Beveiligingsarchitectuur
Defense-in-depth over identiteit, toegang, netwerk en detectie — elke controle draait in productie.
Laatst bijgewerkt 12 controlesKwetsbaarheden security@thequantumclub.com
De controles
12 controles in 3 groepen
Bij elke controle staan de frameworks waaraan ze bijdraagt, volgens onze eigen indeling. Hoe elk framework ervoor staat, leest u op de pagina Compliance.
Identiteit & toegang
4 controlesPasskey-first-authenticatie
WebAuthn met gebruikersverificatie; phishingbestendig vanuit het ontwerp.
SCIM 2.0-provisioning
RFC 7644 directory-gestuurde joiner/mover/leaver met volledig auditspoor.
Gegevensbescherming
4 controlesVersleuteling in rust
Database, opslag en back-ups versleuteld in rust (AES-256).
Row-Level Security
Postgres RLS afgedwongen over 100+ tabellen — tenant-isolatie op databaseniveau.
Detectie & veerkracht
4 controlesAtomaire rate limiting
Auth-bewuste, fail-closed limiter (per account + per IP) op elk authenticatie-eindpunt.
Ondersteunt SOC 2
Anomaliedetectie
Continue scan (elke 5 min) op credential-stuffing-, spraying-, snelheids- en overnamepatronen — vandaag al met alerting.
Ondersteunt SOC 2
Accountherstel
PBKDF2-gehashte herstelcodes; vijf herstelpaden met anti-enumeratiegaranties.
Ondersteunt SOC 2
Continuïteit
Veerkracht & continuïteit
Beschikbaarheid, back-ups, incidentrespons en datalekmelding.
Beschikbaarheid wordt in realtime gepubliceerd op status.thequantumclub.com, inclusief componentstatus en historische uptime.
- Hersteldoelstellingen
- We hanteren gedefinieerde hersteltijd- en herstelpuntdoelstellingen (RTO / RPO) per servicelaag. De specifieke doelstellingen en ons bedrijfscontinuïteitsplan zijn op aanvraag onder NDA beschikbaar.
- Back-ups
- Klantgegevens worden volgens een terugkerend schema geback-upt, met versleuteling in rust. Back-ups erven de Europese residentie en worden periodiek getest op herstelbaarheid om te verifiëren dat ze daadwerkelijk herstelbaar zijn en niet enkel weggeschreven.
- Incidentrespons
- We voeren een gedocumenteerd incidentresponsproces uit (detectie, triage, indamming, eliminatie, herstel en evaluatie achteraf) met escalatie op basis van ernst. Beveiligingsrelevante gebeurtenissen worden vastgelegd in een append-only auditstroom.
- Datalekmelding
- We stellen getroffen klanten en, waar vereist, de bevoegde toezichthoudende autoriteit binnen 72 uur na ontdekking van een inbreuk in verband met persoonsgegevens op de hoogte, conform GDPR art. 33–34.
Onderzoekers
Kwetsbaarheden melden
Hoe u een beveiligingsprobleem meldt, en wat u van ons mag verwachten.
Een beveiligingsprobleem gevonden? Mail security@thequantumclub.com — ook gepubliceerd in onze security.txt (RFC 9116). Ons beleid voor gecoördineerde melding beschrijft reikwijdte en termijnen: meldingsbeleid.
We hanteren verantwoorde melding en houden u op de hoogte tijdens het herstel. Raadpleeg geen gegevens die niet van u zijn en gun ons redelijke tijd om het op te lossen voordat u publiceert.
Vrijwaring. We ondernemen geen juridische stappen tegen, en doen geen melding bij autoriteiten van, onderzoekers die te goeder trouw en in overeenstemming met dit beleid handelen — binnen de reikwijdte blijven, privacyschendingen en serviceverstoring vermijden, en geen gegevens onttrekken buiten het minimum dat nodig is om een bevinding aan te tonen. Twijfelt u of uw test is toegestaan, vraag het ons dan eerst via security@thequantumclub.com.
Uit de FAQ beveiligingsreview
Vragen over beveiliging
- Hoe melden we een kwetsbaarheid?
- Mail ons securityteam of gebruik het contact in onze security.txt. Ons beleid voor gecoördineerde melding beschrijft de reikwijdte en wat u kunt verwachten.
- Ondersteunt u auditlogging en SIEM-export?
- Beveiligingsrelevante gebeurtenissen worden vandaag al vastgelegd in een append-only auditstroom. Een selfservice SIEM-/logexportintegratie staat op onze roadmap; tot die tijd kunnen we auditgegevens op verzoek leveren voor enterprise-klanten.
- Kunnen we onze eigen beveiligingsreview uitvoeren of een vragenlijst sturen?
- Ja. We publiceren een vooraf beantwoorde CAIQ-Lite-beveiligingsvragenlijst op dit Trust Center (en als machineleesbare JSON) die de meeste inkoopvragen vooraf beantwoordt. Heeft u een specifieke vragenlijst nodig (SIG, uw eigen sjabloon), neem dan contact op met ons trust-team en wij regelen het.