- SAML 2.0 single sign-on
- Inloggen met Google en Microsoft
- bcrypt-hashing, streng wachtwoordbeleid
- Blokkering per account en per IP
- Overal uitloggen
Mentornity Security Center
De gegevens van je programma, beschermd op elke laag.
Mentornity draait mentoring- en coachingprogramma’s voor bedrijven, universiteiten, accelerators en community’s. Zo beschermen we de mensen die eraan meedoen: waar de gegevens staan, wie erbij kan, hoe ze worden versleuteld, bewaakt en hersteld, en welk beleid achter elke maatregel zit.
- 3beschikbaarheidszones voor de database
- 24/7externe beschikbaarheidsmonitoring
- 30 dagencentrale bewaartermijn voor logs
- 7 dagengeschiedenis van versleutelde snapshots
- AES-256versleuteling van schijven, snapshots en back-ups
- 15gepubliceerde beveiligingsbeleidsstukken
Architectuur
Eén regio, één privénetwerk, in lagen van de rand naar binnen.
Elk verzoek bereikt Mentornity via Cloudflare en een geharde edge-laag die TLS afhandelt. De applicatie en de database staan daarachter in een privénetwerk in Frankfurt, en de database wordt gerepliceerd over drie beschikbaarheidszones.
Defence in depth
Vier lagen, elk op zichzelf sterk.
- NetwerkCloudflare ervoor, een geharde edge-laag en een privé-VPC met security groups die standaard alles weigeren. De database is nooit bereikbaar vanaf internet.
- IdentiteitSAML SSO, inloggen met Google en Microsoft, bcrypt-wachtwoorden met een streng beleid, blokkering na herhaalde mislukte pogingen en intrekken van alle sessies op verzoek.
- ApplicatieAutorisatie op de server bij elk verzoek, scheiding per programma, zichtbaarheid per veld van antwoorden van leden, opgeschoonde opgemaakte tekst en een Content Security Policy op basis van een nonce.
- GegevensVersleutelde schijven, snapshots en back-ups, geheimen in een versleutelde parameteropslag, replicatie over drie zones en logs die nooit wachtwoorden of tokens bevatten.
Weerbaarheid
Een dag bescherming, elke dag.
Gegevens worden doorlopend gerepliceerd, elke nacht weggeschreven naar een back-up buiten de server en elke ochtend vastgelegd in een snapshot, terwijl een externe controle de dienst dag en nacht nakijkt.
0gegevensverlies als één databasenode uitvalt: replicatie neemt automatisch over
≤ 24 uherstelpunt voor een volledig herstel vanuit de nachtelijke back-up
7 dagenversleutelde volumesnapshots van elke server en dataschijf
Maatregelen
Wat er vandaag draait.
Een overzicht van de technische maatregelen in productie. Elke kaart linkt naar het beleid dat de maatregel volledig beschrijft.
- Controle op de server bij elke route
- Gegevensscheiding per programma
- Zichtbaarheid van antwoorden per veld
- Beheerderstoegang op basis van rollen
- Afgebakende API-sleutels met rate limit
- Alleen TLS 1.2 en 1.3, HSTS
- Versleutelde schijven (AES-256)
- Versleutelde snapshots en back-ups
- Geheimen in een versleutelde kluis
- SPF en DKIM op uitgaande mail
- Eigen AWS-VPC in Frankfurt
- Security groups met default-deny
- Geharde toegang tot instance-metadata
- Infrastructure as code
- Automatische blootstellingscontrole bij elke wijziging
- CloudWatch-logs en -alarmen
- Audittrail met AWS CloudTrail
- Externe dead man’s switch-controle
- Controle op verlopen certificaten
- Melding van herstarte containers
- Dagelijkse beveiligingsupdates van het besturingssysteem
- Maandelijks onderhoudsvenster
- govulncheck en pakketaudits
- Ondersteunde runtimes
- Bevindingen tot afsluiting gevolgd met tests
Beleid
Ons beveiligingsbeleid.
15 beleidsstukken beschrijven hoe Mentornity wordt beheerd, van toegangsbeheer en versleuteling tot incidentrespons en herstel. Deel ze met je beveiligingsreview; elke klant kan een verwerkersovereenkomst krijgen.
Governance en privacy
Informatiebeveiligingsbeleid
Het programma als geheel: reikwijdte, principes, rollen en hoe alle andere beleidsstukken op deze site samenhangen.
Lees het beleid →Beleid voor gegevensbescherming en privacy
Waar gegevens staan, wie ze beheert, wat er wordt verzameld en hoe ze worden teruggegeven of verwijderd.
Lees het beleid →Beleid voor leveranciers- en ketenrisicobeheer
Hoe leveranciers worden gekozen en beoordeeld, en de volledige lijst van subverwerkers.
Lees het beleid →Beleid voor AI en gegevensgebruik
Hoe Mentornity AI en de MCP-connector programmagegevens gebruiken, en wat ze er nooit mee doen.
Lees het beleid →Beleid voor verantwoorde melding
Hoe je een kwetsbaarheid meldt, waartoe we ons in ruil verplichten en welke spelregels gelden.
Lees het beleid →Gegevensbescherming
Beleid voor toegangsbeheer
Hoe gebruikers, beheerders, engineers en machines worden geauthenticeerd en waar elk van hen bij kan.
Lees het beleid →Beleid voor versleuteling en sleutelbeheer
Overal TLS, versleutelde schijven, snapshots en back-ups, en geheimen in een beheerde kluis.
Lees het beleid →Beleid voor infrastructuur- en netwerkbeveiliging
Een eigen AWS-netwerk in Frankfurt, één gehard toegangspunt en een database die niemand vanaf internet bereikt.
Lees het beleid →Beheer en weerbaarheid
Beleid voor logbeheer en monitoring
Welke logs er zijn, wat erin staat, hoe lang ze worden bewaard en wie ze in de gaten houdt.
Lees het beleid →Beleid voor kwetsbaarheids- en patchbeheer
Dagelijkse beveiligingsupdates van het besturingssysteem, een maandelijks onderhoudsvenster en scans van afhankelijkheden tot nul bekende problemen.
Lees het beleid →Beleid voor incidentrespons
Van detectie tot melding en evaluatie achteraf: fasen, rollen en termijnen.
Lees het beleid →Beleid voor back-up en herstel
Replicatie over drie beschikbaarheidszones, dagelijkse snapshots, nachtelijke back-ups buiten de server en gedocumenteerde herstelprocedures.
Lees het beleid →Beleid voor bedrijfscontinuïteit
De dienst en het team blijven draaien bij verstoringen door leveranciers, infrastructuur of mensen.
Lees het beleid →Veilige ontwikkeling
Beleid voor veilige ontwikkeling en wijzigingsbeheer
Elke wijziging is een gereviewde pull request die automatische controles doorstaat vóór een automatische, omkeerbare deployment.
Lees het beleid →OWASP Top 10-maatregelen
Hoe het platform elk van de tien meest kritieke beveiligingsrisico’s voor webapplicaties aanpakt.
Lees het beleid →Subverwerkers
Wie verder met de gegevens werkt.
De leveranciers die programmagegevens verwerken, waarvoor en waar. Optionele koppelingen zet de organisatie of de deelnemer zelf aan. Beleid voor leveranciersrisicobeheer
| Leverancier | Doel | Locatie van gegevens |
|---|---|---|
| Amazon Web Services | Hosting, database, bestandsopslag, back-ups, logs, transactionele e-mail (SES) | EU (Frankfurt) |
| Cloudflare | DNS, CDN, DDoS-bescherming, botcontroles op publieke formulieren, routering van inkomende e-mail | Wereldwijd edge-netwerk |
| Stripe | Facturering van abonnementen en kaartbetalingen (alleen factuurcontacten) | EU en VS |
| Optioneel: inloggen met Google, synchronisatie met Google Agenda | Volgens het Google-account van de deelnemer | |
| Microsoft | Optioneel: inloggen met Microsoft, synchronisatie met de Outlook-agenda | Volgens het Microsoft-account van de deelnemer |
| Zoom | Optioneel: links naar Zoom-vergaderingen | Volgens het Zoom-account van de organisatie |
| Anthropic | Optioneel: de AI-assistent van Mentornity, met de eigen API-sleutel van de organisatie | VS |
Vragen over beveiliging, beantwoord
Waar worden de gegevens van Mentornity opgeslagen?
Alle productiegegevens worden opgeslagen en verwerkt in de Europese Unie, in de AWS-regio eu-central-1 in Frankfurt, Duitsland, verdeeld over drie beschikbaarheidszones. Back-ups en logs blijven in dezelfde regio.
Worden de gegevens versleuteld?
Ja. Elke verbinding is alleen HTTPS met TLS 1.2 of 1.3 en HSTS. Serverschijven, databasevolumes, snapshots en back-ups zijn in opslag versleuteld met AES-256, en wachtwoorden worden alleen als bcrypt-hash opgeslagen.
Ondersteunt Mentornity single sign-on?
Ja. Organisaties kunnen SAML 2.0 single sign-on gebruiken met hun eigen identity provider, en deelnemers kunnen ook inloggen met Google of Microsoft.
Voldoet Mentornity aan de AVG?
Mentornity verwerkt programmagegevens als verwerker in opdracht van de klantorganisatie, host ze in de EU en biedt elke klant een verwerkersovereenkomst volgens artikel 28 van de AVG.
Hoe worden de gegevens geback-upt?
De database wordt doorlopend gerepliceerd over drie beschikbaarheidszones, elke nacht geback-upt naar aparte versleutelde opslag, en van elke server en elk datavolume wordt dagelijks een snapshot gemaakt met zeven dagen geschiedenis.
Welke subverwerkers gebruikt Mentornity?
Amazon Web Services voor hosting, opslag en e-mail, Cloudflare voor DNS, CDN en DDoS-bescherming, en Stripe voor facturering. Google, Microsoft, Zoom en Anthropic worden alleen gebruikt als een organisatie of deelnemer die koppeling aanzet.
Traint Mentornity AI op onze gegevens?
Nee. De AI-assistent wordt per programma aangezet, draait op de Claude-modellen van Anthropic via de eigen API-sleutel van de organisatie, en Anthropic traint zijn modellen niet op gegevens die via zijn commerciële API worden verstuurd.
Hoe meld ik een beveiligingsprobleem of vraag ik een beveiligingsvragenlijst aan?
Mail privacy@mentornity.com. Meldingen van kwetsbaarheden bevestigen we binnen drie werkdagen; beveiligingsvragenlijsten en verzoeken om een verwerkersovereenkomst gaan naar hetzelfde adres.
Een kwetsbaarheid gevonden? Antwoorden nodig op je beveiligingsvragenlijst?
We verwelkomen meldingen van onderzoekers en reviews door je beveiligingsteam. We bevestigen elke melding binnen drie werkdagen. Lees het beleid voor verantwoorde melding.
privacy@mentornity.com Beveiligingsmeldingen, vragenlijsten en verzoeken om een verwerkersovereenkomst