SCMD CyberSuite
El expediente de ciberseguridad de un producto regulado, al día a partir de datos vivos en lugar de reescrito para cada auditoría.
- Pregunta
- ¿Puede la documentación de ciberseguridad de un dispositivo médico actualizarse sola cuando cambia una dependencia, en lugar de rehacerse a mano antes de cada submission?
- Resultado
- Es lo que hace. Inventario, vulnerabilidades, riesgos y documentos están en un mismo sitio, y un documento aprobado se puede reproducir exactamente años después. Disponible para clientes bajo NDA.
El problema
El expediente de ciberseguridad de un dispositivo médico suele estar repartido entre hojas de cálculo, documentos de Word, un escáner de dependencias, un gestor de vulnerabilidades y varios repositorios. La lista de SOUP se queda vieja el día que cambia una librería. Cada auditoría o submission obliga a reconstruir la evidencia a mano, y la traza de amenaza a control y a prueba vive en la cabeza de alguien.
CyberSuite lo reúne todo en un solo modelo, cliente → proyecto → partes → versiones, y genera los documentos a partir de esos datos. Mientras un documento es borrador, sigue a los datos. Cuando se aprueba, se congela en una instantánea que se puede reproducir exactamente, con su historial y su registro de auditoría.
- 01SBOM e inventario
- 02Vulnerabilidades
- 03Riesgos
- 04Documentos
- 05Paquete de submission
Qué cubre
SBOM y componentes
Generados escaneando repositorios, artefactos, imágenes de contenedor, firmware y sistemas en marcha por SSH, o importados en CycloneDX y SPDX. Con versiones, puntuación de calidad y comparación entre versiones. También hardware, criptografía y modelos de IA (HBOM, CBOM, AI-BOM), y el inventario de SOUP/OTS con proveedor, nivel de soporte y fin de vida.
Vulnerabilidades
Cruce continuo con OSV, NVD, los avisos de GitHub, KEV y EPSS, con triaje, plazos y priorización por CVSS 3.1 y 4.0, SSVC y la rúbrica de MITRE para dispositivos médicos. VEX de entrada y de salida en CycloneDX, OpenVEX y CSAF.
Riesgos
Modelado de amenazas con STRIDE, LINDDUN y árboles de ataque, evaluado por explotabilidad. Un expediente de gestión de riesgos ISO 14971 completo, con FMEA, árboles de fallos y errores de uso de IEC 62366-1, enlazado con los riesgos de ciberseguridad y trazado hasta requisitos y pruebas.
Documentos
Más de 55 tipos de documento, con plantillas y estilos propios de cada cliente. Borrador, revisión, aprobación y obsolescencia, con firma electrónica, comparación entre revisiones y exportación a PDF, Word, HTML y Markdown.
Submissions
Un paquete ordenado para la FDA, el MDR o el Cyber Resilience Act, con la revisión aprobada de cada documento, SBOM y VEX firmados y sumas de verificación. También avisa de los documentos que faltan o están desactualizados. Incluye el formulario MDS2 e informes ejecutivos.
Después del lanzamiento
Un portal de divulgación coordinada de vulnerabilidades por cliente, con avisos CSAF firmados. Notificaciones regulatorias guiadas con sus plazos, según el CRA, el MDR, la FDA, el RGPD y NIS2. Políticas de licencias y archivos NOTICE, y comprobaciones de bastionado en Linux embebido.
Marcos con los que trabaja
- Ciberseguridad premercado de la FDA
- MDR / MDCG
- IEC 62304
- IEC 81001-5-1
- ISO 14971
- IEC 62366-1
- IEC 62443-4-1
- NIST SSDF
- Cyber Resilience Act
- NIS2
- RGPD
Para cada marco hay una lista de cumplimiento cláusula a cláusula, y la evidencia se reutiliza donde los marcos se solapan. CyberSuite ayuda a cumplir estas normas, pero no certifica el cumplimiento. La responsabilidad del contenido sigue siendo del fabricante.
Cómo se despliega
- En nuestra instancia, con tus datos aislados de los de otros clientes desde la propia base de datos.
- En la tuya, on-premise con Docker Compose o como binario único en forma de servicio, incluidas redes aisladas que reciben los feeds de vulnerabilidades en paquetes firmados sin conexión.
- En el navegador o en el escritorio, con una app de escritorio que puede cambiar de servidor.
- Inicio de sesión único con OIDC, sincronización de incidencias con Jira, GitHub y GitLab, copias de seguridad cifradas y un asistente de redacción con IA opcional. El asistente viene desactivado, y una persona revisa siempre lo que escribe.
Hecho como lo auditaríamos
CyberSuite guarda datos sensibles de clientes, así que la tratamos como un objetivo de auditoría. Tiene un registro de auditoría inmutable, exportaciones firmadas, la salida hacia redes internas bloqueada por defecto, las herramientas externas ejecutándose en contenedores aislados, revisiones de seguridad documentadas y una interfaz comprobada contra WCAG 2.2 AA. El contenido normativo se coteja con las fuentes oficiales, y cada elemento indica si ya se ha cotejado.