Bezpieczeństwo produktów
W firmie Stryker przywiązujemy dużą wagę do bezpieczeństwa naszych produktów, ponieważ wiemy, jak bardzo jest to dla Ciebie ważne. Nasz oddany zespół ds. bezpieczeństwa produktów nieustannie pracuje nad wdrażaniem skutecznych środków bezpieczeństwa i współpracuje z partnerami branżowymi w celu ciągłego udoskonalania naszych praktyk bezpieczeństwa. Stosujemy proaktywne podejście do kwestii bezpieczeństwa, aby być o krok przed nowymi zagrożeniami i podejmować odpowiednie działania w celu wyeliminowania luk w zabezpieczeniach. Twoje zaufanie jest naszym priorytetem i zobowiązujemy się do ochrony produktów i danych, na których polegasz.
Nasze zaangażowanie
Przeprowadzamy szczegółowe oceny bezpieczeństwa naszych produktów na każdym etapie ich cyklu życia w celu identyfikacji i ograniczenia potencjalnych luk w zabezpieczeniach. Bezpieczeństwo jest integralną częścią każdego etapu naszego procesu rozwoju produktu – od projektowania po wdrożenie, zapewniając, że jest to element podstawowy we wszystkim co robimy.
Nasze skupienie
Projektowanie i rozwój urządzeń
- Podczas fazy projektowania i rozwoju nowych urządzeń medycznych wdrażamy środki bezpieczeństwa obejmujące modelowanie zagrożeń, oceny ryzyka i osadzanie kontroli bezpieczeństwa w architekturze produktu.
- Współpraca między zespołami ds. inżynierii, cyberbezpieczeństwa, prywatności i regulacji pozwala na holistyczne podejście do wdrażania najlepszych praktyk bezpieczeństwa w innowacyjnych produktach.
- Dbamy o to, aby kwestie bezpieczeństwa były uwzględniane już na początkowych etapach projektowania, aby ograniczyć potencjalne luki w zabezpieczeniach i zagrożenia, które mogłyby wpłynąć na bezpieczeństwo pacjentów lub narazić na szwank poufne dane.
Łańcuch dostaw
- Bezpieczeństwo łańcucha dostaw koncentruje się na ograniczaniu ryzyka związanego z zakupem, produkcją, dystrybucją i konserwacją urządzeń medycznych.
- Współpracujemy ściśle z dostawcami i partnerami w celu ustalenia wymogów bezpieczeństwa, przeprowadzania szczegółowych ocen oraz ochrony integralności komponentów i oprogramowania zintegrowanego z ich produktami.
- Środki takie jak bezpieczne praktyki kodowania, walidacja oprogramowania sprzętowego i bezpieczne kanały dystrybucji pomagają zapobiegać manipulacjom, podrabianiu lub nieautoryzowanym modyfikacjom w całym łańcuchu dostaw.
Reagowanie na incydenty i zarządzanie lukami w zabezpieczeniach
- Firma Stryker wdrożyła skuteczne procesy reagowania na incydenty i zarządzania lukami w zabezpieczeniach, aby szybko wykrywać, oceniać i łagodzić problemy związane z bezpieczeństwem. Obejmuje to ustanawianie protokołów komunikacyjnych, koordynowanie działań reagowania z klientami i organami regulacyjnymi, wydawanie terminowych poprawek i aktualizacji oraz przeprowadzanie przeglądów po incydentach.
- Mimo stosowania proaktywnych środków bezpieczeństwa, w trakcie cyklu życia urządzeń medycznych wciąż mogą pojawiać się luki w zabezpieczeniach i incydenty.
Partnerstwa w zakresie opieki zdrowotnej
- Nasi eksperci merytoryczni współpracują z grupami branżowymi w celu upowszechniania zasad cyberbezpieczeństwa i najlepszych praktyk branżowych.
- W celu wzmocnienia bezpieczeństwa pielęgnujemy kulturę przejrzystości i współpracy z klientami, interesariuszami branżowymi i dostawcami.
- Pomagamy w opracowywaniu ram branżowych, dokumentów technicznych i proaktywnej współpracy z organami regulacyjnymi, aby przyczynić się do poprawy opieki zdrowotnej.
Najnowsze ogłoszenia dotyczące bezpieczeństwa
Luki w zabezpieczeniach dotyczących bufora wydruku firmy Microsoft (CVE-2021-34527 i CVE-2021-36958)
Raport firmy “SweynTooth” dotyczący luk w zabezpieczeniach oprogramowania BLE (ICSA- 20-063-01)
Skoordynowane ujawnianie luk w zabezpieczeniach produktu (CVD)
Badacze ds. bezpieczeństwa odgrywają rolę w identyfikowaniu luk i zagrożeń w zakresie cyberbezpieczeństwa. Firma Stryker wdrożyła proces skoordynowanego ujawniania luk w zabezpieczeniach (CVD), którego celem jest wspieranie współpracy i skutecznego zgłaszania luk w zabezpieczeniach urządzeń medycznych firmy Stryker.
Ważne informacje o naszym procesie CVD
Współpracujemy w dobrej wierze z badaczami i stronami testującymi nasze produkty i nie będziemy podejmować kroków prawnych przeciwko osobom przesyłającym raporty za pośrednictwem naszego procesu CVD. Skorzystanie z tej procedury jest uważane za zawarcie umowy prawnej ze spółką Stryker.
Podejmujemy współpracę z osobami fizycznymi, które:
- Angażują się w testowanie systemów/badań bez szkody dla firmy Stryker ani jej klientów.
- Angażują się w testowanie produktów bez wpływu na klientów lub po uzyskaniu ich zgody na sprawdzanie ich urządzeń/oprogramowania itp. pod kątem diagnozowania luk w zabezpieczeniach.
- Angażują się w testowanie pod kątem luk w zabezpieczeniach z uwzględnieniem zakresu naszego programu CVD i w zgodzie z warunkami oraz postanowieniami wszelkich umów zawartych pomiędzy firmą Stryker a osobami fizycznymi.
- Przestrzegają przepisów prawa obowiązującego w lokalizacji osoby przeprowadzającej testy oraz w lokalizacji firmy Stryker.
- Nie ujawniają szczegółów dotyczących luk w zabezpieczeniach przed upływem wspólnie uzgodnionego terminu.
Decyzja o udostępnieniu jakichkolwiek informacji firmie Stryker jest jednoznaczna z wyrażeniem zgody na uznanie przesłanych informacji za niezastrzeżone i niepoufne oraz na prawo firmy Stryker do wykorzystywania tych informacji w dowolny sposób, w całości lub w części, bez żadnych ograniczeń. Ponadto oznacza uznanie, że przesłanie informacji nie powoduje przyznania osobie przesyłającej jakichkolwiek praw ani powstania zobowiązań po stronie firmy Stryker.
Co oferujemy
- Zapewniamy szybką odpowiedź na wiadomość e-mail (w ciągu 10 dni roboczych).
- Przekazanie potencjalnych odkryć odpowiednim zespołom produktowym do weryfikacji i odtworzenia. Na tym etapie możemy poprosić autora zgłoszenia o dodatkowe informacje.
- Potwierdzenie istnienia luki w zabezpieczeniach i jej potencjalnego wpływu po zweryfikowaniu zgłoszenia. Jeśli okaże się, że wykryta luka wpływa na bezpieczeństwo pacjenta, niezwłocznie przystąpimy do opracowywania rozwiązania i podejmiemy stosowne działania. Pozostałe luki będą oceniane i badane z uwzględnieniem wiążącego się z nimi ryzyka.
- Będziemy omawiać problemy w otwartym dialogu.
- Zapewniamy powiadomienie o ukończeniu analizy luki w zabezpieczeniach na każdym etapie weryfikacji.
- Na życzenie — zapewniamy uznanie po weryfikacji i eliminacji luki.
Zależy nam na maksymalnej transparentności w sprawie terminów eliminacji błędów i rozwiązania ewentualnych problemów powstających w związku z nimi.
Jeśli nie będziemy w stanie rozwiązać problemów komunikacyjnych lub innych, możemy poprosić neutralną stronę zewnętrzną (np. organizacje takie jak CERT/CC, ICS-CERT lub odpowiednie organy regulacyjne) o pomoc w określeniu najlepszego sposobu zajęcia się luką w zabezpieczeniach.
Wszystkie aspekty procesu CVD firmy Stryker mogą ulec zmianie bez powiadomienia, według wyłącznego uznania firmy Stryker. Nie gwarantujemy żadnej konkretnej formy odpowiedzi.
Proces zarządzania lukami w zabezpieczeniach
Nasz proces skoordynowanego ujawniania luk w zabezpieczeniach (CVD) obejmuje regulowane urządzenia medyczne i oprogramowanie medyczne, w tym urządzenia medyczne, oprogramowanie jako wyrób medyczny (SaMD) i mobilne aplikacje medyczne. Celem niniejszego dokumentu nie jest udzielanie informacji dotyczących wsparcia technicznego naszych produktów, zgłaszanie zdarzeń niepożądanych ani składanie reklamacji dotyczących jakości produktów.
Jak zgłaszać luki w zabezpieczeniach niezwiązane z produktem
Aby zgłosić luki w zabezpieczeniach infrastruktury przedsiębiorstwa firmy Stryker niezwiązane z produktem, prosimy o kontakt za pośrednictwem programu Stryker Enterprise IT Vulnerability Disclosure Program pod adresem bugcrowd.com/stryker-vdp.
Jak przesłać informacje o luce w zabezpieczeniach
Jeśli zidentyfikowałeś potencjalną lukę w zabezpieczeniach któregoś z naszych urządzeń medycznych, oprogramowania jako urządzenia medycznego (SaMD) lub mobilnych aplikacji medycznych, skorzystaj z poniższego formularza, aby przesłać raport o luce w zabezpieczeniach do zespołu ds. bezpieczeństwa produktów firmy Stryker.
Zdarzenie niepożądane oraz skargi związane z jakością produktu firmy Stryker można zgłaszać pod adresem
stryker.com/productexperience.
Formularz zgłaszania luk w zabezpieczeniach
Co chcielibyśmy otrzymywać w Twoim zgłoszeniu
- zgłoszenia napisane w języku angielskim;
- zgłoszenia zawierające kod potwierdzający słuszność wniosku, co bierzemy pod uwagę podczas selekcjonowania przesłanych informacji;
- informacje dotyczące sposobu znalezienia luki w zabezpieczeniach, jej wpływu oraz potencjalnych środków zaradczych;
- informacje o ewentualnych planach lub zamiarach publicznego ujawnienia.
- Uwaga: Zgłoszenia zawierające jedynie zrzut awaryjny lub dane z innego narzędzia automatycznego mogą uzyskać niższy priorytet.
DRE-GSNPS-PPT-1185510