Security: wat we wél zeggen vs wat we niet claimen
Geen compliance-badges zonder bewijs. Dit is onze aanpak: transparant, minimaal, auditable — en professioneel in proces.
Truth-first security (waarom wij daar hard op zijn)
Security is geen marketingblok. Het is een set keuzes die je kunt uitleggen, auditen en herhalen.
Daarom doen we geen grote labels zonder bewijs. We zeggen wat we daadwerkelijk doen — en wat we (nog) niet formeel claimen.
Wat we wél zeggen (verdedigbaar, concreet)
• Hosting: we draaien production-ready op Hetzner, met Cloudflare aan de edge voor TLS, DDoS-mitigatie en WAF.
• Toegang: rolgebaseerde toegang (RBAC) en tenant-scope — mensen zien alleen wat ze nodig hebben.
• Isolatie: multi-tenant scheiding is een ontwerpprincipe, geen bijzaak.
• Auditability: logging/traceability voor beheerhandelingen en relevante flows.
• Meldroutes: security@yarasystems.com voor securitymeldingen en privacy@yarasystems.com voor AVG/DSAR.
Wat we níét claimen (en waarom dat volwassen is)
We claimen geen ISO/SOC/GDPR-certificering ‘badge’ tenzij die formeel behaald is.
We claimen nooit ‘100% secure’, ‘unhackable’ of absolute garanties. Dat is niet hoe security werkt.
We claimen geen end-to-end encryptie tenzij dat expliciet ontworpen, geïmplementeerd en gedocumenteerd is.
Dit is geen terughoudendheid — dit is betrouwbaarheid.
De praktische basis: least privilege + scheiding + controle
Security die werkt in de praktijk is saai: least privilege, duidelijke rollen, duidelijke grenzen.
Daarom focussen we op: tenant-isolatie, RBAC, en controleerbare logs.
Als je een incident moet onderzoeken, wil je feiten. Auditability is dan niet ‘nice’, maar noodzakelijk.
Privacy in dezelfde mentaliteit: minimale data, duidelijke rechten
We verwerken data omdat het nodig is om bookings te maken/aan te passen en de service betrouwbaar te draaien. Niet omdat we ‘data willen’.
Voor AVG/DSAR verzoeken is er een dedicated kanaal: privacy@yarasystems.com.
Transparantie is onderdeel van security: je moet kunnen uitleggen wat je bewaart, waarom, en hoe lang.
Incident-proces (professioneel, zonder drama)
Een volwassen systeem heeft een volwassen reactie: intake, triage, fix, en communicatie.
Securitymeldingen gaan naar security@yarasystems.com. We bevestigen ontvangst, beoordelen impact, en communiceren over vervolg.
Dat klinkt simpel — en dat is het ook. Simpel is beter dan theater.
Takeaways
• Truth-first: we zeggen alleen wat we kunnen verdedigen.
• Hetzner + Cloudflare edge security (TLS/WAF/DDoS) als fundament.
• RBAC + tenant-isolatie + auditability als kern.
• Duidelijke kanalen: security@ en privacy@.