吃瓜爆料

Organizativas

Procedimentales

Mantenemos un programa documentado de privacidad de la información, seguridad y gestión de riesgos con funciones, responsabilidades, políticas y procedimientos claramente definidos. Nuestro programa se basa en las normas siguientes:

• ISO 9001. Sistemas de gestión de la calidad
• ISO/IEC 27001. Gestión de la seguridad de la información
• Auditoría SOC 2 tipo 2. Auditoría de los Controles de Servicio y Organización
• Integración de modelos de madurez de capacidades del SEI
• Biblioteca de Infraestructura de Tecnologías de Información (ITIL)
• ICH Q9. Gestión de riesgos de calidad

Revisamos y modificamos nuestro programa de seguridad de forma periódica con el fin de reflejar los cambios que se van produciendo en las tecnologías, las normativas, las leyes, los riesgos, las prácticas del sector y de seguridad y otras necesidades empresariales.

Organización y gestión de la seguridad

A la hora de gestionar la seguridad, mantenemos una estructura de responsabilidad y rendición de cuentas dise?ada para conseguir los siguientes objetivos:

• coordinar nuestras medidas de seguridad de la información;
• describir puntos de contacto en materia de seguridad de la información;
• comprobar la eficacia de las medidas de seguridad
• mantener las normas de seguridad aprobadas.

Hemos nombrado a un responsable de la seguridad de la información para que ayude a los directivos de las empresas, así como a los usuarios, al personal de TI y a otras personas involucradas, a cumplir con sus responsabilidades en lo que respecta a la seguridad de la información.

Personal

Funciones y responsabilidades

Mantenemos funciones y responsabilidades claramente definidas para todas las actividades de procesamiento de la información, inclusive la gestión y el control de los sistemas operacionales, la administración y el apoyo de las redes de comunicación y el desarrollo de nuevos sistemas. Las funciones y los derechos de acceso de los usuarios informáticos y de los administradores de sistemas están separados de los del personal de desarrollo de redes y sistemas.

Además, contamos con procedimientos para las siguientes tareas:

• supervisar la actividad de tratamiento de la información;
• reducir al mínimo el riesgo de actividades indebidas o de errores; y
• seleccionar a los candidatos idóneos para puestos sensibles para la seguridad.

贵辞谤尘补肠颈ó苍

Exigimos una formación sobre seguridad y concienciación en materia de seguridad basada en la función de que se trate. A continuación, todos los empleados activos y los contratistas deben recibir formación sobre concienciación en materia de seguridad anualmente. Asimismo, los empleados que ocupan determinados cargos (como los representantes de atención al cliente, los desarrolladores o los responsables de contratación) reciben todos los a?os una formación más amplia sobre la seguridad de los datos.

Gestión de identidades
y de accesos

Política de acceso

Asignamos el acceso a los sistemas, las aplicaciones y la información asociada de acuerdo con nuestras políticas de acceso documentadas, que incorporan también los principios de acceso menos privilegiado. También nos ocupamos de que estos privilegios se cumplan mediante el uso de medios automatizados. El personal debe obtener autorización antes de poder acceder al sistema. Utilizamos técnicas seguras para las funciones de mando y control (por ejemplo, TLS, SSH, VPN).

Privilegios

Los mecanismos de acceso funcionan de forma segura y se ajustan a las prácticas de seguridad correspondientes (por ejemplo, las contrase?as no se muestran y se almacenan de forma cifrada). Los procedimientos de autorización se definen formalmente y se ajustan a las disciplinas comerciales estándar, inclusive:

• establecer un mayor control sobre la cuestión de los privilegios especiales de acceso; y
• garantizar la revocación de las autorizaciones que ya no sean necesarias.

础耻迟别苍迟颈肠补肠颈ó苍

Utilizamos las prácticas estándar del sector para identificar y autenticar a los usuarios autorizados. Ajustamos nuestros métodos de autenticación al riesgo empresarial existente (es decir, a los usuarios de ?alto riesgo? se les aplica una autenticación más robusta) y las contrase?as se administran conforme a las normas del sector.

El proceso de inicio de sesión apoya la rendición de cuentas individual y aplica disciplinas de acceso como las siguientes:

• suprimir la información que pueda facilitar un uso no autorizado;
• validar la información de inicio de sesión únicamente después de haberla introducido en su totalidad;
• desconectar a los usuarios después de un número definido de intentos fallidos de inicio de sesión; y
• obligar a cambiar las contrase?as de forma periódica.

Registros de acceso

Mantenemos las infraestructuras y registros de acceso dise?ados para proporcionar información suficiente que permita diagnosticar incidentes y establecer las responsabilidades individuales oportunas. Utilizamos herramientas de supervisión para analizar los datos de registro seleccionados con fines de detección y alerta de actividades anómalas, como accesos o cambios no autorizados.

Arquitectura de seguridad

Hemos ideado y aplicado una arquitectura de seguridad en todos nuestros recursos de información. La arquitectura comprende un conjunto definido de mecanismos de seguridad y normas de apoyo. La arquitectura tiene las siguientes características:

• promueve recursos de información que necesitan diferentes niveles de protección;
• permite un flujo seguro de información dentro de los entornos técnicos y entre ellos;
• proporciona a los usuarios autorizados un medio eficaz para acceder a los recursos de información en diferentes entornos técnicos; y
• permite revocar los privilegios de acceso de usuarios individuales cuando estos abandonan un puesto o cambian de empleo.

Mantenemos un inventario de nuestros activos de información esenciales y de las aplicaciones utilizadas para procesarlos. Llevamos a cabo evaluaciones de riesgos para la seguridad de la información siempre que se produce un cambio sustancial en nuestras prácticas tecnológicas o de negocio que pueda afectar a la seguridad, privacidad, confidencialidad, integridad o disponibilidad de los Datos.

Inteligencia Artificial

骋补谤补苍迟í补蝉 clave de la IA

• Protección de Datos: 吃瓜爆料 IA utiliza modelos de lenguaje de gran tama?o (LLMs) de terceros ya existentes, para sus funcionalidades de IA. Los datos de los clientes nunca se utilizan para entrenar o mejorar dichos LLMs;
• Control de Acceso: Los agentes de IA proporcionados por 吃瓜爆料 operan dentro de la arquitectura de seguridad existente de 吃瓜爆料 y actúan exclusivamente con los permisos de seguridad asignados por el cliente, heredando todas las restricciones de acceso a nivel de rol y de campo vigentes;
• Seguridad: Se han implementado mecanismos de protección a nivel de sistema junto con el filtrado de contenido acumulativo para proteger frente a amenazas específicas de la IA, como los ataques adversarios y la inyección de instrucciones (*prompt injection*);
• Responsabilidad y Trazabilidad: Las acciones que involucran a los agentes de IA proporcionados por 吃瓜爆料 quedan registradas en los logs del sistema para garantizar su trazabilidad.

Aspectos físicos
y ambientales

Acceso físico

Nos aseguramos de que nuestros proveedores de centros de datos externos adopten medidas de protección adecuadas contra pérdidas o da?os en los equipos o las instalaciones que utilizamos para alojar los datos, lo que incluye, entre otros:

• restringir el acceso físico únicamente al personal autorizado; y
• garantizar la presencia de personal de seguridad cuando proceda.

Protección contra perturbaciones

Nuestros entornos de producción utilizan equipos especializados para:

• protegerse contra los apagones o los fallos en el suministro eléctrico;
• proteger el suministro eléctrico, la infraestructura de la red y los sistemas esenciales frente a da?os o riesgos; y
• protect power, network infrastructure and critical systems from damage or compromise; and
• proteger los edificios contra desastres naturales o ataques deliberados.

Gestión de sistemas
y comunicaciones en red

Firewalls

Implementamos las tecnologías de firewall estándar del sector y hemos adoptado procedimientos para gestionar las reglas de firewall (mediante un mecanismo de control de acceso) y los cambios en dichas reglas.

Los recursos de información que se utilizan con fines de producción se mantienen separados de los que se emplean para el desarrollo de sistemas o las pruebas de aceptación.

Administración de sistemas antivirus/antimalware

Aplicamos software actualizado y procedimientos relacionados con el fin de detectar y evitar la proliferación de virus y otras formas de código malicioso. Estos controles solo se aplican a los entornos informáticos internos que se utilizan en el desarrollo y la entrega de nuestras aplicaciones alojadas. Utilizamos servicios de detección y prevención de intrusiones basados en host y en la red con el fin de proteger los sistemas esenciales, inclusive los que están conectados a Internet.

Política de uso aceptable

• El uso de Internet se rige por políticas y normas claras que se aplican en toda la empresa.

Denegación de servicio

Nos aseguramos de que nuestros proveedores de infraestructuras de centros de datos adopten y apliquen contramedidas adecuadas para hacer frente a los diferentes ataques de denegación de servicio.

Saneamiento y eliminación de medios

Empleamos los procesos y las tecnologías estándar del sector para eliminar los datos de forma definitiva cuando ya no se necesitan o no se dispone de autorización para ellos.

Cifrado

Utilizamos protocolos de transporte cifrados estándar del sector, con al menos la seguridad de la capa de transporte (TLS) 1.2, para los datos que se transmiten a través de una red que no sea de confianza. Ciframos los datos archivados utilizando el estándar de cifrado avanzado 256 (AES-256) o un algoritmo equivalente.

Pruebas de vulnerabilidad
y penetración

Disponemos de un mecanismo de supervisión de aplicaciones, bases de datos, redes y recursos que nos permite identificar cualquier vulnerabilidad y proteger nuestras aplicaciones. Todas nuestras soluciones se someten a pruebas de vulnerabilidad internas antes de su lanzamiento. Además, hemos creado nuestros propios sistemas para pruebas de penetración internas y, al menos una vez al a?o, llevamos a cabo evaluaciones de vulnerabilidad en nuestro software utilizando tanto métodos automatizados como manuales.

Por otro lado, todos los a?os contratamos a especialistas en seguridad externos para que realicen pruebas de vulnerabilidad y penetración en nuestros sistemas. También analizamos con regularidad todos los sistemas que dependen de Internet para detectar posibles vulnerabilidades.

Continuidad empresarial
y recuperación
ante desastres

Nuestras soluciones están dise?adas para evitar fallos en puntos individuales con el fin de reducir la posibilidad de que se produzcan interrupciones en la actividad empresarial. Mantenemos procesos de recuperación documentados formalmente que pueden activarse en caso de existir una interrupción importante de la actividad empresarial, tanto en lo que respecta a nuestra infraestructura corporativa de TI como en lo que se refiere a la infraestructura de producción que trata y procesa los datos de nuestros clientes. Y, al menos una vez al a?o, llevamos a cabo pruebas para verificar la validez de los procesos de recuperación.

También aplicamos varias medidas de recuperación ante desastres para reducir al mínimo la pérdida de datos en el caso de producirse un desastre en uno de nuestros centros de datos. Estructuramos nuestras soluciones utilizando configuraciones redundantes para reducir a un mínimo las interrupciones en el servicio. Supervisamos de forma continua nuestras soluciones para detectar cualquier signo de fallo o fallo inminente y, además, tomamos medidas preventivas para intentar reducir al mínimo o evitar los tiempos de inactividad.

Respuesta ante incidentes

La gestión de incidentes corre a cargo de un equipo especializado que sigue una política y un proceso formales de respuesta ante incidentes. Nuestro personal cuenta con la formación suficiente para notificar de inmediato cualquier incidente de seguridad. Proporcionamos una página web pública ?? que muestra los próximos periodos de inactividad por mantenimiento, los incidentes en los centros de datos y las comunicaciones sobre seguridad.

Desarrollo de software
Ciclo de vida
Lifecycle

Mantenemos procesos y controles del ciclo de vida estándares del sector que rigen el desarrollo y los cambios de nuestro software, inclusive las actualizaciones, las mejoras y los parches correspondientes. Nuestros procesos incluyen prácticas seguras de desarrollo de software, así como análisis y pruebas de seguridad de las aplicaciones.

Proveedores

Utilizamos centros de datos de terceros, servicios basados en la nube y otros proveedores, no solo para nuestras propias operaciones, sino también para las soluciones que ofrecemos a nuestros clientes. Además, exigimos que estos proveedores celebren posteriormente acuerdos con nosotros, como acuerdos de confidencialidad, acuerdos de tratamiento de datos, acuerdos con socios comerciales y similares, según corresponda en función del tipo de servicios que presten y de la información a la que tengan acceso. También exigimos a nuestros proveedores que cumplimenten cuestionarios de seguridad de datos y llevamos a cabo evaluaciones de riesgos para garantizar la competencia y la adecuación de su programa de seguridad. Aplicamos un enfoque basado en los riesgos para revisar de forma periódica la posición de seguridad de nuestros proveedores.

Por su parte, todos y cada uno de nuestros proveedores mantienen sus propios programas de seguridad, aunque este resumen no describe el programa de seguridad de ninguno de ellos.

Certificaciones

ISO (Organización Internacional de Normalización) 27001

Controles de organización de servicios

Somos titulares de un certificado de alojamiento de datos sanitarios (HDS), que se exige a todas las entidades que alojan datos sanitarios personales en virtud de la ley francesa n°2002-303 de 4 de marzo de 2002. Esta certificación cubre los productos de 吃瓜爆料 descritos en nuestro certificado y sólo es aplicable a los datos sanitarios producidos en Francia en el contexto de la prestación de asistencia sanitaria, tal y como se define en el artículo L.1111-8 del Código de Salud Pública francés. Los clientes que cuenten con este certificado deben cumplir la PGSSI-S (Política Global de Seguridad de la Información para el Sector Sanitario), que establece normas de seguridad para los servicios de sanidad electrónica.

Información sobre el cumplimiento de 吃瓜爆料 con los Requisitos HDS N? 31 están disponibles aquí: .

ISO (Organización Internacional de Normalización) 9001

Mantenemos la certificación ISO 9001 para el Sistema de Gestión de Calidad. Esta certificación cubre los productos de 吃瓜爆料 descritos en nuestro certificado. La ISO 9001 garantiza una calidad constante en nuestros productos y servicios mediante un marco basado en la atención al cliente, la toma de decisiones en función del riesgo y la mejoría continuada. Exige un enfoque sistemático de procesos que alinea el liderazgo y las operaciones con las necesidades de todas las partes implicadas.

Certificaciones Independientes GxP

Contamos con especialistas externos certificados en auditoría GxP para el cumplimiento normativo en la industria de las ciencias de la salud, que proporcionan informes de auditoría independientes sobre los controles de 吃瓜爆料 QMS y MSA. Estas certificaciones centradas en GxP ofrecen a los clientes una visión exhaustiva de los procesos y el cumplimiento normativo de 吃瓜爆料 desde la perspectiva de un tercero independiente. Estos informes de auditoría independiente GxP se pueden adquirir en:

Rx-360 –

USDM – contact enorthigton@usdm.com

Diligent Pharma – Puede acceder al informe en