Factsheet Security

Informatiebeveiliging vormt een essentieel aandachtspunt binnen Lefebvre Sdu;
De dagelijkse verantwoordelijkheid ligt bij de Chief Information Security Officer (CISO);
Lefebvre Sdu heeft een algemeen beveiligingsbeleid, dat is uitgewerkt naar diverse gebieden, waaronder Disaster Recovery;
Er is een procedure over het omgaan met en vastleggen van security incidenten. Incidenten worden geëvalueerd en onderzocht op de Root Cause.
Lefebvre Sdu is gecertificeerd volgens het NIS2 Quality Mark op niveau QM30 (High). Daarnaast werkt Lefebvre Sdu volgens de principes van ISO 27001; formele certificering is voorzien medio 2026.

Werken op een beveiligde omgeving;
Onze medewerkers zijn zich bewust van hun verantwoordelijkheden op het gebied van informatiebeveiliging. Hiervoor is een bewustwordingsprogramma;
Zijn deskundig, op hun eigen gebied en waar nodig op het gebied van informatiebeveiliging;
Zowel interne als externe medewerkers zijn gebonden aan een geheimhoudingsbeding, zoals vastgelegd in hunarbeidsovereenkomsten. Tevens is een dergelijke clausule opgenomen in de contracten met derde partijen die toegang hebben tot onze systemen.

Elektronische toegangscontrole op het pand en de etages, en alle bezoekers worden vastgelegd;
Een autorisatiematrix waarin alle medewerkers zijn opgenomen;
Een op rollen gebaseerde toegang tot gegevens, dat is ingedeeld op basis van de uitgangspunten “need-to-know” en “least privilege”;
Eisen ten aanzien van wachtwoordgebruik;
Alle medewerkers maken gebruik van MFA.

Alle Lefebvre Sdu applicaties zijn opgenomen in een Asset Management Database;
Alle laptops en medewerkers staan in de Microsoft Active Directory;
Voor End-point security wordt er gebruik gemaakt van een XDR-applicatie geïnstalleerd op alle apparaten. Deze applicatie biedt een uitgebreide detectie en respons, een cyberbeveiligingstechnologie die cyberbeveiligingsbedreigingen bewaakt en vermindert;
Lefebvre Sdu maakt gebruik van een SOC vanuit onze Franse moedermaatschappij Lefebvre Sarrut;
Alle applicaties en websites worden gemonitord ten aanzien van beschikbaarheid.

Wij hanteren een Agile en DevOps werkwijze, waarbij ontwikkeling en beheer nauw samenwerken en software in korte cycli wordt getest, uitgerold en gemonitord;
Ons platform draait op Amazon AWS, met dataopslag uitsluitend binnen de Europese Unie;
Er zijn gescheiden omgevingen voor ontwikkeling, test en acceptatie (OTA) en productie (P);
In deze omgevingen is alle data versleuteld opgeslagen;
Er zijn standaard (ontwikkel)richtlijnen waarin de OWASP-richtlijnen één van de uitgangspunten vormt;
Een aantal van deze richtlijnen worden centraal afgedwongen, zoals de configuratie van AWS, gebruik van hulpmiddelen, inrichting van de logging en audittrail van alle applicaties;
Er wordt gebruik gemaakt van vulnerability scans en monitoring om up-to-date te blijven met software updates. Hierover wordt door de DevOps teams gerapporteerd;
Voor het testen wordt geen klantdata gebruikt.

GenIA-L | Rechtsorde valt als AI-systeem onder de reikwijdte van de AI Act, maar kwalificeert niet als een AI-systeem met onaanvaardbaar risico of als hoogrisico-AI; wel zullen transparantieverplichtingen gaan gelden in 2026 voor de chatfunctionaliteit die gebruikmaakt van generatieve AI, waar we nu zoveel mogelijk al aan voldoen;
Lefebvre Sdu biedt geen general-purpose AI (GPAI) aan in de zin van de AI Act;
GenIA-L | Rechtsorde is bedoeld voor het doen van juridisch-fiscaal onderzoek;
Er wordt gebruikgemaakt van toonaangevende Large Language Modellen (LLM’s) van verschillende aanbieders;
De LLM’s worden gehost bij de volgende AI-subprocessors, altijd binnen de Europese Unie (EU) of de Europese Economische Ruimte (EER): Microsoft Azure (AI / LLM) – EU, OpenAI (AI / LLM) – EU en Amazon Web Services (AI / LLM / cloudinfrastructuur) – EU

Welke AI / LLM subprocessor wij ook inzetten, onze kernprincipes op het gebied van gegevensbescherming blijven onverminderd van kracht:

Je gegevens worden nooit gedeeld met andere gebruikers;
Je gegevens blijven binnen de EU of EER, conform de AVG-vereisten;
Je gegevens worden nooit gebruikt voor het trainen van AI-modellen;
De door ons ingeschakelde subprocessors slaan geen gegevens op rond het gebruik door Lefebvre Sdu (Zero Data Retention);
De door de subprocessors verwerkte klant-data betreft enkel de ingevoerde zoekvraag, die niet te herleiden is tot de vraagsteller, in combinatie met relevante Lefebvre Sdu content en in het geval van Rechtsorde content van derden.