Política de Seguretat de la Informació de PhotoRobot

Aquest document defineix la Política de Seguretat de la Informació de PhotoRobot. Descriu els principis, responsabilitats i controls implementats per PhotoRobot per protegir els sistemes, les dades i la informació dels clients. La Política de Seguretat de la Informació dóna suport al compliment de les obligacions contractuals de PhotoRobot sota la DPA i la SLA.

‍

‍

Objectius

• Garantir la confidencialitat, integritat i disponibilitat de tots els sistemes i dades
• Definir rols i responsabilitats clars per a la seguretat de la informació
• Mantenir el compliment del RGPD i les millors pràctiques del sector
• Proporcionar governança per a la gestió de riscos i la millora contínua

‍

‍

Abast

Portades:

• Plataforma núvol PhotoRobot
• Infraestructura allotjada a Google Cloud Platform
• Sistemes de suport i processos interns
• Empleats, contractistes i tercers

‍

‍

Rols i responsabilitats

• CTO / Cap d'Enginyeria: Responsabilitat global per la seguretat de la plataforma
• DevOps: Implementa i manté controls de seguretat al núvol
• Desenvolupadors: Seguiu la codificació segura i els estàndards SDLC
• Equip de suport: Gestiona incidents i notificacions als clients

‍

‍

Principis de Seguretat

• Menys privilegi 
• Accés de necessitat de saber
• Segregació de funcions 
• Enfocament de confiança zero
• Seguretat per disseny

‍

‍

Salvaguardes tècniques

• Xifrat (TLS, AES-256)
• Autenticació SSO mitjançant Google Identity
• Rols detallats dels RBAC
• GCP Registre i Monitoratge al Núvol
• Actualització automatitzada de la infraestructura
• Còpies de seguretat diàries amb capacitat de restauració

‍

‍

Salvaguardes organitzatives

• Procediments d'incorporació i baixa
• Expectatives de seguretat del dispositiu
• Obligacions de confidencialitat
• Conscienciació de seguretat obligatòria

‍

‍

Gestió de riscos

• Riscos avaluats periòdicament
• Controls actualitzats segons les troballes
• Esdeveniments de seguretat documentats i revisats

‍

‍

Compliment

• Processament compatible amb el RGPD
• DPA disponible per als clients
• Subprocessadors llistats públicament

‍

‍

Millora contínua

• Revisió regular dels controls
• Actualitzacions a configuracions de seguretat al núvol
• Monitoratge d'amenaces emergents