Hosting en infrastructuur
Het Pulse platform draait op gehardende Linux-instances bij Hetzner Online GmbH, in datacenters in Falkenstein (Duitsland) en Amsterdam (Nederland). Alle componenten zijn dubbel uitgevoerd over zones, met automatische failover op applicatie- en databaselaag. We gebruiken geen Amerikaanse cloudproviders voor klantcontent.
Netwerkverkeer loopt via een EU-CDN voor statische assets. Inkomend productieverkeer passeert een Web Application Firewall met OWASP Core Rule Set en rate limiting. Beheer-toegang is alleen mogelijk via een hardened bastion met kortlevende certificaten.
Encryptie
- In transit: TLS 1.2 of hoger, met TLS 1.3 als voorkeur. HSTS aan met preload op pulsecomply.com en alle product-subdomeinen.
- At rest: AES-256 disk-encryptie op databases, object storage en back-ups.
- Secrets: centraal beheerd in HashiCorp Vault met audit logging; geen secrets in code of in CI-variabelen.
- Sleutelbeheer: rotatie volgens fixed schedule, sleutelbron gescheiden van data-omgevingen.
Toegangsbeheer
Toegang tot productiesystemen is voorbehouden aan een klein team van geautoriseerde engineers. We werken volgens least-privilege en need-to-know.
- SSO en MFA verplicht voor alle medewerkers en sub-processors die productie raken.
- Beheerhandelingen worden gelogd, gecorreleerd en zijn herleidbaar tot een individu.
- Bij wijziging van rol of uitdiensttreding worden toegangsrechten binnen 24 uur ingetrokken.
- Klanten beheren binnen Pulse zelf rollen, organisatie-eenheden en bewijslast-eigenaarschap.
Monitoring en logging
Productieomgevingen worden 24/7 gemonitord met geautomatiseerde alarmering. Beveiligingsrelevante events worden gecentraliseerd in onze SIEM, met retentie van minimaal 12 maanden. Anomalie-detectie en geautomatiseerde regels signaleren patronen die wijzen op misbruik of onbedoelde fouten.
Back-up en continuiteit
- Versleutelde back-ups van klantcontent, dagelijks volledig en met point-in-time recovery binnen het bewaarvenster.
- Back-up retentie standaard 35 dagen, langere retentie mogelijk op contractbasis.
- Disaster recovery doelen: RPO 24 uur, RTO 8 uur voor productieomgevingen, jaarlijks getest.
- Business Continuity Plan met scenario-oefeningen voor onbeschikbaarheid van infrastructuur, key personnel en sub-processors.
Secure development en vulnerability management
We volgen een Secure Software Development Lifecycle met code review, dependency scanning, static analysis en automated secret scanning op elke pull request. Productie-deployments doorlopen een vier-ogen review en automated tests.
- Continue scanning van containers en afhankelijkheden op bekende CVE's.
- Patching SLA: kritieke kwetsbaarheden binnen 7 dagen, hoge binnen 30, gemiddelde binnen 90 dagen.
- Regelmatige onafhankelijke penetration test op de productieomgeving, met opvolging van bevindingen vastgelegd in onze risk register.
- Bug bounty via responsible disclosure (zie hieronder).
Sub-processors
Een actuele lijst van sub-processors voor klantcontent verstrekken wij als bijlage bij de verwerkersovereenkomst en leveren wij op verzoek aan bestaande klanten. De belangrijkste partijen die de werking van Pulse mogelijk maken:
| Partij | Functie | Locatie |
|---|---|---|
| Hetzner Online GmbH | Productiehosting | NL en DE |
| Microsoft 365 | E-mail en kantoorautomatisering | EU (West-Europa) |
| GitHub, Inc. | Broncode-hosting marketing site en CMS-content | EU/VS (Data Privacy Framework) |
Responsible disclosure
Heb je een security-probleem gevonden? Meld het bij info@pulsecomply.com. We bevestigen ontvangst binnen 24 uur, houden je op de hoogte van de afhandeling en eren onderzoekers in onze hall of fame bij relevante meldingen.
Wat we vragen: geef ons redelijk de tijd om te onderzoeken en te patchen, gebruik geen brute force of social engineering, en deel kwetsbaarheden niet publiek voordat ze zijn verholpen.
Een publieke PGP-sleutel voor versleutelde meldingen publiceren wij binnenkort op deze pagina.