Política de Seguridad de la Información de PhotoRobot

Este documento define la Política de Seguridad de la Información de PhotoRobot. Describe los principios, responsabilidades y controles implementados por PhotoRobot para proteger sistemas, datos e información de los clientes. La Política de Seguridad de la Información apoya el cumplimiento de las obligaciones contractuales de PhotoRobot bajo la DPA y la SLA.

‍

‍

Objetivos

• Garantizar la confidencialidad, integridad y disponibilidad de todos los sistemas y datos
• Definir roles y responsabilidades claros para la seguridad de la información
• Mantener el cumplimiento del RGPD y las mejores prácticas del sector
• Proporcionar gobernanza para la gestión de riesgos y la mejora continua

‍

‍

Alcance

Portadas:

• Plataforma PhotoRobot Cloud
• Infraestructura alojada en Google Cloud Platform
• Sistemas de apoyo y procesos internos
• Empleados, contratistas y terceros

‍

‍

Roles y responsabilidades

• CTO / Responsable de Ingeniería: Responsabilidad global por la seguridad de la plataforma
• DevOps: Implementa y mantiene controles de seguridad en la nube
• Desarrolladores: Seguir códigos seguros y estándares SDLC
• Equipo de soporte: Gestiona incidentes y notificaciones a clientes

‍

‍

Principios de seguridad

• Privilegio mínimo
• Acceso para necesidades de conocimiento
• Segregación de funciones 
• Enfoque de confianza cero
• Seguridad por diseño

‍

‍

Salvaguardas Técnicas

• Cifrado (TLS, AES-256)
• Autenticación SSO mediante Google Identity
• Roles de RBAC de gran detalle
• GCP Cloud Logging y Monitorización
• Parcheo automatizado de infraestructura
• Copias de seguridad diarias con capacidad de restauración

‍

‍

Salvaguardas organizativas

• Procedimientos de incorporación y salida
• Expectativas de seguridad del dispositivo
• Obligaciones de confidencialidad
• Conciencia obligatoria de seguridad

‍

‍

Gestión de riesgos

• Riesgos evaluados periódicamente
• Controles actualizados basándose en los hallazgos
• Eventos de seguridad documentados y revisados

‍

‍

Cumplimiento

• Procesamiento conforme al RGPD
• DPA disponible para clientes
• Subprocesadores listados públicamente

‍

‍

Mejora continua

• Revisiones periódicas de controles
• Actualizaciones a configuraciones de seguridad en la nube
• Monitorización de amenazas emergentes