1. Doel

Het doel van deze policy is om het beveiligingsbeleid van Blackbirds vast te leggen zodat informatie en IT-assets zijn beschermd tegen interne en externe dreigingen, opzettelijk of per ongeluk, en om risico’s zoals diefstal, verlies, misbruik, schade of ongeautoriseerde toegang te mitigeren. Deze policy vormt het fundament van ons Information Security Management System (ISMS) en draagt bij aan het creëren van vertrouwen voor alle betrokkenen.

‍

2. Scope en toepassingsgebied

Deze policy is van toepassing op:

- Alle medewerkers van Blackbirds (vast, tijdelijk, extern en consultants);

- Klanten, inclusief hun vertegenwoordigers en gebruikers van diensten/portals;

- Leveranciers, partners en contractanten die toegang hebben tot of informatie verwerken namens Blackbirds;

- Andere stakeholders die informatie uitwisselen met of namens Blackbirds, zoals auditors, toezichthouders en subcontractors.

Het toepassingsgebied omvat alle informatie, systemen, netwerken, fysieke locaties, cloud-omgevingen, infrastructuur, documentatie, en applicaties die eigendom zijn van of beheerd worden door Blackbirds of gebruikt worden om diensten te leveren.

‍

3. Beleidspunten  

3.1 Bescherming van informatie en IT-assets

Blackbirds beschermt haar informatie en IT-assets (inclusief maar niet beperkt tot computers, mobiele apparatuur, netwerken, software, systemen en gevoelige data) tegen interne en externe dreigingen – zowel opzettelijk als onopzettelijk – en beperkt risico’s gelieerd aan diefstal, verlies, misbruik, schade of ongeautoriseerde toegang.

3.2 Beperkte toegang en privilege-beheer

Toegang tot informatie en systemen wordt alleen verleend aan geautoriseerde personen of entiteiten op basis van het need-to-know en least privilege principe. Toegangsmachtigingen worden gecontroleerd, gedocumenteerd en regelmatig beoordeeld om ervoor te zorgen dat autorisaties juist blijven.

3.3 Vertrouwelijkheid

Informatie wordt beschermd tegen ongeautoriseerde openbaarmaking. Hierbij gelden passende controles om te waarborgen dat alleen bevoegde personen of systemen toegang hebben tot vertrouwelijke data.

3.4 Integriteit

Het beleid waarborgt dat informatie accuraat en compleet blijft en dat wijzigingen alleen kunnen worden doorgevoerd door geautoriseerde entiteiten volgens vastgestelde procedures.

3.5 Beschikbaarheid

Blackbirds zorgt ervoor dat informatie en systemen beschikbaar zijn voor bevoegde gebruikers wanneer nodig om bedrijfsdoelstellingen en service levels te ondersteunen.

3.6 Compliance met wettelijke en contractuele verplichtingen

Blackbirds voldoet aan toepasselijke nationale en internationale wet- en regelgeving, industriestandaarden en contractuele verplichtingen. Waar mogelijk streeft Blackbirds ernaar om deze eisen te overtreffen.

3.7 Continu verbeteren van het ISMS

Het ISMS wordt periodiek geëvalueerd en verbeterd op basis van monitoring, audits, lessons learned en wijzigende risico’s en dreigingen.

3.8 Business Continuity

Blackbirds ontwikkelt, onderhoudt en test business continuity plannen om bedrijfsvoering te waarborgen tijdens verstoringen of calamiteiten.

3.9 Security Awareness en training

Er worden consistente security awareness-activiteiten en -trainingen aangeboden aan medewerkers, klanten en relevante derden (bijv. leveranciersmedewerkers indien van toepassing). Beveiligingsverantwoordelijkheden worden duidelijk gecommuniceerd en opgenomen in rollen en verplichtingen.

3.10 Meldingscultuur en non-retaliatie

Blackbirds stimuleert het tijdig melden van beveiligingsproblemen of potentiële incidenten. Er wordt geen actie ondernomen tegen personen die te goeder trouw een beveiligingszorg of -incident melden, tenzij er bewijs is van illegale handelingen, grove nalatigheid of herhaaldelijk opzettelijk beleidsovertredend gedrag.

3.11 Incident en breach reporting

Alle klanten, leveranciers en medewerkers zijn verplicht actual of vermoedelijke informatiebeveiligingsincidenten onmiddellijk te melden aan security@blackbirds.ai, om adequaat en tijdig te kunnen reageren.

‍

4. Handhaving, uitzonderingen en klachten  

4.1 Handhaving

Niet-naleving van deze policy kan leiden tot disciplinaire maatregelen of contractuele sancties, afhankelijk van de rol van de betrokkene en de ernst van de overtreding.

4.2 Uitzonderingen

Uitzonderingen op deze policy zijn alleen toegestaan met schriftelijke goedkeuring van de Information Security Management Leader. Goedgekeurde uitzonderingen worden vastgelegd als een policy waiver met een duidelijke scope en einddatum.

4.3 Klachten

Alle betrokken partijen (medewerkers, klanten, leveranciers, partners) kunnen klachten over de inhoud of toepassing van deze policy indienen bij de Information Security Management Leader via <email>. De Information Security Management Leader zal binnen 14 dagen reageren en zorgt voor passende verwerking van de klacht.

5. Documentbeheer

Deze policy wordt ten minste jaarlijks herzien of eerder bij significante wijzigingen in de organisatie, technologie, dreigingslandschap of wet-/regelgeving. Alle belanghebbenden worden geïnformeerd over relevante updates.

‍

Deze versie is opgesteld in december 2025