我們的 承諾
我們在整個產品生命週期進行全面的產品安全評估，識別和減少潛在的弱點。 安全是整合在我們產品開發過程中從設計到部署的各個階段，確保安全在我們做的每一件事中是基石要素。
我們的焦點
裝置設計和開發
- 在新醫療裝置的設計和開發階段，我們實施安全措施，包括威脅建模、風險評估以及將安全控管嵌入產品架構中。
- 工程、網路安全、隱私和法規團隊之間協作提供有關整體方法的資訊，在產品創新中實施安全最佳實務。
- 我們確保從初始設計階段即考慮到安全，減少可能影響患者安全或損害敏感資料的潛在弱點和威脅。
供應鏈
- 供應鏈安全著重於減少與醫療裝置之採購、製造、配銷和維護相關的風險。
- 我們與供應商和夥伴密切合作，建立安全要求，執行全面評估，並保障其產品中整合組件和軟體完整性的安全。
- 安全編碼實務、韌體驗證和安全配銷管道等措施有助於防止在整個供應鏈中篡改、偽造或未經授權修改。
事件應變和弱點管理
- Stryker 已實施健全的事件應變和弱點管理流程，可立即偵測、評估和減少安全問題。 這包括建立溝通規程、與客戶和法規機構協調應變措施、及時發布修補程式或更新以及進行事件後審查。
- 儘管採取主動的安全措施，在醫療裝置生命週期內仍然可能出現弱點和事件。
醫療保健夥伴關係
- 我們的主題專家參與產業團體，推動網路安全原則和產業最佳實務。
- 我們與客戶、產業利害關係人和供應商營造一個透明協作文化以加強安全。
- 我們協助開發產業框架、技術論文，並主動與法規機構合作，幫助改善醫療保健。
產品協調式弱點揭露 (CVD)
安全性研究者在識別網路安全性弱點和顧慮方面起顯著作用。 Stryker 制定了協調式弱點揭露 (CVD) 流程，促進協同合作以及有效通報 Stryker 的醫療裝置弱點。
關於我們 CVD 流程的重要資訊
我們善意地與測試我們產品的研究者和各方合作，不會對透過我們 CVD 流程提交報告的個體採取法律行動。 如果您使用本流程，視同與 Stryker 簽訂法律協議。
我們同意與以下的個體合作：
- 在不危及 Stryker 或其客戶下參與系統測試/研究。
- 在不影響客戶下對產品執行測試，或在對客戶的裝置/軟體進行弱點測試前先徵求客戶的許可/同意。
- 依照使用條款和 Stryker 與個體之間構成的任何協議，在我們的 CVD 計畫的範圍內參與弱點測試。
- 遵守其當地和 Stryker 所在地的法律。
- 在任何雙方同意的時間範圍到期前避免揭露弱點詳細資訊。
在您決定與 Stryker 分享任何資訊的情況下，您同意您提交的資訊將視為非專利且非機密，並且允許 Stryker 在無任何限制下以任何方式使用全部或部分此類資訊。 在此，您同意提交資訊並不對您構成任何權利或對 Stryker 構成任何義務。
您可以預期我們
- 我們將及時回覆您的電子郵件 (10 個工作天內)。
- 將可能的發現轉呈給適當的產品團隊進行驗證和重現。 我們可能會在這個階段聯絡您提供更多資訊。
- 我們將隨著報告的調查過程，確認弱點的存在和可能的衝擊。 如果發現的弱點確定會影響患者安全，我們將努力迅速開發解決方案並採取適當的行動。 所有其他弱點都將根據相關聯的風險進行評估並解決。
- 我們將公開討論問題。
- 我們將在我們審查的各個階段完成弱點分析時進行通知。
- 我們將在弱點經過驗證和解決後予以表彰 (若同意)。
關於補救時間表以及可能涉及的問題或挑戰，我們會努力盡可能保持公開透明。
如果我們無法解決通訊問題或其他問題，可能會聘請中立的第三方 (例如 CERT/CC、ICS-CERT 或相關監管機構) 來協助決定如何以最佳的方式來處理弱點。
Stryker 的 CVD 流程之所有層面如有變更恕不另行通知，由 Stryker 自行決定。 不保證給予具體程度的回覆。
弱點管理流程
我們的協調式弱點揭露 (CVD) 流程涵蓋受監管的醫療裝置和健康軟體產品，包括醫療裝置、醫療裝置軟體 (SaMD) 和行動醫療應用程式。 這並非要用於提供我們產品相關的技術支援資訊，通報不良事件或提交產品品質投訴。
如何報告非產品弱點
若要通報 Stryker 企業基礎結構的非產品弱點，請使用 Stryker Enterprise IT 弱點揭露計畫聯絡我們，網址為 bugcrowd.com/stryker-vdp。
如何提交弱點
如果您發現我們的某種醫療裝置、軟體即醫療裝置 (SaMD) 或行動醫療應用程式中有潛在弱點，請使用下表格向 Stryker 的產品安全團隊提交弱點報告。
若要提報與 Stryker 產品相關的不良事件或產品品質投訴，請造訪
stryker.com/productexperience。
弱點提交表
我們想要在您的提交內容中看到
- 報告以英文書寫。
- 報告包含概念證明程式碼，這將更方便我們分類。
- 您發現弱點的方式、衝擊及任何可能的修復方法。
- 公開揭露的任何計畫或意圖。
- 注意： 僅包含當機傾印或其他自動化工具輸出的報告可能會以較低的優先順序處理。
DRE-GSNPS-PPT-1185510