Beveiliging en privacy

Een eigen installatie per MSP

• Elke MSP krijgt een eigen Thothm op een eigen subdomein: geen gedeelde database met andere klanten.
• Per installatie een eigen systeemgebruiker en eigen PHP-processen, zodat de ene installatie de bestanden van de andere niet kan lezen.
• Een eigen database met een eigen databasegebruiker, en een eigen gebruiker voor de wachtrij die alleen bij zijn eigen gegevens kan.
• Eigen sleutels per installatie: zowel de sleutel van de applicatie als de sleutel waarmee wachtwoorden versleuteld worden.

Versleuteling

• Wachtwoorden en TOTP-sleutels in de kluis zijn versleuteld met AES-256-GCM, met een sleutel die alleen je eigen installatie kent.
• Alle verkeer loopt over HTTPS (TLS 1.2 of 1.3) met HSTS; elk subdomein heeft een eigen certificaat.
• Back-ups zijn versleuteld voordat ze de server verlaten.

Aanmelden en toegang

• Tweestapsverificatie met een authenticator-app en herstelcodes; je kunt ze verplichten voor alle gebruikers.
• Aanmelden via Microsoft Entra ID of een andere OpenID Connect-provider.
• Rollen met rechten per organisatie: een technicus ziet alleen de klanten en soorten items waar hij recht op heeft.
• Een wachtwoord tonen of kopiëren vraagt je eigen wachtwoord opnieuw (hoogstens elk kwartier), en wordt gelogd.

Wie deed wat

• Een auditlog met elke wijziging, elke aanmelding en elk geopend wachtwoord.
• Bij het vertrek van een medewerker zie je welke wachtwoorden hij opende, en vraag je met één klik om ze te wijzigen.

Hosting in de EU

• De servers staan in Frankrijk, bij OVH. De gegevens in je installatie verlaten de EU niet.
• Mail gaat via een eigen mailserver in de EU.
• Geen trackers, geen advertentienetwerken, geen externe lettertypen of scripts: alles komt van onze eigen servers.
• Integraties zoals Microsoft 365, UniFi en NinjaOne stel je zelf in; Thothm haalt dan gegevens op bij jouw eigen accounts.

Servers en back-ups

• Beveiligingsupdates worden automatisch geïnstalleerd; de firewall laat alleen web- en beheerverkeer door.
• Het beheerportaal van het platform is alleen bereikbaar via een VPN, met tweestapsverificatie; op de servers kan je alleen aanmelden met een SSH-sleutel, niet met een wachtwoord.
• Elke nacht een versleutelde back-up naar aparte opslag in België, 7 dagen, 4 weken en 6 maanden lang bewaard. Het terugzetten wordt getest.

Jouw gegevens blijven van jou

• Je exporteert alles wanneer je wil: per klant leesbaar (CSV, Markdown, bijlagen), elke tabel als JSON, en de wachtwoorden als CSV die Bitwarden en Vaultwarden importeren, in een versleuteld zip-bestand.
• Na opzegging wissen we je installatie. Een laatste kopie bewaren we nog 30 dagen voor het geval je terugkomt; in de back-ups verdwijnt ze na uiterlijk 6 maanden.
• We verwerken je gegevens alleen in jouw opdracht, volgens de verwerkersovereenkomst.

Certificaten

Thothm heeft nog geen ISO 27001-certificaat; dat staat op de planning. Tot dan beschrijven we hier eerlijk wat we doen. We hebben een eerste zelfevaluatie gedaan volgens het CyberFundamentals-raamwerk (niveau Basic) van het Centrum voor Cybersecurity België, dat ook voor NIS2 gebruikt wordt, en werken de punten die nog ontbreken af. Betalingen lopen via Mollie, dat zelf PCI DSS-gecertificeerd is: Thothm ziet of bewaart geen kaartgegevens.