Productveiligheid
De beveiliging en veiligheid van onze producten staan bij Stryker hoog in het vaandel, omdat we weten hoe belangrijk ze zijn. In ons toegewijde productveiligheidsteam wordt voortdurend gewerkt aan het implementeren van robuuste beveiligingsmaatregelen. Daarnaast werken we samen met partners in de branche om onze beveiligingspraktijken voortdurend te verbeteren. Wij volgen een proactieve veiligheidsaanpak zodat we opkomende bedreigingen voorblijven en gepaste maatregelen kunnen nemen om kwetsbaarheden aan te pakken. Voor ons heeft uw vertrouwen de hoogste prioriteit, en wij doen er alles aan om de producten en gegevens waarop u vertrouwt te beschermen.
Waar wij ons voor inzetten
Wij voeren strenge veiligheidsbeoordelingen uit op onze producten gedurende hun hele levenscyclus om eventuele kwetsbaarheden te identificeren en te beperken. Veiligheid is geïntegreerd in elke fase van ons productontwikkelingsproces, van ontwerp tot implementatie, waardoor het een fundamenteel element is in alles wat we doen.
Onze focus
Apparaatontwerp en -ontwikkeling
- Wij implementeren veiligheidsmaatregelen tijdens de ontwerp- en ontwikkelingsfasen van nieuwe medische apparaten, zoals dreigingsmodellen, risicobeoordelingen en het inbouwen van veiligheidscontroles in de productarchitectuur.
- Samenwerking tussen engineering-, cyberbeveiligings-, privacy- en regelgevende teams zorgt voor een totaalaanpak om best practices op het gebied van veiligheid te implementeren in productinnovatie.
- Tijdens de eerste ontwerpfasen zorgen wij ervoor dat de veiligheid in acht wordt genomen om mogelijke kwetsbaarheden en bedreigingen te beperken die de veiligheid van de patiënt kunnen aantasten of gevoelige gegevens in gevaar kunnen brengen.
Toeleveringsketen
- Beveiliging van de toeleveringsketen is gericht op het beperken van risico's die gepaard gaan met de aankoop, productie, distributie en het onderhoud van medische hulpmiddelen.
- Wij werken nauw samen met leveranciers en partners om vereisten op het gebied van veiligheid op te stellen, diepgaande beoordelingen uit te voeren en de integriteit van onderdelen en software die in hun producten geïntegreerd zijn, te beschermen.
- Maatregelen zoals veilige coderingspraktijken, firmwarevalidatie en veilige distributiekanalen helpen om manipulatie, vervalsing of ongeoorloofde wijzigingen in de hele toeleveringsketen te voorkomen.
Reactie bij incidenten en beheer van kwetsbaarheden
- Stryker heeft robuuste processen voor reactie op incidenten en beheer van kwetsbaarheden geïmplementeerd om onmiddellijk veiligheidsproblemen op te sporen, te beoordelen en te beperken. Dit bestaat onder andere uit het opstellen van communicatieprotocollen, het coördineren van reactie-inspanningen met klanten en regelgevende instanties, het tijdig uitbrengen van patches of updates en het uitvoeren van beoordelingen na een incident.
- Toch kunnen er, ondanks proactieve veiligheidsmaatregelen, nog steeds kwetsbaarheden en incidenten optreden tijdens de levenscyclus van medische hulpmiddelen.
Partnerschappen in de gezondheidszorg
- Onze experts op dit gebied werken samen met branchegroepen om cyberbeveiligingsprincipes en beste praktijken in de branche te bevorderen.
- Wij bevorderen een cultuur van transparantie en samenwerking met klanten, belanghebbende partijen in de branche en leveranciers om de veiligheid te verbeteren.
- Wij helpen bij de ontwikkeling van industriële kaders, technische documenten en proactieve afspraken met regelgevende instanties om de gezondheidszorg te optimaliseren.
Meest recente beveiligingsadviezen
Gecoördineerde openbaarmaking van kwetsbaarheden (CVD, Coordinated Vulnerability Disclosure)
Beveiligingsdeskundigen spelen een rol bij het identificeren van kwetsbaarheden en problemen op het gebied van cyberbeveiliging. Stryker hanteert een proces voor gecoördineerde openbaarmaking van kwetsbaarheden (Coordinated Vulnerability Disclosure - CVD) om samenwerking en doeltreffende rapportage van kwetsbaarheden in medische hulpmiddelen van Stryker te bevorderen.
Belangrijke informatie over ons CVD-proces
Wij werken te goeder trouw samen met onderzoekers en partijen die onze producten testen en zullen geen juridische stappen ondernemen tegen personen die rapporten indienen via ons CVD-proces. Uw gebruik van dit proces wordt beschouwd als een wettelijke overeenkomst met Stryker.
Wij werken samen met personen die:
- zich bezighouden met het testen van systemen/onderzoeken zonder schade aan te brengen aan Stryker of zijn klanten;
- testen uitvoeren op producten zonder dat dit gevolgen heeft voor klanten, of hiervoor goedkeuring/toestemming krijgen van klanten voordat ze kwetsbaarheidstests uitvoeren op hun apparaten/software;
- deelnemen aan kwetsbaarheidstesten binnen het toepassingsgebied van ons CVD-programma in overeenstemming met de voorwaarden van overeenkomsten die zijn aangegaan tussen Stryker en individuen;
- zich houden aan de wetten van hun locatie en de locatie van Stryker;
- afzien van het onthullen van details over kwetsbaarheden voordat een onderling overeengekomen tijdsbestek is verstreken.
Indien u besluit eventuele informatie te delen met Stryker, gaat u ermee akkoord dat de informatie die u indient wordt beschouwd als niet-bedrijfseigen en niet-vertrouwelijk en dat Stryker dergelijke informatie op elke manier, in zijn geheel of gedeeltelijk, en zonder enige beperking mag gebruiken. Bovendien stemt u ermee in dat het indienen van informatie geen rechten voor u of enige verplichting voor Stryker oplevert.
Wat kunt u van ons verwachten
- Wij zullen tijdig op uw e-mail reageren (binnen 10 werkdagen).
- We zullen de mogelijke bevindingen doorsturen naar de juiste productteams voor verificatie en reproductie. In deze fase kan er contact met u opgenomen worden voor aanvullende informatie.
- Wij zullen, na het onderzoek van een melding, het bestaan van de kwetsbaarheid en de mogelijke impact ervan bevestigen. Als de vastgestelde kwetsbaarheid hoogstwaarschijnlijk invloed heeft op patiëntveiligheid, zullen wij alles op alles zetten om een oplossing te vinden en de nodige maatregelen te nemen. Alle andere kwetsbaarheden worden beoordeeld en aangepakt op basis van het bijbehorende risico.
- We zullen kwesties in een open dialoog bespreken.
- Wij zullen u op de hoogte brengen als de kwetsbaarheidsanalyse elke fase van onze beoordeling heeft voltooid.
- Desgewenst zorgen wij voor erkenning nadat de kwetsbaarheid is gevalideerd en verholpen.
We spannen ons ervoor in om zo transparant mogelijk te zijn over het tijdsbestek van het herstel en eventuele problemen of uitdagingen waarmee wij te maken krijgen.
Als wij eventuele communicatieproblemen of andere problemen niet kunnen oplossen, roepen wij mogelijk de hulp in van een neutrale derde partij (zoals CERT/CC, ICS-CERT of de relevante regelgevende instantie) om te helpen vast te stellen hoe wij de kwetsbaarheid het beste kunnen aanpakken.
Alle onderdelen van het CVD-proces van Stryker kunnen zonder voorafgaande kennisgeving naar eigen goeddunken van Stryker worden gewijzigd. Er wordt geen specifiek reactieniveau gegarandeerd.
Kwetsbaarheidsbeheerproces
Ons gecoördineerde proces voor openbaarmaking van kwetsbaarheden (Coordinated Vulnerability Disclosure - CVD) betreft gereguleerde medische hulpmiddelen en gezondheidssoftwareproducten, waaronder medische hulpmiddelen, software als medisch hulpmiddel (Software as a Medical Device - SaMD) en mobiele medische toepassingen. Het is niet bedoeld voor het verstrekken van technische ondersteuningsinformatie over onze producten, voor het melden van ongewenste voorvallen of voor het indienen van klachten over productkwaliteit.
Kwetsbaarheden die geen betrekking hebben op een product melden
Om kwetsbaarheden die geen betrekking hebben op het product in de bedrijfsinfrastructuur van Stryker te melden, kunt u contact met ons opnemen via het Stryker Enterprise IT Vulnerability Disclosure Program op bugcrowd.com/stryker-vdp.
Een kwetsbaarheid indienen
Als u een potentieel kwetsbaar probleem hebt ontdekt bij een van onze medische apparaten, Software as a Medical Device (SaMD) of mobiele medische toepassingen, kunt u het onderstaande formulier gebruiken om een kwetsbaarheidsrapport in te dienen bij het Product Security-team van Stryker.
Om een ongewenst voorval of productkwaliteitsklacht met betrekking tot een product van Stryker te melden, gaat u naar
stryker.com/productexperience.
Formulier voor indienen van kwetsbaarheden
Wat we van u willen zien in uw inzending
- rapporten geschreven in het Engels;
- rapporten die een ‘proof‐of‐concept’-code bevatten, waarmee we de triage beter kunnen uitvoeren;
- hoe u de kwetsbaarheid hebt gevonden, de impact ervan en een mogelijke oplossing;
- eventuele plannen of intenties voor publieke openbaarmaking.
- Opmerking: rapporten die slechts crashdumps of andere output van geautomatiseerde tools bevatten, krijgen een lagere prioriteit.
DRE-GSNPS-PPT-1185510