Политика информационной безопасности PhotoRobot

Этот документ определяет политику информационной безопасности PhotoRobot. В нём описываются принципы, обязанности и системы контроля, реализованные PhotoRobot для защиты систем, данных и информации о клиентах. Политика информационной безопасности поддерживает соблюдение договорных обязательств PhotoRobot по DPA и SLA.

‍

‍

Цели

• Обеспечить конфиденциальность, целостность и доступность всех систем и данных
• Определите чёткие роли и обязанности в области информационной безопасности
• Соблюдение GDPR и лучших отраслевых практик
• Обеспечение управления рисками и постоянного улучшения

‍

‍

Область применения

Обложки:

• Облачная платформа PhotoRobot
• Инфраструктура, размещённая на Google Cloud Platform
• Поддерживающие системы и внутренние процессы
• Сотрудники, подрядчики и третьи лица

‍

‍

Роли и обязанности

• CTO / Инженерный руководитель: Общая ответственность за безопасность платформы
• DevOps: Реализует и поддерживает облачные системы безопасности
• Разработчики: Следуйте стандартам безопасного кодирования и SDLC
• Команда поддержки: Обрабатывает инциденты и уведомления клиентов

‍

‍

Принципы безопасности

• Наименьшая привилегия 
• Доступ для обязательных узнаний
• Разделение обязанностей 
• Подход с нулевым доверием
• Безопасность по дизайну

‍

‍

Технические гарантии

• Шифрование (TLS, AES-256)
• Аутентификация SSO через Google Identity
• Детализированные роли RBAC
• Логирование и мониторинг облака GCP
• Автоматизированное обновление инфраструктуры
• Ежедневные резервные копии с возможностью восстановления

‍

‍

Организационные гарантии

• Процедуры адаптации и вывода из эксплуатации
• Ожидания по безопасности устройств
• Обязательства по конфиденциальности
• Обязательная осведомлённость о безопасности

‍

‍

Управление рисками

• Периодически оцениваемые риски
• Контроли обновляются на основе результатов
• Задокументированы и пересмотрены события безопасности

‍

‍

Соблюдение требований

• Обработка, соответствующая требованиям GDPR
• DPA доступна для клиентов
• Субпроцессоры, перечисленные публично

‍

‍

Постоянное совершенствование

• Регулярные обзоры органов управления
• Обновления до облачных конфигураций безопасности
• Мониторинг новых угроз