Ciberseguridad en ZEISS Medical Technology

Requisitos básicos

La ciberseguridad y la protección de datos son elementos esenciales en el diseño de nuestros productos. Los requisitos de seguridad se definen desde las primeras etapas del proceso de desarrollo,

en línea con estándares internacionales, leyes y regulaciones, además de normas internas establecidas por ZEISS para garantizar un nivel de seguridad de vanguardia en todo nuestro catálogo de productos. Estos estándares se basan en las mejores prácticas del sector, así como en el panorama actual de amenazas, los marcos de seguridad internacionales y otras fuentes, como los requisitos del cliente o los objetivos de seguridad específicos de cada producto.

Modelado de amenazas

Durante la definición de la arquitectura del producto, aplicamos técnicas de modelado de amenazas para identificar riesgos y vulnerabilidades potenciales desde las primeras fases del diseño.

En este proceso de modelado, se analizan sistemáticamente las amenazas aplicables a cada producto y se evalúa su gravedad. En función de esta evaluación, y considerando debilidades y vulnerabilidades conocidas, se adapta el diseño y/o la arquitectura del producto para abordar dichas amenazas antes de que se conviertan en riesgos.

Además, como un componente clave de nuestro enfoque de «Seguridad desde el diseño», los expertos en seguridad revisan tanto el diseño como la arquitectura del producto.

Codificación segura

Las revisiones de código seguro se llevan a cabo a lo largo del proceso de desarrollo del producto para garantizar la detección de fallos críticos de seguridad o posibles vulnerabilidades en las primeras fases del ciclo de vida.

Además, los equipos de desarrollo de producto deben contar obligatoriamente con un grupo de ingenieros de seguridad especialmente formados, que garantizan las mejores prácticas y la integración de la tecnología de ciberseguridad más puntera en la codificación. Un equipo de expertos en seguridad altamente cualificados también está disponible para consultas sobre cualquier duda relacionada con la seguridad.

Pruebas estáticas y dinámicas de seguridad de las aplicaciones (SAST/DAST, por sus siglas en inglés)

A lo largo del proceso de desarrollo, realizamos pruebas estáticas de seguridad de las aplicaciones con un enfoque de caja blanca centrado en el contenido del código fuente, así como pruebas dinámicas de seguridad de las aplicaciones con un enfoque de caja negra centrado en las vulnerabilidades, para identificar posibles vulnerabilidades y errores que podrían afectar a la calidad del software.

Análisis de composición del software (SCA, por sus siglas en inglés)

El monitoreo de los componentes de software de terceros en cuanto a vulnerabilidades conocidas se realiza a lo largo de todo el ciclo de vida del producto para minimizar los riesgos derivados del uso de software de código abierto.

Pruebas de vulnerabilidad

Los productos se escanean en busca de vulnerabilidades a lo largo de todo su ciclo de vida para identificar de forma proactiva aquellas que puedan representar un riesgo.

Pruebas de intrusión

Los productos se someten a pruebas de penetración realizadas por entidades de terceros de confianza para identificar posibles amenazas o vulnerabilidades.
 

Gestión continua de amenazas y vulnerabilidades

Monitorizamos el software y llevamos a cabo evaluaciones para detectar, identificar y priorizar amenazas y riesgos en nuestros productos con soporte técnico en el mercado. Además, llevamos a cabo escaneos de vulnerabilidades y amenazas y, basándonos en los resultados, realizamos evaluaciones para identificar nuevas amenazas y riesgos. Teniendo en cuenta lo anterior, definimos las acciones para mantener niveles de ciberseguridad adecuados en función del nivel de gravedad.

Gestión de parches de seguridad

Los parches de seguridad se desarrollan, se ponen a prueba y se autorizan en función del nivel de gravedad, con el fin de mitigar los riesgos de los productos y de las infraestructuras de los clientes.