PhotoRobot Политика за информационна сигурност

Този документ дефинира Политиката за информационна сигурност на PhotoRobot. Той описва принципите, отговорностите и контролите, внедрени от PhotoRobot за защита на системите, данните и клиентската информация. Политиката за информационна сигурност подкрепя спазването на договорните задължения на PhotoRobot по DPA и SLA.

‍

‍

Цели

• Осигуряване на конфиденциалност, цялост и наличност на всички системи и данни
• Дефинирайте ясни роли и отговорности за информационната сигурност
• Поддържане на съответствие с GDPR и най-добрите практики в индустрията
• Осигуряване на управление за управление на риска и непрекъснато усъвършенстване

‍

‍

Обхват

Кавъри:

• PhotoRobot облачна платформа
• Инфраструктура, хоствана на Google Cloud Platform
• Поддържащи системи и вътрешни процеси
• Служители, изпълнители и трети страни

‍

‍

Роли и отговорности

• CTO / Инженерен ръководител: Обща отговорност за сигурността на платформата
• DevOps: Внедрява и поддържа контролите за сигурност в облака
• Разработчици: Следвайте стандартите за сигурно кодиране и SDLC
• Екип за поддръжка: Обработва инциденти и известия на клиенти

‍

‍

Принципи на сигурността

• Най-малка привилегия 
• Достъп по възможност за необходимост да се знае
• Сегрегация на задълженията 
• Подход с нулево доверие
• Сигурност по дизайн

‍

‍

Технически гаранции

• Криптиране (TLS, AES-256)
• SSO удостоверяване чрез Google Identity
• Фино зърнести роли в RBAC
• GCP облачно логване и мониторинг
• Автоматизирано обновяване на инфраструктурата
• Ежедневни архиви с възможност за възстановяване

‍

‍

Организационни гаранции

• Процедури по въвеждане и освобождаване от борда
• Очаквания за сигурност на устройството
• Задължения по поверителност
• Задължителна осведоменост за сигурността

‍

‍

Управление на риска

• Рискове, оценявани периодично
• Контролите са актуализирани въз основа на резултатите
• Документирани и прегледани събития със сигурността

‍

‍

Съответствие

• Обработка, съвместима с GDPR
• DPA е налична за клиенти
• Подпроцесори, публикувани публично

‍

‍

Непрекъснато усъвършенстване

• Редовни прегледи на контролите
• Ъпгрейди към облачни конфигурации за сигурност
• Наблюдение на нововъзникващи заплахи