat of van rol verandert.

Controleer ook toegang van koppelingen en leveranciers. API-sleutels moeten apart worden opgeslagen, beperkt zijn tot noodzakelijke functies en periodiek worden vernieuwd. Log beheeracties zodat onderzoek mogelijk is wanneer iets misgaat.

Veilig ontwikkelen en testen

Valideer invoer, bescherm sessies en versleutel verkeer. Gebruik actuele frameworks en bibliotheken en beoordeel afhankelijkheden op bekende kwetsbaarheden. Code review en geautomatiseerde controles helpen fouten vroeg te vinden; voor risicovolle functies kan aanvullend beveiligingsonderzoek nodig zijn.

Test niet alleen of functies werken, maar ook of gebruikers gegevens van anderen kunnen zien, rechten kunnen omzeilen of onbedoeld grote hoeveelheden data kunnen opvragen. Gebruik in testomgevingen geen productiegegevens tenzij dit noodzakelijk en goed beschermd is.

Beheer na livegang

Na oplevering blijven updates, monitoring, back-ups en hersteltests nodig. Spreek af wie meldingen beoordeelt, binnen welke termijn kritieke updates worden uitgevoerd en hoe een incident wordt afgehandeld. Een back-up is pas waardevol wanneer terugzetten regelmatig is getest.

Wet- en regelgeving hangt af van sector, gegevens en toepassing. Technische maatregelen ondersteunen compliance, maar vormen geen automatische garantie. Betrek bij specifieke verplichtingen tijdig een privacy- of juridisch specialist.