Beveiliging die je niet ziet

Een systeem met contracten, huurprijzen en toegangsrechten van een gebouw is een systeem dat goed dicht moet zitten. Doory werkt met cookie-only authenticatie zonder tokens in de browser, met rate limiting, en met een sessie-overzicht waarin je actieve sessies kunt intrekken.

Waarom dit een gesprek is dat je wil kunnen voeren

De meeste operators zijn geen IT-specialist, en toch komt de vraag: hoe veilig is dit. Van een eigenaar, van een grote huurder met een eigen securitybeleid, of van je eigen IT-partij. Dan wil je een concreet antwoord kunnen geven en geen algemene tekst over veiligheid.

Wat de drie punten betekenen

Cookie-only authenticatie. Je inlogsessie zit in een cookie die scripts in de browser niet kunnen uitlezen, en er worden geen tokens in de browser opgeslagen. Dat maakt het lastiger voor kwaadwillende scripts of browserextensies om een sessie over te nemen. Het is een keuze die je als gebruiker nooit merkt en die precies daarom goed is.

Rate limiting. Het aantal pogingen op inlog en op de publieke endpoints is begrensd. Daarmee zijn geautomatiseerde pogingen om wachtwoorden te raden of publieke pagina's te overbelasten niet praktisch.

Sessie-overzicht met intrekken. Je ziet welke sessies actief zijn en kunt ze intrekken. Bij een verloren laptop of het vertrek van een medewerker is dat één handeling, en die staat in het audit log.

Waar dit samenkomt met de rest

Beveiliging in een gebouw is niet alleen digitaal. Rollen en rechten bepalen wie welke gegevens ziet, de toegangsmodule bepaalt wie door welke deur komt, en het audit log toont wat er is gebeurd. Die drie samen zijn wat een grote huurder bedoelt als hij naar je beleid vraagt.

Wat er van jouw kant bij hoort

Sterke wachtwoorden, een duidelijke afspraak dat accounts niet gedeeld worden, en accounts die vertrekken ook echt intrekken. Dat laatste is de meest voorkomende zwakke plek in elk pand, en het is de goedkoopste om op te lossen.