Beveiliging bij Cal.com
Gecertificeerd voor ISO 27001, SOC 2 Type II, HIPAA, GDPR en CCPA, met de documenten om dat aan te tonen.
Compliance
Krijg toegang tot compliancedocumenten, certificeringen en gegevensbeschermingsovereenkomsten
Zo houden we dat zo
Als bedrijf dat ISO 27001-, SOC 2 Type II-, CCPA-, GDPR- en HIPAA-certificeringen heeft behaald, begrijpen we hoe belangrijk informatiebeveiliging is in het digitale landschap van vandaag. De toenemende frequentie en verfijning van cyberaanvallen benadrukken dat bedrijven beveiliging prioriteit moeten geven om hun gegevens te beschermen en het vertrouwen van hun klanten te waarborgen. Door beveiligingsmaatregelen en best practices volgens de industrienorm te implementeren, tonen we onze vaste inzet voor de bescherming van gevoelige informatie en het behoud van de integriteit van onze activiteiten. We zijn trots op de strenge beveiligingsprotocollen die we hebben ingevoerd en zetten ons in om de hoogste beveiligingsstandaarden te blijven hanteren.
Hoe hebben we dit bereikt?
Als organisatie begrijpen we hoe belangrijk het is om compliant te blijven met beveiligingspraktijken en -standaarden. Daarom gebruiken we platforms voor beveiligings- en compliance-automatisering om ervoor te zorgen dat we continu compliant blijven en de relevante beveiligingsprotocollen naleven.
We hebben een centraal platform dat de beoordeling en monitoring van verschillende beveiligingscontroles en -procedures automatiseert. Door te integreren met onze bestaande systemen en tools geven onze platforms ons een compleet beeld van onze beveiligingshouding, signaleren ze mogelijke problemen en zorgen ze ervoor dat we altijd up-to-date zijn met de nieuwste beveiligingsprotocollen en industrienormen. Dit geeft ons het vertrouwen dat we de best practices in de sector volgen en dat we onze klanten en stakeholders een veilige omgeving bieden.
Wat gebeurt er als iets niet meer compliant is?
Als iets niet meer compliant zou zijn, zou ons compliance-automatiseringsplatform het probleem detecteren en ons direct waarschuwen. Zo kunnen we snel actie ondernemen om het probleem op te lossen en weer compliant te worden. Door zo’n compliance-automatiseringsplatform te gebruiken, houden we grip op onze complianceverplichtingen en kunnen we proactief stappen zetten om compliant te blijven met de relevante beveiligingspraktijken en -standaarden. Dit geeft ons het vertrouwen dat we onze klanten en stakeholders een veilige omgeving bieden en helpt ons onze reputatie als betrouwbare en te vertrouwen organisatie te behouden.
Procedures en controles
Veilig beleid en procedures
Schriftelijk informatiebeveiligingsbeleid en schriftelijke procedures zorgen ervoor dat het bedrijf gedocumenteerde en geteste controles heeft om klantgegevens te beschermen en effectief op beveiligingsincidenten te reageren.
Kwetsbaarheids- en penetratietests
Regelmatige kwetsbaarheids- en penetratietests helpen mogelijke beveiligingszwakheden te vinden en aan te pakken voordat aanvallers ze kunnen misbruiken. Cal.com ondergaat jaarlijks een externe penetratietest van onze webapplicatie door een derde partij om eventuele beveiligingskwetsbaarheden te vinden. Zo kunnen we deze problemen intern aankaarten en direct verhelpen. Er wordt een officieel rapport voor Cal.com opgesteld waarin staat dat de gevonden problemen inmiddels zijn opgelost. We voeren ook regelmatig interne penetratietests uit. Daarnaast gebruiken we geautomatiseerde kwetsbaarheidsscans in onze code en de afhankelijkheden daarvan.
Gegevensversleuteling
Versleuteling van gevoelige gegevens helpt ervoor te zorgen dat de gegevens niet door onbevoegden kunnen worden geopend of gelezen. Doordat onze database versleuteld is, kunnen klanten ons product met een gerust gevoel gebruiken, omdat gegevens tijdens overdracht en in opslag worden beschermd.
Multi-factorauthenticatie
Multi-factorauthenticatie helpt onbevoegde toegang tot de systemen van het bedrijf te voorkomen, wat klantgegevens kan beschermen tegen diefstal of manipulatie.
Veilige ontwikkelcyclus
Multi-factorauthenticatie helpt onbevoegde toegang tot de systemen van het bedrijf te voorkomen, wat klantgegevens kan beschermen tegen diefstal of manipulatie. Alle wijzigingen in onze codebase zijn beschermd met branch protection. Dat betekent dat een codewijziging, voordat die naar productie kan worden gepusht, moet zijn goedgekeurd door een andere engineer en bovendien een aantal geautomatiseerde tests moet doorstaan die controleren op beveiligingsproblemen die door de code of de afhankelijkheden daarvan zijn geïntroduceerd, evenals end-to-endtests en meer. Zo kunnen kwaadwillenden binnen of buiten Cal.com geen schadelijke code pushen dankzij ons veilige reviewproces.
Monitoring
Doorlopende monitoring van systeemtoegangslogs en netwerkverkeer helpt mogelijke beveiligingsincidenten te detecteren en erop te reageren, waardoor de kans kleiner wordt dat klantgegevens worden gecompromitteerd.
Training en bewustwording van medewerkers
Regelmatige trainingen en bewustwordingsprogramma’s voor medewerkers helpen ervoor te zorgen dat zij klantgegevens veilig kunnen verwerken, waardoor de kans op menselijke fouten of opzettelijke datalekken kleiner wordt. We maken er een prioriteit van dat alle nieuwe medewerkers dit meteen afronden en dat alle bestaande medewerkers dit jaarlijks afronden.
Toegangscontroles en achtergrondchecks
Toegangscontroles en achtergrondchecks voor medewerkers, externe leveranciers en serviceproviders helpen ervoor te zorgen dat ze betrouwbaar zijn en klantgegevens veilig kunnen verwerken. Achtergrondchecks worden uitgevoerd voor alle nieuwe medewerkers die het bedrijf mogelijk aanneemt, zodat Cal.com vertrouwen kan opbouwen in de medewerker die we willen aannemen. Daarnaast is het belangrijk voor compliance om alleen toegang te geven tot applicaties die voor specifieke werkzaamheden nodig zijn. Elk kwartaal controleren we applicatietoegang en toegangsniveaus voor alle medewerkers om ervoor te zorgen dat ze alleen toegang hebben tot applicaties die nodig zijn om hun functie uit te voeren.
Audits en beoordelingen door derden
Regelmatige audits en beoordelingen door derden geven een onafhankelijke validatie van de effectiviteit van de informatiebeveiligingscontroles en -procedures van het bedrijf, zodat klanten erop kunnen vertrouwen dat hun gegevens veilig worden verwerkt.
Intrusiedetectie
Cal.com gebruikt intrusiedetectiesystemen om onze systemen continu te monitoren op mogelijke bedreigingen die op elk moment kunnen optreden. Als we in een vroeg stadium weten dat een bedreiging kritiek kan zijn, kunnen we snel en efficiënt handelen om te voorkomen dat bedreigingen op korte of lange termijn problemen veroorzaken.
Melding van kwetsbaarheden
Bij Cal.com zien we de beveiliging van onze systemen als een topprioriteit. Maar hoeveel moeite we ook steken in systeembeveiliging, er kunnen nog steeds kwetsbaarheden aanwezig zijn.
Als je een kwetsbaarheid ontdekt, horen we dat graag, zodat we zo snel mogelijk stappen kunnen zetten om die aan te pakken. We willen je vragen ons te helpen onze klanten en onze systemen beter te beschermen.
Kwetsbaarheden buiten scope:
- Clickjacking.
- Cross-Site Request Forgery (CSRF)
- Aanvallen waarvoor MITM of fysieke toegang tot het apparaat van een gebruiker nodig is.
- Elke activiteit die kan leiden tot verstoring van onze service (DoS).
- Content spoofing en text injection zonder aanvalsvector te tonen of zonder HTML/CSS te kunnen aanpassen.
- SPF Email spoofing
- Ontbrekende DNSSEC-, CAA- of CSP-headers
- Ontbreken van de Secure- of HTTP only-vlag op niet-gevoelige cookies
- Dode links
- Alles wat te maken heeft met DNS- of e-mailbeveiliging
- Rate limiting
- XSS (Cross-Site Scripting)
Let op: Cal.com behoudt zich het recht voor om elke gemelde kwetsbaarheid als buiten scope aan te merken.
Wat je wel en niet moet doen
- Voer geen geautomatiseerde scanners uit op onze infrastructuur of ons dashboard. Als je dit wilt doen, neem dan contact met ons op en we zetten een sandbox voor je klaar.
- Maak geen misbruik van de kwetsbaarheid of het probleem dat je hebt ontdekt, bijvoorbeeld door meer gegevens te downloaden dan nodig is om de kwetsbaarheid aan te tonen of door gegevens van anderen te verwijderen of te wijzigen,
- Maak het probleem niet bekend aan anderen totdat het is opgelost,
- Gebruik geen aanvallen op fysieke beveiliging, social engineering, distributed denial of service, spam of applicaties van derden, en
Een kwetsbaarheid melden
Je kunt kwetsbaarheden hier melden: https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report
Binnen scope: Cal.com QA-omgeving
Alleen de onderstaande targets zijn toegestaan voor beveiligingstests: (bewerkt)
| Target | URL | Type |
|---|---|---|
| Cal.com QA | https://app.cal.qa/ | Websitetesten |
| Cal.com QA API | https://api.cal.qa/ | API-testen |
Je mag indien nodig meerdere testaccounts aanmaken en gebruiken binnen de QA-omgeving, zolang je alleen accounts en testgegevens gebruikt die jij beheert.
Zodra we je melding hebben ontvangen, kan het even duren voordat we reageren terwijl ons team het probleem beoordeelt.
Geef voldoende informatie om het probleem te reproduceren, zodat we het zo snel mogelijk kunnen oplossen. Meestal zijn het IP-adres of de URL van het getroffen systeem en een beschrijving van de kwetsbaarheid voldoende, maar complexe kwetsbaarheden kunnen extra uitleg vereisen.
- Als je de bovenstaande instructies hebt gevolgd, ondernemen we geen juridische stappen tegen je naar aanleiding van de melding
- We behandelen je melding strikt vertrouwelijk en geven je persoonsgegevens niet zonder jouw toestemming door aan derden
- We houden je op de hoogte van de voortgang bij het oplossen van het probleem
- In de openbare informatie over het gemelde probleem vermelden we je naam als de ontdekker van het probleem (tenzij je anders wilt)
- We streven ernaar alle problemen zo snel mogelijk op te lossen en willen graag een actieve rol spelen in de uiteindelijke publicatie over het probleem nadat het is opgelost.