Proceso y procedimientos
Con certificación según la norma ISO/IEC 27001, el sistema de gestión de la seguridad de la información (ISMS) de Roche respalda la seguridad de la confidencialidad, la integridad y la disponibilidad de los datos.
Roche tiene por objetivo aplicar una metodología de seguridad proactiva a lo largo de todo el ciclo de vida del producto, comenzando antes del lanzamiento.
Durante la fase de diseño, prevemos y mitigamos posibles riesgos de seguridad mediante evaluaciones de riesgos y diversas técnicas de comprobación para detectar vulnerabilidades. Dependiendo de la solución, este enfoque puede incluir técnicas basadas en amenazas para abordar vectores de ataque.
La vigilancia continúa después de la implementación. Antes de la implementación completa de las actualizaciones de versión (que puede incluir parches de seguridad o relacionados con vulnerabilidades), se pueden ensayar posibles escenarios de ataque para garantizar que el producto siga resistiendo frente a amenazas emergentes.
Roche mantiene la resiliencia de sus soluciones frente a las cambiantes amenazas sanitarias mediante el uso de un proceso estructurado para detectar, evaluar y mitigar los riesgos de forma proactiva, garantizando que los clientes se beneficien de una coherencia fiable durante todo el ciclo de vida de cada producto.
Cuando surge un incidente, las filiales de Roche actúan como primer contacto con el cliente, elevando el problema al equipo de producto si es necesario. El equipo de producto activa los mecanismos de respuesta, analiza la causa fundamental e implementa las correcciones/parches necesarios.
Para incidentes de mayor gravedad, el punto central de contacto es la Organización de Seguridad y Privacidad de Productos (PSPO). El PSPO confirma el incidente, facilita manuales basados en la gravedad, coordina la respuesta general y gestiona las comunicaciones y los informes de cumplimiento con la filial.
El personal de Roche oportunamente formado y autorizado proporciona asistencia al cliente mediante tecnologías de acceso remoto para la resolución de problemas, las actualizaciones de parches y las investigaciones de incidentes.
Para la asistencia avanzada de segundo/tercer nivel, socios colaboradores y proveedores de servicios aprobados por Roche pueden acceder a los datos confidenciales.
Como parte de nuestra estrategia de defensa multicapa, Roche realiza pruebas de penetración exhaustivas. Nuestro objetivo es detectar y resolver posibles riesgos de seguridad, protegiendo nuestros productos desde su lanzamiento inicial y durante su ciclo de vida completo.
Anclamos esta estrategia en tres valores: cobertura integral, verificación experta y remediación transparente.
Roche participa en la gestión de vulnerabilidades de las siguientes formas:
Aportaciones de los sistemas de protección y detección de intrusiones
Información del sector
Empleados internos
Clientes y otros actores externos
Roche fomenta que los recursos internos y externos notifiquen a Roche posibles amenazas o vulnerabilidades.
Roche mantiene una comunicación transparente sobre las vulnerabilidades conocidas.