PhotoRobot-Informationssicherheitspolitik

Dieses Dokument definiert die PhotoRobot-Informationssicherheitspolitik. Es beschreibt die von PhotoRobot implementierten Prinzipien, Verantwortlichkeiten und Kontrollen zum Schutz von Systemen, Daten und Kundeninformationen. Die Informationssicherheitsrichtlinie unterstützt die Einhaltung der vertraglichen Verpflichtungen von PhotoRobot gemäß DPA und SLA.

‍

‍

Ziele

• Vertraulichkeit, Integrität und Verfügbarkeit aller Systeme und Daten gewährleisten
• Definieren Sie klare Rollen und Verantwortlichkeiten für Informationssicherheit
• Einhaltung der DSGVO und der Best Practices der Branche aufrechterhalten
• Bereitstellung von Governance für Risikomanagement und kontinuierliche Verbesserung

‍

‍

Umfang

Cover:

• PhotoRobot Cloud-Plattform
• Infrastruktur, die auf der Google Cloud Platform gehostet wird
• Unterstützende Systeme und interne Prozesse
• Mitarbeiter, Auftragnehmer und Dritte

‍

‍

Rollen und Verantwortlichkeiten

• CTO / Engineering Lead: Gesamtverantwortlichkeit für die Plattformsicherheit
• DevOps: Implementierung und Wartung von Cloud-Sicherheitskontrollen
• Entwickler: Folgen Sie sicherer Codierung und SDLC-Standards
• Support-Team: Verarbeitet Vorfälle und Kundenbenachrichtigungen

‍

‍

Sicherheitsprinzipien

• Geringste Privilegien 
• Need-to-know-Zugang 
• Segregation der Aufgaben 
• Zero-Trust-Ansatz 
• Sicherheit durch Design

‍

‍

Technische Sicherungen

• Verschlüsselung (TLS, AES-256)
• SSO-Authentifizierung über Google Identity
• Feinkörnige RBAC-Rollen
• GCP Cloud Logging & Überwachung
• Automatisiertes Infrastruktur-Patching
• Tägliche Backups mit Wiederherstellungsfunktion

‍

‍

Organisatorische Sicherungen

• Onboarding- und Offboarding-Verfahren 
• Erwartungen an Gerätesicherheit
• Vertraulichkeitsverpflichtungen
• Obligatorisches Sicherheitsbewusstsein

‍

‍

Risikomanagement

• Regelmäßig bewertete Risiken
• Kontrollen werden basierend auf den Befunden aktualisiert
• Sicherheitsereignisse dokumentiert und überprüft

‍

‍

Beachtung

• DSGVO-konforme Verarbeitung
• DPA für Kunden verfügbar
• Öffentlich gelistete Subprozessoren

‍

‍

Kontinuierliche Verbesserung

• Regelmäßige Überprüfungen der Kontrollen
• Upgrades zu Cloud-Sicherheitskonfigurationen
• Überwachung neuer Bedrohungen