Cloudbeveiliging

YipYip host productie-workloads op GCP. Soms wordt een oplossing in de cloudomgeving van de klant ondergebracht; die omgeving valt onder het beheer van de klant.

Wat we doen

• IAM: least privilege per GCP-project. Productietoegang alleen voor DevOps; geen owner-accounts voor dagelijks gebruik.
• MFA: aan op de Google-accounts waarmee GCP wordt beheerd.
• Encryptie: data at rest en in transit versleuteld met de standaardmechanismen van GCP.
• Netwerk: VPC’s en firewallregels; geen publieke toegang tot databases of interne services. Geen SSH op servers; pod-toegang via kubectl met IAM (zie 8.20).
• Logging: Cloud Audit Logs actief; retentie van audit logs 1 jaar (zie 8.15).
• Gescheiden omgevingen: productie, staging en development zijn gescheiden projecten.
• Infrastructure as Code: infrastructuur wordt beheerd via code in GitHub (versiebeheerd, reviewbaar).
• Gedeelde verantwoordelijkheid en exit: GCP levert het platform, YipYip is verantwoordelijk voor configuratie, toegang en data. Het scenario “overstap naar een andere provider” staat in 5.29.
• Regio: EU-regio’s hebben de voorkeur; afwijking wordt per project vastgelegd (zie 8.20).

Gaps

Geen bekende gaps. De maandelijkse logreview staat bij 8.16 (C.22).

Bewijs

• GCP-console: IAM, Cloud Audit Logs, projectindeling
• GitHub: Infrastructure as Code-repositories
• Controleprogramma: C.13 (Jira ISMS)