吃瓜爆料

翱谤驳补苍颈锄补肠颈ó苍

Procedimiento

Mantenemos un programa documentado de privacidad de la información, seguridad y gestión de riesgos con funciones, responsabilidades, políticas y procedimientos claramente definidos. Nuestro programa se basa en las siguientes normas:

• ISO 9001:2015 – Sistemas de gestión de la calidad
• ISO/IEC 27001:2022- Gestión de la seguridad de la información
• SOC2 Tipo II – Controles del sistema y de la organización
• Integración del Modelo de Madurez de las Capacidades del SEI
• Biblioteca de Infraestructuras de TI (ITIL)
• ICH Q9 – Gestión de riesgos para la calidad

Revisamos y modificamos periódicamente nuestro programa de seguridad para adaptarlo a la evolución de la tecnología, la normativa, las leyes, los riesgos, las prácticas del sector y de seguridad y otras necesidades empresariales.

翱谤驳补苍颈锄补肠颈ó苍 y gestión de la seguridad

Mantenemos una estructura de responsabilidad y rendición de cuentas para la gestión de la seguridad dise?ada para:

• Coordinar nuestros dispositivos de seguridad de la información;
• Describir los puntos de contacto sobre cuestiones de seguridad de la información;
• Comprobar la eficacia de los dispositivos de seguridad; y
• Mantener las normas de seguridad aprobadas.

Hemos nombrado a un responsable de seguridad de la información para ayudar a los directores de empresa, usuarios, personal informático y otras personas a cumplir con sus responsabilidades en materia de seguridad de la información.

Personal

Funciones y responsabilidades

Mantenemos funciones y responsabilidades claramente definidas para todas las actividades de tratamiento de la información, incluida la gestión y el control de los sistemas operativos, la administración y el soporte de las redes de comunicación y el desarrollo de nuevos sistemas. Las funciones y los derechos de acceso de los operadores informáticos y administradores de sistemas están separados de los del personal de desarrollo de redes y sistemas.

Además, mantenemos procedimientos para:

• Supervisar la actividad de tratamiento de la información;
• Minimizar el riesgo de actividad indebida o error; y
• Examinar a los candidatos a puestos sensibles desde el punto de vista de la seguridad.

贵辞谤尘补肠颈ó苍

Exigimos una formación sobre seguridad y concienciación en materia de seguridad basada en funciones. Todos los empleados en activo y los contratistas deben recibir una formación de concienciación sobre seguridad cada dos a?os. Los empleados que desempe?an determinadas funciones (por ejemplo, representantes de atención al cliente, desarrolladores y responsables de contratación) reciben anualmente una formación más amplia sobre la seguridad de los datos.

Identidad y acceso Gestión

Política de acceso

Asignamos el acceso a sistemas, aplicaciones e información asociada de acuerdo con nuestras políticas de acceso documentadas, que incorporan los principios de acceso menos privilegiado. Aplicamos estos privilegios a través de medios automatizados. El personal debe obtener autorización antes de poder acceder al sistema. Utilizamos técnicas seguras para las funciones de mando y control.

Privilegios

Los mecanismos de acceso funcionan de forma segura y se ajustan a las buenas prácticas de seguridad (por ejemplo, no se muestran las contrase?as, se almacenan cifradas). Los procedimientos de autorización están formalmente definidos y se ajustan a las disciplinas comercialmente normalizadas, entre ellas:

• Establecer un mayor control sobre la concesión de privilegios especiales de acceso; y
• Garantizar la finalización de las autorizaciones que ya no son necesarias.

础耻迟别苍迟颈肠补肠颈ó苍

Utilizamos prácticas estándar del sector para identificar y autenticar a los usuarios autorizados. Ajustamos nuestros métodos de autenticación al riesgo empresarial (es decir, se aplica una autenticación fuerte a los usuarios de “alto riesgo”). Las contrase?as se gestionan según las normas del sector.

El proceso de inicio de sesión apoya la responsabilidad individual e impone disciplinas de acceso que incluyen:

• Suprimir información que pudiera facilitar un uso no autorizado;
• Validar la información de inicio de sesión sólo después de que se haya introducido toda;
• Desconectar a los usuarios tras un número determinado de intentos fallidos de inicio de sesión; y
• Exigir que las contrase?as se cambien periódicamente.

Registros de acceso

Mantenemos registros de infraestructura y acceso dise?ados para proporcionar información suficiente que permita diagnosticar incidentes perturbadores y establecer responsabilidades individuales. Utilizamos herramientas de supervisión para analizar los datos de registro seleccionados en busca de actividades anómalas, como accesos o cambios no autorizados, y para alertarnos de dichas actividades anómalas.

Arquitectura de Seguridad

Hemos concebido y aplicado una arquitectura de seguridad en todos nuestros recursos de información. La arquitectura comprende un conjunto definido de mecanismos de seguridad y normas de apoyo. La arquitectura:

• Soporta recursos de información que requieren distintos niveles de protección;
• Permite el flujo seguro de información dentro de los entornos técnicos y entre ellos;
• Proporciona a los usuarios autorizados un medio eficaz de acceder a los recursos de información en distintos entornos técnicos; y
• Permite revocar los privilegios de acceso de usuarios individuales cuando éstos abandonan o cambian de trabajo.

Mantenemos un inventario de nuestros activos de información críticos y de las aplicaciones utilizadas para procesarlos. Llevamos a cabo evaluaciones de riesgos para la seguridad de la información siempre que se produce un cambio sustancial en nuestras prácticas empresariales o tecnológicas que pueda afectar a la seguridad, privacidad, confidencialidad, integridad o disponibilidad de los Datos.

Física y Medio ambiente

Acceso físico

Nos aseguramos de que nuestros “proveedores” de centros de datos externos hayan adoptado medidas de protección contra la pérdida o el da?o de los equipos y las instalaciones que utilizamos para alojar los Datos, entre otras:

• Restringir el acceso físico al personal autorizado; y
• Garantizar la presencia de personal de seguridad cuando proceda.

Protección contra las perturbaciones

Nuestros entornos de producción aprovechan equipos especializados para:

• Protección contra cortes o fallos de electricidad;
• Permitir una rápida recuperación de los activos en caso de interrupción del servicio;
• Proteger la energía, la infraestructura de red y los sistemas críticos frente a da?os o riesgos.
• Proteger los edificios contra catástrofes naturales o ataques deliberados.

Comunicaciones de Red y Gestión de Sistemas

Cortafuegos

Desplegamos tecnologías de cortafuegos estándar del sector. Hemos adoptado procedimientos para gestionar las reglas del cortafuegos (mecanismo de control de acceso) y los cambios en las reglas.

Los recursos informativos utilizados con fines de producción están separados de los utilizados para el desarrollo de sistemas o las pruebas de aceptación.

Gestión de Antivirus y Antimalware

Desplegamos software actualizado y procedimientos relacionados con el fin de detectar y prevenir la proliferación de virus y otras formas de código malicioso. Estos controles se aplican únicamente a los entornos informáticos internos utilizados en el desarrollo y la entrega de nuestras aplicaciones alojadas. Los servicios de detección de intrusos basados en la red y en el host se utilizan para proteger los sistemas críticos, incluidos los conectados a Internet.

Política de uso aceptable

• El uso de Internet está regido por políticas y estándares claros que se aplican en toda la empresa.

Denegación de Servicio

Nos aseguramos de que nuestros proveedores de infraestructuras de centros de datos hayan adoptado y desplegado las contramedidas adecuadas para los ataques de denegación de servicio.

Saneamiento y Retirada de Medios

Aprovechamos los procesos y tecnologías estándar del sector para eliminar permanentemente los Datos cuando ya no son necesarios o no están autorizados.

Cifrado

Utilizamos protocolos de transporte cifrados estándar del sector, con un mínimo de Seguridad de la Capa de Transporte (TLS) v1.2, para los Datos en tránsito a través de una red no fiable. Ciframos los Datos en reposo utilizando el estándar de cifrado avanzado (AES) 256 o un algoritmo equivalente.

Vulnerabilidad y Pruebas de Penetración

Disponemos de supervisión de aplicaciones, bases de datos, redes y recursos para identificar cualquier vulnerabilidad y proteger nuestras aplicaciones. Nuestras soluciones se someten a pruebas internas de vulnerabilidad previas a su lanzamiento. Hemos creado nuestros propios sistemas internos de pruebas de penetración y realizamos evaluaciones de vulnerabilidad de nuestro software mediante métodos automatizados y manuales, al menos una vez al a?o.

Contratamos anualmente a especialistas en seguridad externos para que realicen pruebas de vulnerabilidad y penetración en nuestros sistemas. Los sistemas orientados a Internet se analizan periódicamente en busca de vulnerabilidades.

Continuidad de la Actividad y Recuperación en Caso de Catástrofe

Nuestras soluciones están dise?adas para evitar puntos únicos de fallo y reducir así las posibilidades de interrupción de la actividad empresarial. Mantenemos procesos de recuperación formalmente documentados que pueden activarse en caso de una interrupción significativa del negocio, tanto para nuestra infraestructura corporativa de TI como para la infraestructura de producción que procesa los datos de nuestros clientes. Realizamos pruebas, al menos una vez al a?o, para verificar la validez de los procesos de recuperación.

También aplicamos diversas medidas de recuperación ante desastres para minimizar la pérdida de datos en caso de desastre en un único centro de datos. Dise?amos nuestras soluciones utilizando configuraciones redundantes para minimizar las interrupciones del servicio. Supervisamos continuamente nuestras soluciones para detectar cualquier signo de fallo o fallo inminente, y tomamos medidas preventivas para intentar minimizar o evitar el tiempo de inactividad.

Respuesta a incidentes

Los incidentes son gestionados por un equipo especializado de acuerdo con una política y un proceso formales de respuesta a incidentes. Nuestro personal está formado para informar inmediatamente de cualquier incidente de seguridad. Disponemos de una página web pública de “” que muestra los próximos periodos de inactividad por mantenimiento, los incidentes del centro de datos y las comunicaciones de seguridad.

Ciclo de Vida del Desarrollo de Software

Mantenemos los procesos y controles del ciclo de vida de desarrollo de software estándar del sector que rigen el desarrollo y los cambios de nuestro software, incluidas todas las actualizaciones, mejoras y parches. Nuestro proceso incluye prácticas seguras de desarrollo de software y análisis y pruebas de seguridad de las aplicaciones.

Proveedores

Utilizamos centros de datos de terceros, servicios basados en la nube y otros proveedores en nuestras operaciones y para ofrecer soluciones a nuestros clientes. Exigimos que estos proveedores suscriban acuerdos posteriores con nosotros, como acuerdos de confidencialidad, acuerdos de procesamiento de datos, acuerdos de asociación empresarial y similares, según proceda en función del tipo de servicios que prestan y el tipo de información a la que tienen acceso. Exigimos a nuestros proveedores que cumplimenten cuestionarios de seguridad de datos y realizamos evaluaciones de riesgos para garantizar la competencia y adecuación de su programa de seguridad. Aplicamos un enfoque basado en el riesgo para revisar periódicamente la postura de seguridad de nuestros proveedores.

Cada uno de nuestros proveedores mantiene sus propios programas de seguridad. Este resumen no describe el programa de seguridad de ninguno de nuestros proveedores.

Certificaciones

ISO (翱谤驳补苍颈锄补肠颈ó苍 Internacional de Normalización) 27001

Controles de la 翱谤驳补苍颈锄补肠颈ó苍 de Servicios

Mantenemos un certificado de alojamiento de datos sanitarios (HDS), tal y como se exige a todas las entidades que alojan datos sanitarios personales en virtud de la ley francesa n°2002-303 de 4 de marzo de 2002. Esta certificación cubre los productos 吃瓜爆料 descritos en nuestro certificado y sólo es aplicable a los datos sanitarios producidos en Francia en el contexto de la prestación de asistencia sanitaria, tal y como se define en el artículo L.1111-8 del Código de Salud Pública Francés. Los clientes que confíen en este certificado deben cumplir la PGSSI-S (Política Global de Seguridad de la Información para el Sector Sanitario), que establece las normas de seguridad para los servicios de sanidad electrónica.

La información sobre el cumplimiento de 吃瓜爆料 con el requisito HDS n.° 31 está disponible aquí: veeva.com/privacy/hds-compliance/.

ISO (翱谤驳补苍颈锄补肠颈ó苍 Internacional de Normalización) 9001

Mantenemos la certificación ISO 9001 para nuestro Sistema de Gestión de Calidad. Esta certificación cubre los productos 吃瓜爆料 descritos en nuestro certificado. La ISO 9001 garantiza una calidad constante en nuestros productos y servicios mediante un marco basado en la orientación al cliente, la toma de decisiones basada en el riesgo y la mejora continua. Exige un enfoque sistemático de procesos que alinea el liderazgo y las operaciones con las necesidades de todas las partes interesadas

Certificaciones GxP independientes

Contamos con especialistas externos en auditoría GxP autorizados para el cumplimiento normativo de las ciencias de la vida, que elaboran informes de auditoría independientes sobre los controles del SGC y MSA de 吃瓜爆料. Estas certificaciones centradas en GxP ofrecen a los clientes una visión exhaustiva de los procesos y el cumplimiento normativo de 吃瓜爆料 desde la perspectiva de un tercero independiente. Los informes de auditoría GxP independientes se pueden adquirir en:

Rx-360 –

USDM – contacto enorthigton@usdm.com

Diligent Pharma – acceso al informe en