Політика інформаційної безпеки PhotoRobot

Цей документ визначає політику інформаційної безпеки PhotoRobot. Він описує принципи, обов'язки та засоби контролю, які впроваджує PhotoRobot для захисту систем, даних та інформації про клієнтів. Політика інформаційної безпеки підтримує дотримання договірних зобов'язань PhotoRobot відповідно до DPA та SLA.

‍

‍

Цілі

• Забезпечити конфіденційність, цілісність і доступність усіх систем і даних
• Визначте чіткі ролі та обов'язки для інформаційної безпеки
• Підтримувати відповідність GDPR та найкращим галузевим практикам
• Забезпечення управління для управління ризиками та постійного вдосконалення

‍

‍

Сфера застосування

Обкладинки:

• Платформа PhotoRobot Cloud
• Інфраструктура, розміщена на Google Cloud Platform
• Підтримуючі системи та внутрішні процеси
• Працівники, підрядники та треті сторони

‍

‍

Ролі та обов'язки

• CTO / Інженерний керівник: Загальна відповідальність за безпеку платформи
• DevOps: Реалізує та підтримує хмарні системи безпеки
• Розробники: Дотримуйтесь стандартів безпечного кодування та SDLC
• Команда підтримки: Обробляє інциденти та сповіщення клієнтів

‍

‍

Принципи безпеки

• Найменші привілеї 
• Доступ для потреби знати
• Сегрегація обов'язків 
• Підхід з нульовою довірою
• Безпека за дизайном

‍

‍

Технічні гарантії

• Шифрування (TLS, AES-256)
• Автентифікація SSO через Google Identity
• Деталізовані ролі RBAC
• Журналування та моніторинг GCP у хмарі
• Автоматизоване оновлення інфраструктури
• Щоденні резервні копії з можливістю відновлення

‍

‍

Організаційні гарантії

• Процедури адаптації та виведення з експлуатації
• Очікування щодо безпеки пристрою
• Зобов'язання щодо конфіденційності
• Обов'язкова обізнаність про безпеку

‍

‍

Управління ризиками

• Періодично оцінювалися ризики
• Контролі оновлені на основі результатів
• Задокументовані та переглянуті події безпеки

‍

‍

Відповідність

• Обробка, що відповідає вимогам GDPR
• DPA доступна для клієнтів
• Субпроцесори, що перебувають у публічному списку

‍

‍

Безперервне вдосконалення

• Регулярні огляди керування
• Оновлення до конфігурацій хмарної безпеки
• Моніторинг нових загроз