Veilige software laten bouwen begint niet bij een firewall, maar bij de keuzes die je aan het begin van het project maakt. Wie mag wat zien? Waar staan de gegevens? Wat gebeurt er als een wachtwoord uitlekt? Als je die vragen vroeg stelt, is veiligheid geen dure extra, maar een vast onderdeel van het werk.
Je hoeft geen security-expert te zijn om goede afspraken te maken. In dit artikel krijg je de belangrijkste onderwerpen en de vragen die je aan je ontwikkelaar stelt.
Waarom software beveiliging ook voor het mkb telt
Veel ondernemers denken dat hackers alleen grote bedrijven zoeken. In de praktijk gaan veel aanvallen automatisch. Scripts zoeken het hele internet af naar bekende zwakke plekken, ongeacht hoe groot je bedrijf is. Een klein klantportaal met zwakke wachtwoorden is dan net zo interessant als een groot systeem.
Als er persoonsgegevens in je software staan, heb je bovendien te maken met de AVG. Je moet passende maatregelen nemen om die gegevens te beschermen, en een datalek moet je in bepaalde gevallen melden. Voor de precieze regels ga je naar een jurist of kijk je bij de Autoriteit Persoonsgegevens. Een gehackt systeem kost bovendien meer dan geld. Denk aan dagen zonder werkend systeem, klanten die je moet inlichten en vertrouwen dat je moet terugwinnen.
Security by design: veiligheid vanaf de eerste schets
Security by design betekent dat je veiligheid meeneemt in het ontwerp, in plaats van het achteraf toe te voegen. Dat is goedkoper en werkt beter. Concreet betekent het:
- Alleen gegevens vastleggen die je echt nodig hebt. Wat je niet opslaat, kan ook niet uitlekken.
- Elke gebruiker krijgt alleen toegang tot wat bij zijn rol hoort.
- Gevoelige gegevens worden versleuteld opgeslagen en verstuurd.
- Alle invoer van gebruikers wordt gecontroleerd voordat het systeem er iets mee doet.
- Er wordt gelogd wie wat doet, zodat je bij problemen kunt terugzien wat er gebeurde.
Neem deze punten mee in je wensenlijst. Hoe je die opstelt, lees je in functioneel ontwerp opstellen.
Checklist: zo laat je veilige software bouwen
Gebruik deze lijst als gespreksstof met je ontwikkelaar. Bij elk punt hoort een helder antwoord.
- Inloggen: worden wachtwoorden versleuteld (gehasht) opgeslagen? Is tweestapsverificatie mogelijk?
- Rechten: welke rollen zijn er en wie mag wat zien, wijzigen of verwijderen?
- Verbinding: draait alles via https, ook de beheeromgeving?
- Updates: hoe vaak worden het framework en de gebruikte pakketten bijgewerkt?
- Back-ups: hoe vaak, waar bewaard en is terugzetten ooit getest?
- Hosting: waar staan de servers en de gegevens? Binnen de EU?
- Logging en monitoring: krijgt iemand een melding als er iets vreemds gebeurt?
- Toegang van de bouwer: wie heeft na oplevering toegang tot de server en de data?
Krijg je op een vraag een vaag antwoord, vraag dan door. Een goede ontwikkelaar legt het je in gewone taal uit, zonder dat je zelf de techniek hoeft te snappen. Schrijf de afspraken op, zodat je later kunt terugzien wat er is afgesproken.
Inloggen en tweestapsverificatie
Gestolen of zwakke wachtwoorden zijn een van de meest voorkomende oorzaken van problemen. Tweestapsverificatie helpt daar goed tegen. Naast een wachtwoord vraagt het systeem om een code uit een app of sms. Iemand met alleen je wachtwoord komt dan niet binnen.
Zorg ook dat het systeem na een aantal mislukte pogingen tijdelijk blokkeert, en dat een wachtwoord herstellen veilig verloopt. Voor beheerders is tweestapsverificatie eigenlijk een must. Bij klantportalen kun je het aanbieden of verplichten, afhankelijk van hoe gevoelig de gegevens zijn.
Updates, back-ups en hosting
Software is na oplevering niet klaar. Elk systeem gebruikt pakketten van anderen, en daar worden regelmatig lekken in gevonden en gedicht. Zonder updates groeit het risico elke maand. Spreek daarom vooraf af wie de updates doet en hoe vaak. Lees ook wat onderhoud van een webapplicatie kost.
Back-ups zijn je vangnet bij een fout, een hack of een kapotte server. Een goede regel: meerdere kopieën, op een andere plek dan de applicatie zelf, en af en toe testen of terugzetten echt werkt. De keuze voor hosting speelt hier ook mee. Meer daarover in hosting voor een webapplicatie.
Testen op beveiliging: wanneer een pentest?
Een pentest (penetratietest) is een test waarbij een specialist probeert in te breken in je systeem, met jouw toestemming. Je krijgt een rapport met gevonden zwakke plekken. Voor een klein intern systeem is dat vaak niet nodig. Gaat het om veel gevoelige gegevens, betalingen of een groot aantal gebruikers, dan is het verstandig om er een te laten doen voordat je live gaat.
Tussendoor kun je ook veel ondervangen met code reviews, automatische scans van gebruikte pakketten en goede tests. Vraag je ontwikkelaar welke van deze dingen standaard gebeuren.
Veelgemaakte fouten bij software beveiliging
Veel problemen ontstaan niet door slimme hackers, maar door kleine dingen die vergeten worden. Let vooral op deze valkuilen:
- Een gedeeld beheeraccount voor het hele team. Geef iedereen een eigen account, dan zie je wie wat deed en kun je toegang per persoon intrekken.
- Oud-medewerkers die nog kunnen inloggen. Maak het uitschrijven van accounts een vast onderdeel van iemands vertrek.
- Testgegevens met echte klantdata. Gebruik voor testen liever verzonnen gegevens.
- Wachtwoorden en sleutels in e-mails of chatberichten. Gebruik een wachtwoordmanager om ze te delen.
- Geen afspraak over wie verantwoordelijk is na oplevering. Dan doet niemand de updates.
Hoe Violexa veilige webapplicaties bouwt
Bij Violexa nemen we veiligheid mee vanaf de eerste schets. Hisham bespreekt met je welke gegevens echt nodig zijn, welke rollen er zijn en wie wat mag. In de webapplicaties die we bouwen horen versleutelde verbindingen, goed opgeslagen wachtwoorden en duidelijke rechten er standaard bij.
Een webapplicatie op maat begint vanaf €1.799 excl. btw (€2.177 incl. btw) per project. Voor updates en back-ups na oplevering zijn er onderhoudspakketten: Silver €179 (€217 incl. btw), Gold €299 (€362 incl. btw) of Platinum €699 (€846 incl. btw) per maand excl. btw. De eerste 12 maanden vast, daarna maandelijks opzegbaar per e-mail met 1 maand opzegtermijn.
Wil je weten hoe veilig je huidige systeem is, of wil je iets nieuws laten bouwen? Plan een gratis quickscan. In 30 minuten, online of op locatie, bespreken we je situatie. Daarna krijg je kort schriftelijk advies met een prijsindicatie, zonder verplichting.
Veelgestelde vragen
Hoe laat je veilige software bouwen?
Neem veiligheid vanaf het begin mee in je wensenlijst. Spreek af hoe inloggen, rechten, updates, back-ups en hosting geregeld worden. Vraag je ontwikkelaar per onderwerp om een concreet antwoord.
Is tweestapsverificatie nodig voor een klantportaal?
Voor beheerders is het eigenlijk een must. Voor klanten hangt het af van hoe gevoelig de gegevens zijn. Bij financiële of medische gegevens is het verstandig om het te verplichten.
Wat is een pentest en heb ik die nodig?
Bij een pentest probeert een specialist met jouw toestemming in te breken in je systeem. Voor kleine interne tools is dat vaak niet nodig. Bij veel gevoelige gegevens of betalingen is het verstandig.
Wat moet ik doen bij een datalek in mijn software?
Zorg eerst dat het lek gedicht wordt en zoek uit welke gegevens betrokken zijn. Een datalek met persoonsgegevens moet je in bepaalde gevallen melden bij de Autoriteit Persoonsgegevens. Vraag bij twijfel een jurist om advies.
