Maatwerksoftware beveiligen: waar let je op?

Oudere bedrijfssoftware is vaak gebouwd in een tijd dat beveiliging minder aandacht kreeg. Iedereen logt in met hetzelfde account, wachtwoorden staan in een gedeeld bestand en niemand kan achterhalen wie een gegeven heeft gewijzigd. Zolang het systeem op een interne server draaide, leek dat geen probleem. Maar wie nu wil maatwerksoftware beveiligen, merkt dat de eisen van klanten, verzekeraars en de AVG flink zijn gestegen.

Een nabouw is het ideale moment om dat goed te regelen. Bij slim software nabouwen bouw je je bestaande systeem opnieuw op moderne techniek. De werkwijze blijft herkenbaar, maar de beveiliging kan in een keer op het niveau van nu.

Waarom moet je maatwerksoftware beveiligen tijdens de nabouw?

Je beveiligt tijdens de nabouw omdat beveiliging achteraf toevoegen veel lastiger is dan haar vanaf het begin meenemen. Rechten, logging en versleuteling raken de opbouw van de database en de applicatie. Als die vanaf de eerste dag goed zijn ingericht, hoeft er later niets omgebouwd te worden.

Bovendien is dit het moment waarop je toch al het hele systeem doorloopt. Je ziet welke gegevens er zijn, wie ze gebruikt en waarvoor. Dat is precies de informatie die je nodig hebt om beveiliging zinvol in te richten.

Hoe richt je rollen en rechten goed in?

Je richt rollen en rechten in door per groep gebruikers vast te leggen wat ze mogen zien en doen, en niet meer dan dat. In veel oude systemen heeft iedereen overal toegang. In een nieuw systeem kun je dat fijnmazig regelen.

• Bepaal rollen op basis van functies, zoals planner, verkoper, administratie of beheerder.
• Geef per rol rechten op schermen, acties en gegevens.
• Beperk toegang tot gevoelige gegevens, zoals salarissen, medische gegevens of marges.
• Leg vast wie rollen mag toekennen en wijzigen.

Moderne backends zoals Supabase en Xano ondersteunen dit op het niveau van de database. In Supabase gebeurt dat bijvoorbeeld met regels per rij, zodat een gebruiker technisch alleen de gegevens kan opvragen waar hij recht op heeft. Meer over die keuze lees je in Supabase of Xano.

Rechten vanuit het oude systeem

Bij slim software nabouwen is het bestaande systeem de specificatie, ook voor rechten. Vaak zijn er informele afspraken over wie wat mag, die nergens technisch zijn vastgelegd. Tijdens de analyse maken we die afspraken expliciet en leggen we ze vast in het nieuwe systeem. Gebruikers houden zo de toegang die ze nodig hebben, maar zien niet langer gegevens die niet bij hun werk horen.

Wat levert single sign-on op?

Single sign-on laat medewerkers inloggen met hun bestaande werkaccount, zodat er geen apart wachtwoord nodig is voor het nieuwe systeem. Dat is gebruiksvriendelijker en veiliger. Wanneer iemand uit dienst gaat, wordt het werkaccount geblokkeerd en vervalt automatisch ook de toegang tot de applicatie.

Veel organisaties gebruiken hiervoor hun Microsoft- of Google-account. Daarbij kun je ook tweestapsverificatie afdwingen. Lees meer over de koppeling in software koppelen aan Microsoft 365.

Waarom is logging en activiteitengeschiedenis belangrijk?

Logging is belangrijk omdat je daarmee kunt achterhalen wie wat wanneer heeft gedaan. Dat helpt bij het oplossen van fouten, bij interne controle en bij een mogelijk beveiligingsincident.

Wat leg je vast?

• inloggen en mislukte inlogpogingen;
• wijzigingen in belangrijke gegevens, met de oude en nieuwe waarde;
• het verwijderen van gegevens;
• wijzigingen in rollen en rechten;
• exports van grote hoeveelheden data.

Een activiteitengeschiedenis per record maakt dit ook zichtbaar voor gebruikers. Zo ziet een medewerker bij een order wie de levertijd heeft aangepast en wanneer.

Hoe zit het met versleuteling en back-ups?

Versleuteling zorgt dat gegevens onleesbaar zijn voor wie er geen toegang toe hoort te hebben, en back-ups zorgen dat je gegevens kunt herstellen. Beide horen standaard bij een modern systeem.

• Versleuteling onderweg: alle verkeer tussen gebruiker en server loopt via een beveiligde verbinding.
• Versleuteling in opslag: de database en bestanden worden versleuteld opgeslagen.
• Back-ups: automatisch, gescheiden opgeslagen en regelmatig getest op herstel.

Hoe back-ups en monitoring in het dagelijks beheer passen, lees je in onderhoud van maatwerksoftware.

Wat betekent de AVG voor je nieuwe systeem?

De AVG betekent dat je alleen persoonsgegevens verwerkt die je nodig hebt, ze goed beveiligt en kunt laten zien hoe je dat doet. Software nabouwen biedt ook de kans om oude data op te schonen. Gegevens die jarenlang zijn bewaard zonder reden, hoeven niet mee naar het nieuwe systeem.

Denk ook aan bewaartermijnen, het kunnen inzien en verwijderen van gegevens op verzoek, en een verwerkersovereenkomst met partijen die gegevens voor je verwerken. Bij het migreren van data naar nieuwe software nemen we dit direct mee.

Werk je in een sector met extra eisen, zoals de zorg, dan zijn bewaartermijnen en toegangsrechten vaak strenger. Dat nemen we in de analyse mee.

Kies je voor hosting in de cloud of on-premise?

De keuze tussen cloud en on-premise hangt af van eisen rond beheer, locatie van data en de bestaande IT-omgeving. Beide kunnen veilig zijn, als ze goed worden ingericht en onderhouden.

Cloudhosting bij een gevestigde aanbieder biedt automatische updates, schaalbaarheid en back-ups. Je kunt vaak kiezen voor opslag binnen de EU. On-premise geeft volledige controle over de locatie, maar betekent ook dat je zelf verantwoordelijk bent voor servers, updates en fysieke beveiliging. Supabase is bijvoorbeeld zowel als dienst als op eigen servers in te zetten, wat bij strenge eisen ruimte geeft.

Wat vraag je aan een softwarepartner over beveiliging?

Je vraagt een softwarepartner vooral hoe beveiliging concreet is ingericht, en niet alleen of het geregeld is. Nuttige vragen zijn:

• Hoe zijn rollen en rechten technisch afgedwongen?
• Wordt er gelogd en hoe lang worden logs bewaard?
• Waar staat de data en hoe is die versleuteld?
• Hoe vaak worden back-ups gemaakt en getest?
• Hoe snel worden beveiligingsupdates doorgevoerd?
• Krijgen wij toegang tot code, data en documentatie?

Code en data zijn bij ons altijd van de klant, zodat je zelf zicht houdt op je beveiliging. Op onze pagina over onderhoud en beveiliging lees je hoe we dit aanpakken. Wil je jouw systeem veilig vernieuwen? Neem contact met ons op.