PhotoRobot informatiebeveiligingsbeleid

Dit document definieert het PhotoRobot Information Security Policy. Het beschrijft de principes, verantwoordelijkheden en controles die door PhotoRobot zijn geïmplementeerd om systemen, data en klantinformatie te beschermen. Het Information Security Policy ondersteunt de naleving van de contractuele verplichtingen van PhotoRobot onder de DPA en SLA.

‍

‍

Doelstellingen

• Waarborgen vertrouwelijkheid, integriteit en beschikbaarheid van alle systemen en gegevens
• Definieer duidelijke rollen en verantwoordelijkheden voor informatiebeveiliging
• Handhaaf naleving van de AVG en de beste praktijken in de industrie
• Governance bieden voor risicobeheer en continue verbetering

‍

‍

Reikwijdte

Omslagen:

• PhotoRobot Cloud-platform
• Infrastructuur gehost op Google Cloud Platform
• Ondersteunende systemen en interne processen
• Werknemers, aannemers en derden

‍

‍

Rollen & Verantwoordelijkheden

• CTO / Engineering Lead: Algemene verantwoordelijkheid voor platformbeveiliging
• DevOps: Implementeert en onderhoudt cloudbeveiligingscontroles
• Ontwikkelaars: Volg veilige codering en SDLC-standaarden
• Ondersteuningsteam: Behandelt incidenten en klantmeldingen

‍

‍

Beveiligingsprincipes

• Minst privilege 
• Need-to-know toegang 
• Segregatie van taken 
• Zero-trustbenadering 
• Beveiliging door ontwerp

‍

‍

Technische waarborgen

• Versleuteling (TLS, AES-256)
• SSO-authenticatie via Google Identity
• Fijnkorrelige RBAC-rollen
• GCP Cloud Logging & Monitoring
• Geautomatiseerde infrastructuurpatching
• Dagelijkse back-ups met herstelmogelijkheid

‍

‍

Organisatorische waarborgen

• Onboarding- en offboardingprocedures 
• Verwachtingen voor apparaatbeveiliging
• Vertrouwelijkheidsverplichtingen
• Verplichte beveiligingsbewustwording

‍

‍

Risicobeheer

• Periodiek beoordeelde risico's
• Controles bijgewerkt op basis van bevindingen
• Beveiligingsgebeurtenissen gedocumenteerd en beoordeeld

‍

‍

Naleving

• GDPR-conforme verwerking
• DPA beschikbaar voor klanten
• Subprocessors die openbaar worden vermeld

‍

‍

Continue Verbetering

• Regelmatige controles van controles
• Upgrades naar cloudbeveiligingsconfiguraties
• Monitoring van opkomende dreigingen