Woningcorporaties verwerken dagelijks gevoelige persoonsgegevens, financiële informatie en omvangrijke vastgoeddata. Met de toenemende druk vanuit wet- en regelgeving, van AVG tot NIS2, wordt het borgen van informatiebeveiliging en procesbetrouwbaarheid steeds belangrijker.
Bij DataBalk investeren we continu in certificeringen, governance en continuïteit. In gesprek met onze Security Compliance Officer Jo Meyer duiken we dieper in de manier waarop we informatiebeveiliging, compliance en bedrijfscontinuïteit hebben georganiseerd en welke keuzes daarbij worden gemaakt.
Jo Meyer hoeft niet lang na te denken over waarom informatiebeveiliging zo prominent op de agenda staat. “Corporaties werken met bijzonder gevoelige gegevens,” zegt zij. “Van huurdersdata tot financiële stromen en vastgoedcontracten. Als één schakel in de keten niet goed beveiligd is, heeft dat direct impact op huurders, medewerkers en bestuur. Dat maakt informatiebeveiliging niet alleen technisch, maar vooral maatschappelijk relevant.”
Die maatschappelijke component verklaart volgens Jo waarom corporaties steeds kritischer kijken naar hun leveranciers: “Ze willen zeker weten dat wij onze processen op orde hebben, en dat we dat ook kunnen aantonen.”
DataBalk is gecertificeerd conform ISO 27001, de norm voor informatiebeveiliging. Voor Jo gaat ISO veel verder dan alleen policies en technische maatregelen. “ISO 27001 dwingt je om informatiebeveiliging onderdeel te maken van het dagelijkse werk. Het gaat over ons gedrag, hoe we risico’s beoordelen, hoe we incidenten oplossen, maar ook hoe je dat structureel borgt. Het is geen sticker, maar een manier van werken.”
Onder ISO vallen onder andere:
risicobeoordelingen en dreigingsanalyses;
toegangs- en autorisatiebeheer;
logging en monitoring;
beleid rond incidentrespons en continu verbeteren.
“Het mooie van ISO,” vervolgt Jo, “is dat de norm je dwingt om naar jezelf te blijven kijken. Je blijft leren en scherper worden. Dat is precies wat corporaties van ons verwachten.”
In die samenwerking met corporaties voeren we Data Protection Impact Assessments (DPIA’s) uit op ons eigen platform en ondersteunen we corporaties bij het uitvoeren van hun DPIA’s. Daarin brengen we niet alleen technische risico’s in kaart, maar juist óók operationele risico’s die zich voordoen in de praktijk, bijvoorbeeld binnen verhuurprocessen, onderhoudsketens of financiële administraties. Daarnaast werken we met klanten aan root cause analyses bij incidenten en kwetsbaarheden.
Dit partnerschap zorgt voor een volwassen meldcultuur: corporaties voelen zich veilig om álle incidenten, groot én klein, te melden. Hoe meer meldingen, hoe beter: iedere melding helpt ons om patronen te herkennen, risico’s vroegtijdig te signaleren en proactief maatregelen te verbeteren. Zo versterken we samen de weerbaarheid van de hele keten.
Een corporatie moet zich veilig voelen als ze met ons werken. Niet alleen omdat het moet van regelgeving, maar omdat hun huurders erop vertrouwen dat hun gegevens in goede handen zijn.
Waar ISO vooral kijkt naar de informatiebeveiliging als geheel, richt ISAE 3402 Type II zich op de werking van interne beheersmaatregelen over een langere periode.
“Accountants van corporaties vragen steeds vaker om een ISAE-verklaring,” legt Jo uit. “Het laat zien dat je processen niet alleen beschreven zijn, maar ook in de praktijk betrouwbaar functioneren.”
Een Type II-audit toetst of de controles daadwerkelijk zijn uitgevoerd en effectief waren. “Dat geeft corporaties comfort richting jaarrekeningcontrole en verantwoording. Het zorgt voor rust en voorspelbaarheid.”
Naast certificeringen werkt DataBalk aan een verdergaande Business Continuity-strategie. Geen papieren bijlage, maar een integraal onderdeel van de bedrijfsvoering, aldus Jo. “De vraag is: wat doen we als er écht iets gebeurt? Bij een storing, een cyberaanval, een grote verstoring in de keten? Continuïteit draait niet om mooiste plannen, maar om voorbereiden, testen en bijstellen.”
In de continuïteitsaanpak van DataBalk wordt onder andere geborgd:
veilige opslag en borging van kritieke documentatie en ontwikkelprocessen;
duidelijke scenario’s voor incident-, herstel- en escalatieprocedures;
periodieke audits en oefeningen;
duidelijke rollen en communicatielijnen.
“Corporaties vertrouwen op ons systeem voor hun primaire processen. Dat betekent dat wij voorbereid moeten zijn op situaties die je liever niet meemaakt. Business Continuity is daar het antwoord op.”
Vooruitkijkend werkt DataBalk aan een aanvullende regeling om de belangen van corporaties nog verder te borgen. Deze regeling zorgt ervoor dat kritieke softwarebroncode, operationele documentatie en ontwikkelpijplijnen veilig worden opgeslagen en onder vooraf gedefinieerde voorwaarden beschikbaar kunnen worden gesteld. Door periodieke kwaliteitscontroles op deze componenten wordt de regeling een echte versterking van de continuïteit.
Het is een proactieve maatregel die corporaties gemoedsrust biedt: ook in onvoorziene omstandigheden blijft toegang tot essentiële systemen gewaarborgd.
Business Continuity draait niet om de mooiste plannen, maar om voorbereiden, testen en bijstellen.
Met deze certificeringen, de volwassen meldcultuur en de toekomstgerichte continuïteitswaarborgen positioneert DataBalk zich als een vertrouwde partner in een steeds meer gereguleerd en risicogevoelig digitaal landschap.
De DataBalk Suite draait volledig op de Microsoft-cloud. Voor veel corporaties sluit dat naadloos aan op hun eigen IT-strategie.
“Het helpt enorm dat we werken binnen een vertrouwde, goed beveiligde cloudomgeving,” zegt Jo. “Identity management, back-ups, netwerkbeveiliging, alles is onderdeel van een volwassen platform. Dat maakt dat we kunnen focussen op sectorspecifieke risico’s en data-processen, zoals huurmutaties, onderhoudsopdrachten of financiële rapportages.”
Volgens Jo is het doel niet om zoveel mogelijk vinkjes te halen, maar om te bouwen aan vertrouwen. “Een corporatie moet zich veilig voelen als ze met ons werken. Niet alleen omdat het moet van regelgeving, maar omdat hun huurders erop vertrouwen dat hun gegevens in goede handen zijn.”
Zij ziet daarom een verschuiving in de sector: “De vragen die corporaties stellen worden volwassener. Niet alleen ‘ben je ISO-gecertificeerd?’, maar: hoe borgen jullie continuïteit? Hoe snel reageren jullie op incidenten? Welke controles draaien jullie dagelijks? Het gesprek wordt rijker, en dat is alleen maar goed.”
Als corporaties kunnen zeggen: onze processen zijn veilig, onze data is beschermd en onze leverancier staat naast ons, dan hebben wij ons werk goed gedaan.
Ondanks de certificeringen en de investering in continuïteit is Jo nuchter: informatiebeveiliging is nooit klaar. “Het landschap verandert continu: nieuwe dreigingen, nieuwe technologie, nieuwe wetgeving. Onze taak is om vooruit te denken en ervoor te zorgen dat corporaties altijd kunnen vertrouwen op veilige, stabiele software. Dat is de kern van ons werk.”
Met ISO 27001, ISAE 3402 en een versterkte Business Continuity-aanpak kiest DataBalk voor een volwassen en transparante benadering van informatiebeveiliging. Voor woningcorporaties betekent dat één ding: zekerheid.
Jo besluit:
“Als corporaties kunnen zeggen: onze processen zijn veilig, onze data is beschermd en onze leverancier staat naast ons, dan hebben wij ons werk goed gedaan.”
