Una cadena de suministro segura debe comenzar en la empresa y abarcar a todos los socios
Como es natural, para cualquier empresa farmacéutica el primer eslabón de una cadena de suministro cibersegura es su propia infraestructura y sus plantas de fabricación principales. Las empresas pueden adoptar internamente un enfoque de ciberseguridad basado en riesgos que siga las prácticas recomendadas en todo el mundo, que identifique las prioridades y que aplique las tecnologías, las políticas y los procedimientos propios de una estrategia de defensa en profundidad.
Mediante una evaluación de riesgos, la empresa farmacéutica también podrá establecer el nivel de seguridad que cualquier proceso contratado externamente debe cumplir.
El siguiente obstáculo es determinar si los CMO que se están considerando comparten la postura de la empresa farmacéutica ante la ciberseguridad y, por supuesto, si la aplican con el mismo rigor. En este caso, la evaluación de riesgos vuelve a ser el mejor modo de evaluar esta actitud por parte de la CMO y, por tanto, de cumplir este objetivo. Lo ideal sería que dicha evaluación se llevara a cabo en las instalaciones del fabricante por contrato antes de formalizar ningún tipo de acuerdo.
Esta evaluación, además de definir la actitud general sobre seguridad de la CMO, también podría identificar las lagunas que puedan poner en riesgo los activos propios del sector farmacéutico. Con esa información, la empresa farmacéutica podría elegir las soluciones apropiadas para mitigar esos riesgos y para que el sistema de la CMO quede aislado del propio y, al mismo tiempo, mantener la visibilidad de los procesos o de la información críticos. Estas soluciones podrían incluir la segmentación de la red, el desarrollo de cortafuegos personalizados, acceso remoto seguro, zonas de seguridad y otras tecnologías.
Mantenimiento de la conformidad con las normas de seguridad
En última instancia, la empresa farmacéutica y el fabricante por contrato deben acordar las normas de seguridad a seguir. Pero como todos sabemos, llegar a un acuerdo como ese y conseguir que estas normas se cumplan pueden ser dos cosas muy diferentes.
Por tanto, un enfoque basado en riesgos para la ciberseguridad de la cadena de suministro debe incluir también el diseño, la implementación y la supervisión del sistema de la CMO, así como a los propietarios de los activos de producción y de la infraestructura de la información. En relación con la propiedad, las empresas farmacéuticas disponen de tres opciones, cada una con un grado diferente de riesgo asociado:
- La CMO es propietaria de los activos de producción y de la infraestructura de información. Con este enfoque, la inversión de capital es la más baja. Pero también depende de que la CMO tenga la experiencia necesaria para mantener adecuadamente la seguridad con una supervisión limitada.
- La CMO es propietaria de los activos de producción, mientras que la empresa farmacéutica conserva la propiedad de la infraestructura de información. Al aprovechar los activos de producción existentes, esta opción minimiza la inversión de capital. Sin embargo, la empresa farmacéutica, como propietaria de la infraestructura, también debe gestionarla, normalmente en un centro de datos industrial en una red segmentada.
- La empresa farmacéutica mantiene la propiedad de los activos de producción y de la infraestructura de información. En este escenario, la empresa farmacéutica incurre en mayores inversiones de capital, pero, a cambio, obtiene el mayor nivel de seguridad. La CMO solo proporciona el espacio de producción y el personal para hacer funcionar el equipo.
