We nemen de beveiliging en betrouwbaarheid van je gegevens serieus.
Aangedreven door Amazon Web Services
Elke dag vertrouwen duizenden bedrijven op Nutshell om belangrijke informatie veilig en betrouwbaar op te slaan. We werken samen met Amazon Web Services (AWS), de meest vertrouwde infrastructuurprovider in de branche, om uw gegevens op te slaan en te beveiligen. 
Geleverde beveiligingsdiensten
-
Log4j / Log4Shell update
Ons team is op de hoogte van de recente kwetsbaarheid in het logsysteem Log4j van Java. NutshellOnze infrastructuur is minimaal blootgesteld aan Java en toen we van de kwetsbaarheid hoorden, hebben we onze systemen gecontroleerd. We hebben geen enkel systeem geïdentificeerd dat een aangetaste versie van Log4j draait, inclusief onze Solr- en Jenkins-infrastructuur.
We blijven onze systemen controleren om de veiligheid van uw gegevens te waarborgen en we zullen beveiligingslijsten in de sector blijven volgen voor kwesties als deze.
-
Altijd versleuteld
We gebruiken 256-bits TLS 1.2 versleuteling van bankniveau telkens wanneer je toegang krijgt tot je Nutshell account, of dit nu via het web of onze mobiele applicaties is. Uw gegevens worden in rust versleuteld in onze databases.
-
Continue back-ups
Alle gegevens worden onmiddellijk gerepliceerd naar meerdere servers. We maken ook tweemaal daagse, wekelijkse en maandelijkse snapshots. Bewakingsservices van derden roepen ons team onmiddellijk op bij problemen. Bekijk live beschikbaarheidsupdates op status.nutshell.com.
-
Beschermde financiële gegevens
We gebruiken een PCI-compliant provider om je factuurgegevens veilig op te slaan. Creditcardgegevens worden niet op onze servers opgeslagen.
-
Beveiligde wachtwoorden
Wachtwoorden worden eenzijdig versleuteld en zijn niet toegankelijk voor Nutshell medewerkers.
-
Geslaagde CASA beoordeling
We hebben met succes een CASA-beoordeling (Cloud Application Security Assessment) afgerond voor onze webapplicatie, waarmee we valideren dat we voldoen aan de beveiligingseisen die zijn opgesteld door de App Defense Alliance (ADA).
De vereisten omvatten afstemming op toonaangevende beveiligingsraamwerken en een gebrek aan bevindingen die verband houden met algemene opsommingen van zwakke punten (CWE's) met een hoog of gemiddeld exploitatierisico.
En hier zijn de details voor de beveiligingsprofessionals:
Netwerkbeveiliging
Ons technische team heeft ervaring met het veilig en duurzaam beheren van petabytes aan gegevens. We nemen de volgende stappen om uw gegevens veilig te houden in rusttoestand en wanneer ze door netwerken gaan.
- Firewalls, VPN's, moderne Linux-besturingssystemen, conservatieve netwerk- en beveiligingsgroepconfiguratie
- Encryptie in rust
- VPN's om de toegang van werknemers te beveiligen en alle gegevens te versleutelen die via internetverbindingen worden verzonden
- Nutshell Wachtwoorden zijn gezouten en eenrichtingsgehasht. Onze medewerkers kunnen uw wachtwoord niet inzien
- Inlogpagina's zijn beschermd tegen brute-force aanvallen
- We volgen beveiligingslijsten uit de branche en patchen onmiddellijk kritieke problemen (we hebben Heartbleed binnen enkele uren gepatcht)
- We gebruiken een multi-tenant gegevensopslagarchitectuur. Klantgegevens worden per account in afzonderlijke silo's opgeslagen om uw gegevens te isoleren en te beschermen.
Operationele veiligheid
Ons ondersteuningsteam werkt intern met ons Ann Arbor engineeringteam. We hebben alleen toegang tot je account met jouw toestemming om problemen op te lossen. Medewerkers zullen nooit naar je Nutshell wachtwoord vragen.
- Alle personeelscomputers werken met volledige schijfversleuteling en sterke wachtwoorden
- We beperken de blootstelling van ons interne netwerk aan Windows
- Elke Nutshell werknemer ontvangt een exemplaar van 1Password op hun eerste dag.
- Kantoren zijn beveiligd met individuele sleutelkaarttoegang
Financiële zekerheid
Uw creditcard- en factuurgegevens worden veilig opgeslagen. Onze factureringsprovider is PCI-compliant en wordt apart van de Nutshell applicatiesystemen beheerd.
Wachtwoorden
Nutshell maakt gebruik van one-way hashing om een representatie van uw wachtwoord veilig op te slaan. We kunnen een wachtwoord niet achterhalen - u moet onze tool voor vergeten wachtwoorden gebruiken in combinatie met uw e-mailadres om uw wachtwoord te achterhalen. Het is uw verantwoordelijkheid om uw e-mailadres Nutshell up-to-date te houden.
Het is uw verantwoordelijkheid om veilige wachtwoorden te kiezen en deze veilig te bewaren. Nutshell kan niet verantwoordelijk worden gehouden voor gegevens die gecompromitteerd zijn als gevolg van een onveilig of gestolen gebruikerswachtwoord. Als u zich aanmeldt bij Nutshell via een derde partij (bijv. Google Apps), moeten deze wachtwoorden ook beveiligd zijn.
Verantwoordelijke openbaarmaking
Als u een beveiligingsonderzoeker bent of als u denkt dat u een probleem bent tegengekomen in de beveiliging van Nutshell, lees dan de volgende opmerkingen.
Nutshell biedt geen bug bounty-programma om te betalen voor meldingen.
Meld eventuele beveiligingsproblemen aan security@nutshell.com. Als u een versleuteld bericht wilt verzenden, kunt u dit vinden op Keybase.
We vragen je om ons een redelijke hoeveelheid tijd te geven om te reageren op rapporten voordat je informatie openbaar maakt.
Voer geen beveiligingsonderzoek uit dat kan leiden tot de vernietiging van gegevens, onderbreking of verslechtering van de service. Dit omvat ook het gebruik van geautomatiseerde tools of scanners: deze kunnen ertoe leiden dat uw IP-adres wordt geblokkeerd.
We accepteren geen rapporten met verantwoorde informatie over de volgende onderwerpen:
- Iframe / UI herstel problemen gerelateerd aan X-Frame-Options headers
- HSTS-implementatie
- Wachtwoordsterkte door gebruiker
- SPF, DKIM en DMARC configuratieproblemen
- Problemen met opsomming van gebruikers (we gebruiken snelheidsbeperking om onze gebruikers te beschermen)
- Aanwezigheid van banner- of versie-informatie
Erkenningen
We hebben van veel personen en organisaties informatie ontvangen om Nutshell veiliger te maken. U kunt ze hier lezen.
