Seguridad de productos
En Stryker, nos preocupamos profundamente por la seguridad y la protección de nuestros productos porque sabemos lo importantes que son. Nuestro equipo de seguridad de productos trabaja sin descanso para aplicar medidas de seguridad sólidas y colabora con socios del sector para mejorar continuamente nuestras prácticas de seguridad. Adoptamos un enfoque de seguridad proactivo para adelantarnos a las amenazas emergentes y tomar las medidas adecuadas para hacer frente a las vulnerabilidades. Su confianza es nuestra principal prioridad, y estamos comprometidos a proteger los productos y datos de los que depende.
Nuestro compromiso
Llevamos a cabo evaluaciones de seguridad exhaustivas de nuestros productos a lo largo de su ciclo de vida para identificar y mitigar posibles vulnerabilidades. La seguridad está integrada en cada etapa de nuestro proceso de desarrollo de productos, desde el diseño hasta la implementación, lo que garantiza que sea un elemento fundamental en todo lo que hacemos.
Nuestro objetivo
Diseño y desarrollo de dispositivos
- Durante las fases de diseño y desarrollo de nuevos dispositivos médicos, aplicamos medidas de seguridad que incluyen modelos de amenazas, evaluaciones de riesgos e incorporación de controles de seguridad en la arquitectura del producto.
- La colaboración entre los equipos de ingeniería, ciberseguridad, privacidad y regulación da lugar a un enfoque holístico para aplicar las mejores prácticas de seguridad en la innovación de productos.
- Nos aseguramos de que la seguridad se tenga en cuenta desde las etapas iniciales de diseño para mitigar posibles vulnerabilidades y amenazas que podrían afectar a la seguridad de los pacientes o poner en peligro datos confidenciales.
Cadena de suministro
- La seguridad de la cadena de suministro se centra en mitigar los riesgos asociados con la adquisición, fabricación, distribución y mantenimiento de dispositivos médicos.
- Colaboramos estrechamente con proveedores y socios para establecer requisitos de seguridad, realizar evaluaciones exhaustivas y salvaguardar la integridad de los componentes y el software integrados en sus productos.
- Medidas como prácticas de codificación segura, validación de firmware y canales de distribución seguros ayudan a prevenir la manipulación, la falsificación o las modificaciones no autorizadas a lo largo de la cadena de suministro.
Respuesta a incidentes y gestión de vulnerabilidades
- Stryker ha aplicado sólidos procesos de respuesta a incidentes y gestión de vulnerabilidades para detectar, evaluar y mitigar rápidamente los problemas de seguridad. Esto incluye el establecimiento de protocolos de comunicación, la coordinación de los esfuerzos de respuesta con los clientes y los reguladores, la publicación de parches o actualizaciones oportunas y la realización de revisiones posteriores a los incidentes.
- A pesar de las medidas de seguridad proactivas, pueden producirse vulnerabilidades e incidentes durante el ciclo de vida de los dispositivos médicos.
Asociaciones en atención sanitaria
- Nuestros expertos en la materia participan con grupos del sector para promover los principios de ciberseguridad y las mejores prácticas del sector.
- Fomentamos una cultura de transparencia y colaboración con los clientes, las partes interesadas del sector y los proveedores para reforzar la seguridad.
- Ayudamos en el desarrollo de marcos industriales, documentos técnicos y compromisos proactivos con los reguladores para contribuir a mejorar la atención sanitaria.
Avisos de seguridad más recientes
Vulnerabilidades del Administrador de trabajos de impresión de Microsoft (CVE-2021-34527 y CVE-2021-36958)
Divulgación coordinada de vulnerabilidades (CVD) de productos
Los investigadores de seguridad desempeñan un papel en la identificación de vulnerabilidades y problemas de ciberseguridad. Stryker cuenta con un proceso de divulgación coordinada de vulnerabilidades (CVD) para fomentar la colaboración y la notificación eficaz de las vulnerabilidades de los dispositivos médicos de Stryker.
Información importante sobre nuestro proceso de CVD
Trabajamos de buena fe con investigadores y partes que prueban nuestros productos y no emprenderemos acciones legales contra las personas que presenten informes a través de nuestro proceso de CVD. El uso de este proceso se considera un acuerdo legal con Stryker.
Accedemos a trabajar con personas que:
- Participen en el análisis de sistemas/investigaciones sin dañar a Stryker ni a sus clientes.
- Realicen pruebas de productos sin afectar a nuestros clientes o reciban el permiso/consentimiento de los clientes antes de participar en análisis de vulnerabilidad en sus dispositivos/software.
- Participen en análisis de vulnerabilidad dentro del alcance de nuestro programa de CVD de acuerdo con los términos y condiciones de cualquier acuerdo firmado entre Stryker y personas individuales.
- Cumplan con las leyes de su ubicación y de la ubicación de Stryker.
- Se abstengan de divulgar detalles de la vulnerabilidad antes de que caduque el período acordado mutuamente.
En caso de que decida compartir cualquier información con Stryker, acepta que la información que envíe se considerará como pública y no confidencial y que Stryker puede usarla del modo en que desee, de manera completa o parcial, sin ninguna restricción. Además, acepta que el envío de información no le otorga ningún derecho ni establece ninguna obligación para Stryker.
Lo que puede esperar de nosotros
- Proporcionaremos una respuesta rápida a su correo electrónico (durante los 10 días laborables siguientes).
- Dirigiremos los resultados posibles a los correspondientes equipos de producto para su verificación y reproducción. En esta fase, es posible que nos pongamos en contacto con usted para que nos facilite información adicional.
- Tras una investigación del informe, confirmaremos la existencia de la vulnerabilidad y el posible impacto. Si se determina que la vulnerabilidad identificada va a causar un impacto en la seguridad del paciente, trabajaremos sin demora hasta elaborar una solución y adoptar la acción correspondiente. El resto de las vulnerabilidades se evaluarán y solucionarán en función del riesgo asociado.
- Hablaremos de los problemas en un diálogo abierto.
- Notificaremos cuando el análisis de vulnerabilidad haya completado cada fase de nuestra revisión.
- Si así lo desea, proporcionaremos reconocimiento una vez se haya validado y resuelto la vulnerabilidad.
Nos comprometemos a ser todo lo transparentes que podamos en cuanto al plazo de solución y a los problemas y desafíos que puedan surgir.
Si no somos capaces de resolver problemas de comunicación o de otro tipo, puede que impliquemos a una tercera parte neutral (como CERT/CC, ICS-CERT o el organismo regulador correspondiente) para que nos ayude a determinar el mejor modo de gestionar la vulnerabilidad.
Todos los aspectos del proceso de CVD de Stryker están sujetos a cambios sin previo aviso, a discreción exclusiva de Stryker. No se garantiza ningún nivel concreto de respuesta.
Proceso de gestión de vulnerabilidades
Nuestro proceso de divulgación coordinada de vulnerabilidades (CVD) incluye productos de software sanitarios y dispositivos médicos regulados, como dispositivos médicos, software como dispositivo médico (SaMD) y aplicaciones médicas móviles. No está destinado a proporcionar información de asistencia técnica sobre nuestros productos, informar de acontecimientos adversos o presentar quejas sobre la calidad de los productos.
Cómo informar sobre vulnerabilidades no relacionadas con los productos
Para informar sobre vulnerabilidades no relacionadas con productos en la infraestructura empresarial de Stryker, póngase en contacto con nosotros a través del programa de divulgación de vulnerabilidades de TI de Stryker Enterprise en bugcrowd.com/stryker-vdp.
Cómo presentar una vulnerabilidad
Si ha identificado una posible vulnerabilidad en uno de nuestros dispositivos médicos, software como dispositivo médico (SaMD) o aplicaciones médicas móviles, utilice el siguiente formulario para enviar un informe de vulnerabilidad al equipo de seguridad de productos de Stryker.
Para notificar un acontecimiento adverso o una queja sobre la calidad de un producto relacionado con un producto Stryker, visite
stryker.com/productexperience.
Formulario de presentación de vulnerabilidades
Lo que esperamos que nos proporcione en su envío
- Informes escritos en inglés.
- Informes con código de prueba de concepto, para ayudarnos a realizar la clasificación.
- Cómo ha detectado la vulnerabilidad, el impacto y cualquier posible solución.
- Cualquier plan o intención para la divulgación pública.
- Nota: Los informes que incluyan únicamente volcados de memoria o resultados de herramientas automáticos pueden recibir una prioridad inferior.
DRE-GSNPS-PPT-1185510