Wybierz dokument
Polityka bezpieczeństwa informacji PhotoRobot
Dokument ten definiuje Politykę Bezpieczeństwa Informacji PhotoRobot. Opisuje zasady, obowiązki i kontrolę wdrożone przez PhotoRobot w celu ochrony systemów, danych i informacji o klientach. Polityka Bezpieczeństwa Informacji wspiera zgodność z umowami PhotoRobot wynikającymi z DPA i SLA.
Cele
- Zapewnienie poufności, integralności i dostępności wszystkich systemów i danych
- Określ jasne role i obowiązki związane z bezpieczeństwem informacji
- Utrzymuj zgodność z RODO i najlepszymi praktykami branżowymi
- Zapewnienie ładu korporacyjnego w zakresie zarządzania ryzykiem i ciągłego doskonalenia
Zakres
Covery:
- Platforma chmurowa PhotoRobot
- Infrastruktura hostowana na Google Cloud Platform
- Systemy wspierające i procesy wewnętrzne
- Pracownicy, wykonawcy i osoby trzecie
Role i obowiązki
- CTO / Kierownik ds. Inżynierii: Ogólna odpowiedzialność za bezpieczeństwo platformy
- DevOps: Wdraża i utrzymuje systemy kontroli bezpieczeństwa w chmurze
- Deweloperzy: Przestrzegaj standardów bezpiecznego kodowania i SDLC
- Zespół wsparcia: Obsługuje incydenty i powiadomienia klientów
Zasady bezpieczeństwa
- Najmniejszy przywilej
- Dostęp na podstawie wiedzy
- Segregacja obowiązków
- Podejście zero-trust
- Bezpieczeństwo przez projekt
Zabezpieczenia techniczne
- Szyfrowanie (TLS, AES-256)
- Uwierzytelnianie SSO za pomocą Google Identity
- Drobnoziarniste role RBAC
- Logowanie i monitorowanie chmury GCP
- Automatyczne łatki infrastruktury
- Codzienne kopie zapasowe z możliwością przywracania
Zabezpieczenia organizacyjne
- Procedury wdrożenia i odejścia
- Oczekiwania dotyczące bezpieczeństwa urządzeń
- Obowiązki poufności
- Obowiązkowa świadomość bezpieczeństwa
Zarządzanie ryzykiem
- Ryzyka oceniane okresowo
- Kontrolne zaktualizowane na podstawie wyników
- Zdarzenia związane z bezpieczeństwem udokumentowane i przeanalizowane
Zgodność
- Przetwarzanie zgodne z RODO
- DPA dostępne dla klientów
- Podprocesory publicznie wymienione
Ciągłe doskonalenie
- Regularne przeglądy kontroli
- Aktualizacje konfiguracji zabezpieczeń chmurowych
- Monitorowanie pojawiających się zagrożeń