Riešenie zraniteľností a správa incidentov
Roche Slovensko má zavedené mechanizmy na identifikáciu a riešenie zraniteľností svojich produktov a reagovanie na požiadavky svojich zákazníkov, pacientov, ako aj orgánov verejnej moci. Na tejto stránke nájdete opísaný prístup spoločnosti Roche Slovensko k prijímaniu správ a hlásení týkajúcich sa potenciálnych zraniteľností v našich produktoch alebo digitálnych službách a štandardné postupy spoločnosti pri informovaní zákazníkov a ďalších dotknutých strán o overených zraniteľnostiach.
Ako nahlásiť zraniteľnosť alebo bezpečnostný incident
Zákazníci a miestni partneri spoločnosti Roche Slovensko
Ak zastupujete nemocnicu, laboratórium, poskytovateľa zdravotnej starostlivosti alebo partnera na Slovensku, ktorý využíva produkty a služby spoločnosti Roche, a chcete nahlásiť bezpečnostné problémy s produktom alebo potenciálne zraniteľnosti, kontaktujte nás priamo prostredníctvom e-mailu na adrese [email protected]. Tým sa zabezpečí riadne zaevidovanie, spracovanie a rýchle riešenie vašich podnetov v súlade s príslušnou zmluvou o poskytovaní služieb. Ak incident zahŕňa porušenie ochrany osobných údajov, informujte, prosím, aj našu zodpovednú osobu na adrese [doplniť].
Bezpečnostní výskumníci a iné osoby identifikujúce zraniteľnosti
Ak si prajete nahlásiť potenciálnu zraniteľnosť v produktoch alebo digitálnych službách spoločnosti Roche, kontaktujte nás, prosím, priamo prostredníctvom e-mailu na adrese [email protected].
Aké informácie od vás potrebujeme
Aby sme mohli vaše hlásenie efektívne posúdiť a vyriešiť, uveďte, prosím, v e-mailovej správe nasledujúce údaje:
Vaše kontaktné údaje
Dátum a čas zistenia zraniteľnosti a prostredie (systém), v ktorom ste ju zistili
Zoznam produktov spoločnosti Roche, ktorých sa problém môže týkať, vrátane verzie softvéru
Technické detaily o vašom náleze / nálezoch
Postup na reprodukovanie problému (postup krok za krokom, ako problém zopakovať)
Ak je k dispozícii: kód preukazujúci zraniteľnosť (Proof of Concept exploit)
Ak je to relevantné: pozorované zneužitie / zaznamenaný dopad / indikátory, že zraniteľnosť môže byť aktívne zneužívaná
Dôležité oznámenie o ochrane údajov
Prosíme, neuvádzajte vo svojej úvodnej správe ani v nadväzujúcej korešpondencii žiadne chránené zdravotné informácie, údaje o pacientoch ani iné dôverné klinické údaje. Odosielajte len technické informácie, ktoré sú nevyhnutne potrebné na to, aby spoločnosť Roche Slovensko mohla problém preskúmať a vyriešiť.
Rozsah
Tento postup sa vzťahuje na produkty, softvér a digitálne služby, ktoré spoločnosť Roche Slovensko poskytuje alebo prevádzkuje na Slovensku, vrátane [doplniť: domény, aplikácie, portály]. Mimo rozsahu sú produkty a služby tretích strán; zraniteľnosti v nich, prosím, nahláste priamo ich výrobcovi.
Pravidlá pri testovaní
Pri hľadaní a overovaní zraniteľností, prosím, dodržiavajte tieto pravidlá:
Netestujte zariadenia ani systémy, ktoré sa používajú v klinickej prevádzke alebo pri starostlivosti o pacientov.
Nepristupujte k osobným údajom, údajom pacientov ani iným dôverným údajom nad rámec nevyhnutný na preukázanie zraniteľnosti. Ak k takýmto údajom získate prístup, prerušte testovanie, údaje neuchovávajte a bezodkladne nás informujte.
Nevykonávajte útoky typu odmietnutie služby (DoS), sociálne inžinierstvo, phishing ani fyzické útoky na zariadenia alebo priestory spoločnosti.
Nemeňte ani neodstraňujte údaje a nenarúšajte dostupnosť systémov.
Podmienky a ochrana súkromia
Odoslaním hlásenia beriete na vedomie, že spoločnosť Roche Slovensko môže technické informácie z hlásenia použiť a v nevyhnutnom rozsahu zdieľať s dotknutými stranami na účely zníženia rizika, a že toto odoslanie nevytvára žiadne práva pre vás ani záväzky pre spoločnosť Roche Slovensko nad rámec tých, ktoré sú uvedené na tejto stránke. Všetky odoslané osobné údaje budú spracované v súlade s našimi Zásadami ochrany osobných údajov.
Ochrana oznamovateľov
Ak pri identifikácii a nahlasovaní zraniteľnosti konáte v dobrej viere a v súlade s týmto postupom, spoločnosť Roche Slovensko voči vám nebude v súvislosti s vaším výskumom iniciovať právne kroky.
Koordinované zverejňovanie zraniteľností
Spoločnosť Roche Slovensko žiada nálezcov, aby nezverejňovali zraniteľnosti, kým Roche zistenie neoverí a neudelí výslovný súhlas so zverejnením. Pri overených zraniteľnostiach spolupracujeme s príslušnými orgánmi vrátane národného CSIRT (SK-CERT) a v prípade potreby zabezpečíme pridelenie identifikátora CVE.
Ako postupujeme po prijatí hlásenia
Po prijatí hlásenia spoločnosť Roche Slovensko vykoná nasledujúce kroky:
Potvrdenie prijatia: potvrdí prijatie hl ásenia do 5 pracovných dní, preskúma odoslané informácie a pridelí vyhradenú kontaktnú osobu.
Posúdenie: vyhodnotí zistenie, overí existenciu zraniteľnosti a zanalyzuje súvisiace riziká pre dotknuté produkty; o výsledku posúdenia bude nálezcu informovať.
Náprava: pripraví opravu alebo odporúčané opatrenia na zmiernenie rizika a o ich dostupnosti bude informovať dotknutých zákazníkov a nálezcu.
Oznámenie a koordinácia: ak je to vhodné, Roche Slovensko vydá bezpečnostné upozornenia pre dotknutých zákazníkov, príslušné orgány (napr. SK-CERT) a organizácie na zdieľanie informácií.
Uznanie: na požiadanie bude nálezca problému uvedený vo všetkých vydaných bezpečnostných upozorneniach.
Spoločnosť Roche Slovensko môže taktiež podľa vlastného uváženia distribuovať alebo vydávať bezpečnostné upozornenia pre organizácie na zdieľanie a analýzu informácií (ISAC) a iné komunity na zdieľanie informácií, prípadne takéto upozornenia zverejniť na tejto a ďalších určených webových stránkach [doplniť odkaz].