Laatst bijgewerkt: 10 november 2026
1. Doel
Dit beleid beschrijft hoe Evreka de vertrouwelijkheid, integriteit en beschikbaarheid beschermt van de informatie die zij verwerkt: haar eigen informatie en die van klanten, medewerkers en partners. Het geeft richting aan het Information Security Management System (ISMS) van Evreka, dat is afgestemd op ISO/IEC 27001, en vormt het kader voor het vaststellen van informatiebeveiligingsdoelstellingen.
2. Reikwijdte
Het beleid geldt voor alle medewerkers, aannemers, stagiairs en derden met toegang tot informatie of systemen van Evreka. Het omvat informatie in elke vorm (digitaal, op papier, mondeling), de platforms Evreka360 en WasteDashboard, mobiele en veldapplicaties, interne systemen, kantoren en werken op afstand, en de mensen, processen en leveranciers die deze ondersteunen.
3. Toezegging van het management
Het management van Evreka verbindt zich ertoe:
- informatie te beschermen in lijn met de bedrijfsdoelstellingen en de verwachtingen van klanten;
- te voldoen aan toepasselijke eisen, waaronder wettelijke, regelgevende en contractuele verplichtingen;
- de middelen, rollen en competenties te bieden die het ISMS nodig heeft;
- het ISMS en de effectiviteit ervan continu te verbeteren;
- dit beleid te communiceren aan alle medewerkers en beschikbaar te stellen aan belanghebbenden.
4. Informatiebeveiligingsdoelstellingen
Doelstellingen worden minimaal jaarlijks door het management vastgesteld en beoordeeld, zijn waar mogelijk meetbaar en sluiten aan op dit beleid. Ze betreffen de bescherming van klant- en persoonsgegevens, de beschikbaarheid van de door Evreka geleverde platforms, de tijdige afhandeling van beveiligingsincidenten en het beveiligingsbewustzijn van alle medewerkers.
5. Uitgangspunten
- Vertrouwelijkheid: informatie is alleen toegankelijk voor wie daartoe bevoegd is.
- Integriteit: informatie en systemen zijn juist, volledig en beschermd tegen ongeautoriseerde wijziging.
- Beschikbaarheid: informatie en diensten zijn beschikbaar wanneer bevoegde gebruikers ze nodig hebben.
- Minimale rechten en need-to-know: toegang wordt alleen verleend voor zover de functie dat vereist.
- Risicogebaseerde aanpak: maatregelen worden gekozen op basis van beoordeeld risico.
- Security by design: beveiliging en privacy worden vanaf het begin meegenomen bij elk product, elke wijziging en elke leveranciersrelatie.
6. Rollen en verantwoordelijkheden
- Het topmanagement keurt dit beleid goed, zorgt voor middelen en beoordeelt het ISMS op gezette tijden.
- De informatiebeveiligingsmanager onderhoudt het ISMS, rapporteert over de prestaties en coördineert risicobeoordeling, incidenten en audits.
- De privacyverantwoordelijke adviseert over en houdt toezicht op de bescherming van persoonsgegevens (KVKK, AVG/GDPR).
- Managers en teamleiders passen het beleid toe in hun teams en zorgen dat medewerkers de training volgen.
- Alle medewerkers en aannemers volgen dit beleid en de bijbehorende procedures, beschermen bedrijfsmiddelen en melden incidenten en zwakke plekken direct.
- Leveranciers en partners voldoen aan de beveiligings- en vertrouwelijkheidseisen in hun contracten.
7. Risicobeheer
Evreka identificeert, analyseert en evalueert informatiebeveiligingsrisico’s via een gedocumenteerde risicobeoordeling, voert een risicobehandelplan uit en legt de acceptatie van het restrisico door de risico-eigenaren vast. Beoordelingen worden op gezette tijden en na ingrijpende wijzigingen herhaald.
8. Beheersmaatregelen
Maatregelen worden gekozen op basis van risico, met ISO/IEC 27001:2022 Bijlage A als referentie, en uitgevoerd via onderwerpspecifiek beleid en procedures. De belangrijkste gebieden:
- Organisatorisch: vastgelegde rollen, functiescheiding, inventarisatie en classificatie van bedrijfsmiddelen, regels voor informatie-uitwisseling, leveranciersbeveiliging, clouddiensten, projectbeveiliging, naleving van wet- en regelgeving en contracten, en bedrijfscontinuïteit.
- Mensen: screening, vertrouwelijkheids- en beveiligingsbepalingen in arbeids- en aannemersovereenkomsten, bewustwording en training, een disciplinair proces, werken op afstand en het melden van incidenten.
- Fysiek: beveiligde kantoren en toegangscontrole, clear desk en clear screen, bescherming van apparatuur, en veilige verwijdering en omgang met media.
- Technologisch: toegangsbeheer en sterke authenticatie, beheer van bevoorrechte toegang, versleuteling, veilige ontwikkeling en wijzigingsbeheer, kwetsbaarheids- en patchbeheer, bescherming tegen malware, logging en monitoring, back-ups en netwerkbeveiliging.
9. Naleving van wet- en regelgeving en contracten
Evreka voldoet aan de wetten en contractuele eisen die op haar van toepassing zijn, waaronder de Turkse wet bescherming persoonsgegevens (KVKK, wet nr. 6698), de Algemene verordening gegevensbescherming (AVG/GDPR) en klantcontracten. Details over persoonsgegevens staan in ons Privacybeleid en de bijbehorende verklaringen.
10. Bewustwording en training
Alle medewerkers volgen bij indiensttreding en ten minste jaarlijks een training informatiebeveiliging, aangevuld met rolspecifieke training waar nodig.
11. Incidentbeheer
Alle medewerkers en leveranciers moeten vermoede of daadwerkelijke beveiligingsincidenten, datalekken en zwakke plekken onmiddellijk melden. Incidenten worden geregistreerd, beoordeeld, ingedamd, opgelost en geëvalueerd om ervan te leren. Als persoonsgegevens zijn getroffen, informeert Evreka de bevoegde autoriteiten en betrokkenen binnen de wettelijke termijnen. Wilt u een beveiligingsprobleem bij Evreka melden, gebruik dan onze contactpagina.
12. Bedrijfscontinuïteit en leveranciersbeheer
Evreka heeft back-up-, herstel- en continuïteitsregelingen voor kritieke diensten en test die op gezette tijden. Leveranciers met toegang tot informatie of systemen worden vóór aanvang beoordeeld, zijn contractueel gebonden aan vertrouwelijkheids- en beveiligingseisen en worden periodiek geëvalueerd.
13. Naleving, audit en evaluatie
Naleving van dit beleid wordt getoetst via interne audits, managementreviews en technische beoordelingen. Overtredingen kunnen leiden tot disciplinaire maatregelen of contractuele gevolgen, conform toepasselijk recht. Afwijkingen worden hersteld en vastgelegd, en het ISMS wordt voortdurend verbeterd. Dit beleid wordt ten minste jaarlijks en na ingrijpende wijzigingen beoordeeld.
