Securitatea produselor
La Stryker, ne pasă foarte mult de securitatea și siguranța produselor noastre, deoarece știm cât de importante sunt acestea pentru dvs. Echipa noastră dedicată, responsabilă de securitatea produselor, lucrează neobosit pentru a implementa măsuri de securitate robuste și colaborează cu partenerii din industrie pentru a îmbunătăți continuu practicile noastre de securitate. Adoptăm o abordare proactivă asupra securității, pentru a fi mereu cu în pas înaintea amenințărilor care pot apărea și a putea lua măsurile adecvate de gestionare a vulnerabilităților. Încrederea dvs. este prioritatea noastră principală și ne angajăm să protejăm produsele și datele de care depindeți.
Angajamentul nostru
Efectuăm evaluări amănunțite de securitate ale produselor noastre, pe tot parcursul ciclului de viață, pentru a identifica și a atenua potențialele vulnerabilități. Securitatea este integrată în fiecare etapă a procesului nostru de dezvoltare a produselor, de la proiectare la implementare, asigurându-ne astfel că este un element de bază în tot ceea ce facem.
Domenii prioritare
Proiectarea și dezvoltarea dispozitivelor
- În timpul etapelor de proiectare și dezvoltare a noilor dispozitive medicale, implementăm măsuri de securitate care includ modelarea amenințărilor, evaluări ale riscurilor și încorporarea controalelor de securitate în arhitectura produsului.
- Colaborarea dintre echipele de inginerie, securitate cibernetică, confidențialitate și reglementare reprezintă o abordare holistică, care vizează implementarea celor mai bune practici de securitate în inovarea produselor.
- Ne asigurăm că securitatea este luată în considerare încă din etapele inițiale de proiectare, pentru a atenua potențialele vulnerabilități și amenințări care ar putea afecta siguranța pacienților sau ar putea compromite datele sensibile.
Lanțul de aprovizionare
- Securitatea lanțului de aprovizionare se concentrează pe diminuarea riscurilor asociate cu achiziționarea, producția, distribuția și întreținerea dispozitivelor medicale.
- Colaborăm îndeaproape cu furnizorii și partenerii, pentru a stabili cerințele de securitate, pentru a efectua evaluări amănunțite și pentru a proteja integritatea componentelor și a software-ului integrat în produsele lor.
- Măsuri precum practicile de codare sigură, validarea firmware-ului și canalele de distribuție sigure ajută la prevenirea falsificării, a contrafacerii sau a modificărilor neautorizate de-a lungul lanțului de aprovizionare.
Răspunsul la incidente și managementul vulnerabilităților
- Stryker a implementat procese robuste de răspuns la incidente și de gestionare a vulnerabilităților, pentru a detecta, evalua și atenua rapid problemele de securitate. Aceasta include stabilirea protocoalelor de comunicare, coordonarea eforturilor de răspuns cu clienții și autoritățile de reglementare, emiterea de corecții sau actualizări în timp util și efectuarea evaluărilor post-incident.
- În ciuda măsurilor proactive de securitate, vulnerabilitățile și incidentele pot apărea în continuare pe parcursul ciclului de viață al dispozitivelor medicale.
Parteneriate în domeniul sănătății
- Experții noștri în domeniu participă, în cadrul grupurilor din domeniu, la activități de promovare a principiile de securitate cibernetică și a celor mai bune practici din industrie.
- Încurajăm o cultură a transparenței și a colaborării cu clienții, cu părțile interesate din industrie și cu furnizorii cu scopul de a consolida securitatea.
- Ajutăm la elaborarea cadrelor din domeniu, a documentelor tehnice și a angajamentelor proactive cu autoritățile de reglementare, pentru a ajuta la îmbunătățirea asistenței medicale.
Cele mai recente notificări de securitate
Vulnerabilitățile programului software Print Spooler de la Microsoft (CVE-2021-34527 și CVE-2021-36958)
Dezvăluirea coordonată a vulnerabilităților (CVD) asociate produselor
Cercetătorii în domeniul securității joacă un rol important în identificarea vulnerabilităților și preocupărilor în domeniul securității cibernetice. Stryker a adoptat un proces coordonat de divulgare a vulnerabilităților (CVD), pentru a promova colaborarea și raportarea eficientă a vulnerabilităților dispozitivelor medicale Stryker.
Informații importante despre procesul nostru CVD
Lucrăm cu bună-credință cu cercetători și părți care ne testează produsele și nu ne vom angaja în acțiuni legale împotriva persoanelor care trimit rapoarte prin procesul nostru CVD. Utilizarea de către dvs. a acestui proces este considerată un acord legal cu Stryker.
Suntem de acord să colaborăm cu persoane care:
- efectuează teste/cercetări ale sistemelor fără a aduce daune companiei Stryker sau clienților săi;
- efectuează teste asupra produselor fără a afecta clienții sau primesc permisiunea/consimțământul clienților înainte de a începe testele de vulnerabilități asupra dispozitivelor/software-ului;
- efectuează teste de vulnerabilități în limitele programului nostru CVD și în conformitate cu termenii și condițiile oricăror acorduri încheiate între Stryker și persoanele respective;
- respectă legislația aplicabilă în locația lor și în locația Stryker;
- nu dezvăluie detaliile privind vulnerabilitatea decât după scurgerea perioadei de timp stabilite de comun acord.
În cazul în care decideți să partajați orice informații cu Stryker, sunteți de acord ca informațiile trimise să fie considerate nebrevetate și neconfidențiale și ca Stryker să le poată utiliza în orice mod, integral sau parțial, fără nicio restricție. În plus, acceptați faptul că trimiterea informațiilor nu creează niciun drept pentru dvs. și nicio obligație pentru Stryker.
La ce vă puteți aștepta de la noi
- vom răspunde prompt la e-mailul dvs. (în interval de 10 zile lucrătoare);
- vom direcționa potențialele descoperiri către echipele produselor corespunzătoare, în vederea verificării și reproducerii. Vă putem contacta pentru a furniza informații suplimentare în această etapă;
- În urma investigării unui raport, vom confirma existența vulnerabilității și potențialul impact al acesteia. Dacă se determină că vulnerabilitatea identificată afectează siguranța pacienților, vom depune toate eforturile pentru a dezvolta o soluție și a adopta măsurile necesare în cel mai scurt timp. Toate celelalte vulnerabilități vor fi evaluate și abordate în funcție de riscurile asociate.
- vom avea un dialog deschis pentru discutarea problemelor;
- vom trimite notificări privind finalizarea de către analiza vulnerabilității a fiecărei etape a procesului nostru de verificare;
- vom menționa contribuția dvs. după validarea și rezolvarea vulnerabilității, dacă doriți acest lucru;
Ne angajăm să asigurăm nivelul maxim de transparență în privința orarului remedierii și problemelor sau provocărilor asociate.
Dacă nu putem rezolva problemele de comunicare sau de altă natură, putem implica o terță parte neutră (cum ar fi CERT/CC, ICS-CERT sau autoritatea de reglementare competentă), care să ofere sprijin pentru gestionarea cât mai eficientă a vulnerabilității.
Toate aspectele procesului CVD al Stryker pot fi modificate fără notificare, la discreția exclusivă a Stryker. Nu se garantează răspunsul la niciunul dintre nivelurile menționate.
Procesul de gestionare a vulnerabilităților
Procesul nostru de dezvăluire coordonată a vulnerabilităților (CVD) include dispozitive medicale reglementate și produse software pentru sănătate, inclusiv dispozitive medicale, software ca dispozitiv medical (SaMD) și aplicații medicale mobile. Nu este destinat să furnizeze informații de asistență tehnică cu privire la produsele noastre, pentru raportarea evenimentelor adverse sau pentru a trimite reclamații privind calitatea produselor.
Cum se raportează vulnerabilitățile care nu sunt legate de produs
Pentru a raporta vulnerabilități care nu sunt legate de produs, din infrastructura companiei Stryker, vă rugăm să ne contactați utilizând programul Stryker de dezvăluirea a vulnerabilităților IT, la adresa bugcrowd.com/stryker-vdp.
Modul de raportare a unei vulnerabilități
Dacă ați identificat o posibilă vulnerabilitate a unuia dintre dispozitivele noastre medicale, software-ului ca dispozitiv medical (SaMD) sau aplicațiilor medicale mobile, vă rugăm să utilizați formularul de mai jos pentru a trimite un raport de vulnerabilitate echipei Stryker de securitate a produselor.
Pentru a raporta un eveniment advers sau a face o reclamație privind calitatea unui produs Stryker, accesați
stryker.com/productexperience.
Formular de trimitere a vulnerabilităților
Ce dorim să primim de la dvs.
- rapoarte scrise în limba engleză;
- rapoarte care să includă exemple de cod care să faciliteze trierea informațiilor;
- modul în care ați descoperit vulnerabilitatea, impactul și orice remedii potențiale;
- orice planuri sau intenții privind publicarea informațiilor.
- Notă: Rapoartele care includ numai jurnale de erori sau alte rezultate generate de instrumente automate pot avea prioritate scăzută.
DRE-GSNPS-PPT-1185510