NextGenAMR — un producto de Vanguard Biotech Systems
Seguridad
Esta página resume el enfoque actual de seguridad de NextGenAMR y de esta web. Cada control muestra su estado según el registro interno de controles; los controles que la evidencia no respalda no se declaran. Los controles de seguridad no constituyen una afirmación de validación clínica ni de conformidad regulatoria.
En desarrollo · No destinado al uso clínico
En desarrollo. El motor de E. coli se está construyendo y se evaluará internamente conforme a un protocolo especificado de antemano. Se ha redactado un protocolo de validación externa independiente. No se han publicado resultados de rendimiento. No destinado al uso clínico.
Controles actuales
Los estados siguen el registro interno de controles y usan la misma taxonomía que el resto del sitio. Los controles sin evidencia que respalde una declaración pública no se declaran ni se listan. Los estados se muestran como texto, nunca solo con color.
Aislamiento y autorización
Separación de entornos
En desarrolloDesarrollo, staging y producción se ejecutan en cuentas cloud separadas con almacenes de datos, almacenamiento y distribuciones independientes. Guardas a nivel de código impiden que modos exclusivos de desarrollo (semillas de demo, ejecutores simulados, dispositivos auto-confiados) se ejecuten en producción y detectan discrepancias de recursos entre entornos.
Ámbito: Se aplica en toda la plataforma.
Protección de datos
Cifrado en tránsito
En desarrolloEl tráfico público se sirve solo por HTTPS (el HTTP se redirige), con un perfil TLS moderno (TLS 1.2 o superior) y un certificado gestionado, y se aplica HTTP Strict Transport Security en producción.
Ámbito: Se aplica al sitio web público.
Gestión de secretos
En desarrolloLos secretos de los workloads se suministran desde un almacén de secretos gestionado en el arranque, nunca se escriben en logs, y el servicio falla de inmediato si falta un secreto o es un marcador. El repositorio incorpora escaneo automático de secretos y comprobaciones pre-commit, y los artefactos publicados no contienen secretos.
Ámbito: La inyección gestionada de secretos se aplica a los workloads de staging y producción; la rotación sigue un procedimiento documentado con herramientas de preflight.
Limitaciones
- La rotación automática programada de secretos es guiada por procedimiento, todavía no un mecanismo automatizado probado.
La web no es un canal de datos
Construido (I+D interna)El sitio web público y el correo ordinario no son canales autorizados para muestras, secuencias, archivos genómicos, identificadores de muestras ni datos de pacientes. Cualquier evaluación con datos se realiza a través de un canal y condiciones acordados con VBS.
Ámbito: Se aplica a todas las superficies de contacto públicas.
Operación
Copias de seguridad y recuperación
En desarrolloLa base de datos gestionada tiene copias de seguridad automáticas con una ventana de retención definida y no es accesible públicamente. Los procedimientos de restauración están documentados y se ejercitan periódicamente con un ensayo no destructivo.
Ámbito: Se aplica a la base de datos gestionada.
Limitaciones
- Las restauraciones se ensayan con un dry-run, no se verifican de forma continua de extremo a extremo.
Procedimientos de respuesta a incidentes
En desarrolloUn conjunto mantenido de runbooks de respuesta a incidentes etiquetados por severidad (pipeline, API, base de datos, almacenamiento, rotación de secretos, hallazgos de amenaza, rollback de despliegue), validados estructuralmente en integración continua, junto con remediación automatizada de determinados hallazgos de amenaza en cloud.
Ámbito: Los runbooks están documentados y validados en CI; los ejercicios de incidente de extremo a extremo están pendientes.
Limitaciones
- Todavía no probado con ejercicios/tabletop de extremo a extremo.
Cabeceras de seguridad web
Construido (I+D interna)El sitio público envía cabeceras de respuesta de refuerzo — HTTP Strict Transport Security, anti-framing, sin MIME sniffing y una política de referrer prudente — y el entorno de staging está marcado como no indexable.
Ámbito: Se aplica al sitio web público.
Content Security Policy
En desarrolloUna Content Security Policy restringe desde dónde pueden cargarse scripts, estilos, fuentes, imágenes y conexiones. Está activa en producción con permisos inline: el script inline de arranque del framework requiere actualmente permitir scripts inline.
Ámbito: Se aplica al sitio web público.
Limitaciones
- Los scripts y estilos siguen permitiendo contenido inline; no está desplegada una política más estricta basada en hashes.
Qué datos maneja la web
El sitio web público y el correo ordinario no son canales autorizados para muestras, secuencias, archivos genómicos, identificadores de muestras ni datos de pacientes. Cualquier evaluación con datos utiliza un canal y condiciones acordados con VBS.
Reportar un problema de seguridad
Los reportes de seguridad se reciben actualmente a través de la dirección de contacto general de Vanguard Biotech Systems. Es el canal de contacto actual de la empresa, no un equipo de operaciones de seguridad dedicado. Para ayudarnos a clasificarlo, incluya “Reporte de seguridad” en el asunto.
vanguardbiotechsystems@gmail.com
- Describa el problema, el impacto observado y pasos reproducibles; los datos de contacto son opcionales.
- Por favor, no acceda, modifique, elimine ni exfiltre datos, y no realice pruebas de denegación de servicio ni ingeniería social.
- Por favor, permita un periodo de revisión razonable antes de publicar cualquier detalle.
No es un programa de bug bounty remunerado; actualmente no ofrecemos recompensas ni un plazo de respuesta fijo.
Ver /.well-known/security.txt →Preguntas que hacen las instituciones
¿Podemos enviar datos por la web?
El sitio web público y el correo ordinario no son canales autorizados para muestras, secuencias, archivos genómicos, identificadores de muestras ni datos de pacientes. Cualquier evaluación con datos utiliza un canal y condiciones acordados con VBS.
¿La seguridad equivale a validación clínica?
Los controles de seguridad no son validación clínica, un marcado de conformidad de producto sanitario, ni autorización para uso diagnóstico.
¿Qué registra la procedencia?
Cada lote de procesamiento lleva un registro de una sola escritura de lo que lo produjo. Los paquetes de modelo y los registros de resultado se unirán a la misma cadena cuando existan.
¿Cómo reportamos una vulnerabilidad?
Los reportes de seguridad se reciben actualmente a través de la dirección de contacto general de Vanguard Biotech Systems. Es el canal de contacto actual de la empresa, no un equipo de operaciones de seguridad dedicado. Para ayudarnos a clasificarlo, incluya “Reporte de seguridad” en el asunto.
Preguntas sobre seguridad
Vanguard Biotech Systems no realiza actualmente afirmaciones de autorización regulatoria ni de uso clínico autónomo para NextGenAMR. El uso previsto y la estrategia regulatoria se evaluarán conforme evolucione el producto.
NextGenAMR está en desarrollo y no está destinado al uso clínico. No tiene autorización ni declaración de conformidad para uso diagnóstico clínico: ni marcado CE conforme al Reglamento europeo de diagnóstico in vitro (IVDR, Reglamento (UE) 2017/746) ni autorización de comercialización de la FDA. No se declara certificación ISO 13485 de gestión de la calidad.