Politique de sécurité de l’information PhotoRobot

Ce document définit la politique de sécurité de l’information PhotoRobot. Il décrit les principes, responsabilités et contrôles mis en œuvre par PhotoRobot pour protéger les systèmes, les données et les informations clients. La politique de sécurité de l’information soutient le respect des obligations contractuelles de PhotoRobot en vertu de la DPA et du SLA.

‍

‍

Objectifs

• Garantir la confidentialité, l’intégrité et la disponibilité de tous les systèmes et données
• Définir des rôles et responsabilités clairs en matière de sécurité de l’information
• Maintenir la conformité au RGPD et aux meilleures pratiques du secteur
• Assurer la gouvernance pour la gestion des risques et l’amélioration continue

‍

‍

Portée

Couvertures :

• Plateforme PhotoRobot Cloud
• Infrastructure hébergée sur Google Cloud Platform
• Systèmes de soutien et processus internes
• Employés, entrepreneurs et tiers

‍

‍

Rôles et responsabilités

• CTO / Responsable de l’ingénierie : Responsabilité globale de la sécurité de la plateforme
• DevOps : Met en œuvre et maintient les contrôles de sécurité cloud
• Développeurs : Suivez le codage sécurisé et les normes SDLC
• Équipe de soutien : Gère les incidents et les notifications aux clients

‍

‍

Principes de sécurité

• Moins de privilèges 
• Accès des informations nécessaires
• Séparation des fonctions 
• Approche zéro confiance
• Sécurité par conception

‍

‍

Garanties techniques

• Chiffrement (TLS, AES-256)
• Authentification SSO via Google Identity
• Rôles RBAC à grains finis
• GCP Cloud Logging & Monitoring
• Correctifs automatisés d’infrastructure
• Sauvegardes quotidiennes avec capacité de restauration

‍

‍

Garanties organisationnelles

• Procédures d’intégration et de démarche
• Attentes en matière de sécurité des dispositifs
• Obligations de confidentialité
• Sensibilisation obligatoire à la sécurité

‍

‍

Gestion des risques

• Risques évalués périodiquement
• Contrôles mis à jour en fonction des résultats
• Événements de sécurité documentés et examinés

‍

‍

Conformité

• Traitement conforme au RGPD
• DPA disponible pour les clients
• Sous-processeurs listés publiquement

‍

‍

Amélioration continue

• Examens réguliers des contrôles
• Mises à niveau vers les configurations de sécurité cloud
• Surveillance des menaces émergentes