Política de Segurança da Informação PhotoRobot

Este documento define a Política de Segurança da Informação da PhotoRobot. Ele descreve os princípios, responsabilidades e controles implementados pela PhotoRobot para proteger sistemas, dados e informações dos clientes. A Política de Segurança da Informação apoia o cumprimento das obrigações contratuais da PhotoRobot sob a DPA e a SLA.

‍

‍

Objetivos

• Garantir confidencialidade, integridade e disponibilidade de todos os sistemas e dados
• Defina papéis e responsabilidades claros para a segurança da informação
• Manter a conformidade com o GDPR e as melhores práticas do setor
• Fornecer governança para gestão de riscos e melhoria contínua

‍

‍

Escopo

Capas:

• Plataforma PhotoRobot Cloud
• Infraestrutura hospedada na Google Cloud Platform
• Sistemas de suporte e processos internos
• Funcionários, contratados e terceiros

‍

‍

Funções e Responsabilidades

• CTO / Líder de Engenharia: Responsabilidade geral pela segurança da plataforma
• DevOps: Implementa e mantém controles de segurança em nuvem
• Desenvolvedores: Siga codificação segura e padrões SDLC
• Equipe de suporte: Gerencia incidentes e notificações aos clientes

‍

‍

Princípios de Segurança

• Menor privilégio 
• Acesso de Necessidade de Saber
• Segregação de funções 
• Abordagem zero-trust
• Segurança por design

‍

‍

Salvaguardas Técnicas

• Criptografia (TLS, AES-256)
• Autenticação SSO via Google Identity
• Papéis de granulação fina no RBAC
• Logging e Monitoramento em Nuvem GCP
• Patching automatizado de infraestrutura
• Backups diários com capacidade de restauração

‍

‍

Salvaguardas Organizacionais

• Procedimentos de integração e desintegração
• Expectativas de segurança do dispositivo
• Obrigações de confidencialidade
• Conscientização obrigatória de segurança

‍

‍

Gestão de Riscos

• Riscos avaliados periodicamente
• Controles atualizados com base nos achados
• Eventos de segurança documentados e revisados

‍

‍

Conformidade

• Processamento compatível com o GDPR
• DPA disponível para clientes
• Subprocessadores listados publicamente

‍

‍

Melhoria Contínua

• Revisões regulares dos controles
• Atualizações para configurações de segurança em nuvem
• Monitoramento de ameaças emergentes