Um registro de temperatura alterado vale menos que nenhum. Um armazém sem sistema não expede nem um frasco.
Operamos a segurança de indústrias farmacêuticas, distribuidoras de medicamentos e de produtos para saúde como rotina: proteção dos registros que a qualidade precisa defender, continuidade do armazém e da expedição, controle do acesso de transportadoras e prestadores e resposta quando algo foge do normal.
O risco que o setor carrega
Na cadeia do medicamento, o incidente de segurança vira problema sanitário, e não só de TI.
A operação guarda três coisas que atraem ataque: registro regulado que precisa continuar íntegro, logística que não pode parar sem risco ao produto e, na indústria, conhecimento de formulação e processo que vale anos de desenvolvimento.
O sequestro de dados trava ERP e WMS numa sexta à noite, e produto termolábil fica esperando na doca enquanto ninguém consegue emitir nota nem imprimir etiqueta.
Transportadora, operador logístico, manutenção de câmara fria e consultoria de validação entram na rede por acesso remoto que nunca foi revisto.
Registros de qualidade ficam em servidor de arquivos onde qualquer usuário da área consegue alterar e apagar, sem trilha de quem mexeu.
Um e-mail falso em nome de cliente troca os dados bancários de um pagamento, ou pede entrega de carga de alto valor num endereço que não é o do comprador.
O que operamos para a cadeia farmacêutica
Camadas mantidas com revisão e registro, e parceiro de operação onde a entrega exige estrutura que não é da Composto Web.
Proteção dos registros de qualidade
Quem pode criar, alterar e apagar cada registro, com permissão por função, trilha de acesso ligada e cópia de segurança conferida por restauração. O objetivo é o registro eletrônico seguir recuperável e livre de alteração não autorizada.
Armazém e câmara fria em rede própria
Coletores, impressoras de etiqueta, sensores de temperatura e o sistema do armazém ficam separados da rede administrativa e da internet aberta. O firewall que faz essa separação segue revisado, com histórico de toda regra criada ou retirada.
Acesso de prestadores com prazo
Transportadora, manutenção e consultorias recebem acesso nominal, restrito ao sistema de que precisam, com segundo fator e data de término. Quando o contrato acaba, o acesso termina junto.
Detecção e resposta com parceiro
Antivírus e EDR gerenciados nas máquinas do escritório e do armazém. Onde o impacto de uma parada justifica, entra o MDR: um time do parceiro acompanha os alertas a qualquer hora e a contenção segue um roteiro acertado antes, que protege primeiro a expedição e a cadeia de frio.
Controles prontos para inspeção e auditoria
Controles de segurança documentados e com evidência, organizados para a inspeção sanitária, a auditoria de cliente e a avaliação de fornecedor. A Composto Web prepara; quem audita e certifica é sempre um terceiro.
Equipe atenta à fraude comercial
Financeiro, televendas e expedição treinados para reconhecer troca de dados bancários, pedido urgente fora do padrão e mudança de endereço de entrega, com simulações periódicas e regra de confirmação por outro canal.
Onde esta frente termina
Não valida sistema e não emite selo. Cuida de que o ambiente da operação regulada siga protegido dia após dia.
Segurança gerenciada (esta página)
- O problema é risco: parada da expedição, registro adulterado, vazamento de formulação, fraude.
- A empresa precisa mostrar a cliente, inspetor ou seguradora como protege e responde.
- O trabalho é contínuo, em ciclos com revisão, e não um projeto que termina.
- Controles e evidências ficam prontos para quem audita, e a certificação, quando houver, é dada por organismo independente.
Software sob medida para distribuidoras de medicamentos
- Falta um sistema para recolhimento, desvio, devolução ou temperatura com rastreio por lote.
- A dor é um processo regulado sem ferramenta, não a chance de sofrer um ataque.
- A trilha de alteração precisa ser construída dentro de uma aplicação nova.
A validação dos sistemas computadorizados é conduzida pela Garantia da Qualidade da empresa. Para detecção contínua e MDR, a entrega vem de um parceiro com estrutura de monitoramento, já que a Composto Web não tem centro de operações de segurança.
Quando faz sentido conversar
A conversa amadurece quando um dia de armazém parado significa produto em risco, e não só atraso de entrega.
Uma distribuidora pequena, sem medicamento termolábil e com poucos acessos externos, se protege bem com antivírus gerenciado e senhas individuais. O serviço contínuo passa a compensar quando cadeia de frio, volume e número de terceiros crescem.
Prestadores acessam a rede remotamente e ninguém revisa esses acessos.
Os registros de qualidade podem ser alterados por qualquer um da área, sem trilha.
Sensores, coletores e estações administrativas dividem a mesma rede.
Já houve tentativa de fraude de pagamento ou de desvio de entrega.
Cliente, inspeção ou seguradora passou a pedir evidência de controles de segurança.
Como funciona o serviço gerenciado
Um ciclo contínuo que respeita a janela de expedição e o controle de mudanças da empresa.
ETAPA 01
Levantamento
Identificamos os sistemas que param a expedição, onde estão os registros de qualidade, quem de fora acessa o ambiente, o que a rede do armazém enxerga e quais evidências os clientes e a inspeção pedem.
ETAPA 02
Implantação
As camadas combinadas entram em funcionamento com registro no controle de mudanças da empresa e fora da janela de expedição: permissões, segmentação, acesso de prestadores, endpoint e conexão dos alertas ao parceiro de monitoramento.
ETAPA 03
Operação
Seguimos com triagem de alerta, renovação ou encerramento de acesso de prestador, manutenção de regra e restauração de cópia testada, e conduzimos o incidente junto com o TI e a qualidade quando ele acontece.
ETAPA 04
Revisão
Cada ciclo termina com uma leitura dos alertas do período, das mudanças na operação e das exigências da próxima inspeção ou auditoria de cliente. Com isso, a diretoria define o escopo do ciclo seguinte.
O que muda quando a proteção tem rotina
Expedição menos exposta a parar
Rede do armazém isolada, contenção combinada e cópia testada reduzem o tempo em que um ataque consegue travar a doca.
Registro que a qualidade consegue defender
Permissão, trilha e restauração conferida sustentam a resposta quando alguém pergunta se o registro pode ter sido alterado.
Terceiro com porta que fecha
Cada prestador tem acesso com nome, escopo e fim, e a empresa sabe exatamente quem pode entrar no ambiente.
Dúvidas mais comuns
O que a qualidade, o TI e a diretoria perguntam
“A norma sanitária fala de segurança da informação?”
A RDC nº 430/2020 pede que registros manuais ou eletrônicos sejam prontamente recuperáveis e armazenados com medidas de segurança contra modificação não autorizada, danos, deterioração ou perda, com backup dos registros eletrônicos. O serviço cuida da parte técnica desse requisito.
“Vocês validam nossos sistemas?”
Não. A validação é responsabilidade da empresa, conduzida pela Garantia da Qualidade. Nosso trabalho é o ambiente em volta: acesso, rede, detecção e cópia, com mudanças registradas para não comprometer o que já foi validado.
“Existe um centro de operações de vocês olhando o ambiente?”
Não temos centro de operações próprio. Monitoramento contínuo e MDR ficam com um parceiro especializado nessa operação; do nosso lado ficam a definição do escopo, o caminho de acionamento e a conversa com a sua equipe.
“E os sensores e coletores que não aceitam antivírus?”
Muitos não aceitam. A saída é deixá-los numa rede só deles, restringir com quais máquinas se comunicam e observar o que trafega, e não forçar software onde ele não roda.
“Vocês emitem certificado para a auditoria do cliente?”
Não. Organizamos controles e documentação para a auditoria, que é feita pelo cliente ou por organismo independente. O valor da avaliação está em não ser feita por quem preparou.
“Temos fábrica e centro de distribuição. Começamos por onde?”
Pelo ponto cuja parada custa mais, quase sempre a expedição ou a área que guarda produto termolábil. O padrão depois é levado aos outros endereços em ciclos.
Frentes relacionadas
Voltar para Segurança GerenciadaOutras frentes neste setor
Tecnologia para o setor farmacêutico
Onde a tecnologia ajuda indústria farmacêutica e distribuidoras além do ERP: sistema para o registro regulado, automação do administrativo e segurança da operação.
Automação para distribuidoras de medicamentos
Robôs e integrações para distribuidoras e indústria farmacêutica: pedido de cliente, conferência de nota com lote e validade, licenças vigiadas e relatórios prontos.
Software sob medida para distribuidoras de medicamentos e indústria farmacêutica
Sistemas sob medida para indústria e distribuição farmacêutica: lote e validade, mapa de distribuição, recolhimento, desvio de qualidade e cadeia de frio.
Esta frente em outros setores
Segurança da informação gerenciada para redes de franquias
Segurança gerenciada para franqueadoras: padrão mínimo por unidade, acesso aos sistemas da rede, dados de clientes e resposta a incidente em todas as lojas.
Segurança da informação para imobiliárias
Proteção contínua para quem guarda renda, documentos e contas de inquilinos e proprietários: acesso por função, golpe do falso boleto e resposta a incidente.
Segurança da informação para indústria
Acesso remoto de fornecedor, rede da produção separada do escritório, segredo industrial protegido e alerta lido nos três turnos. Operado como serviço contínuo.
Segurança da informação gerenciada para escritórios de advocacia
Segurança gerenciada para escritórios de advocacia e jurídicos internos: sigilo profissional, e-mail, certificados e acesso por cliente sob operação contínua.
Cibersegurança para transportadoras e operadores logísticos
Filiais sob a mesma política, login individual no TMS e no rastreamento, dado de destinatário protegido e alerta tratado de madrugada. Segurança operada como serviço.
Segurança da informação para mineração
Proteção da camada de TI da mineradora: rede corporativa, acesso de terceiros, documentação de segurança e retomada após incidente, com monitoramento feito com parceiro.
Fontes citadas
- RDC nº 430/2020 (Anvisa): Boas Práticas de Distribuição, Armazenagem e de Transporte de Medicamentos. Os registros, manuais ou eletrônicos, devem ser prontamente recuperáveis e protegidos contra modificação não autorizada, danos, deterioração ou perda, com backup dos registros eletrônicos (art. 23); equipamentos e sistemas informatizados devem ser qualificados e validados antes do uso ou depois de mudança significativa (art. 40); a qualidade deve garantir a integridade e a rastreabilidade dos medicamentos e dos dados das transações comerciais (art. 18, XIV).
Próximo passo
Se ninguém sabe dizer quem pode alterar um registro de temperatura, é por esse ponto que o trabalho começa.
No diagnóstico olhamos os registros regulados, a rede do armazém, os acessos de terceiros e o efeito de um ataque de madrugada sobre a expedição, e ordenamos o trabalho pela criticidade.
- Sistemas cuja parada trava a expedição, e por onde podem ser atingidos
- Registros de qualidade e quem consegue alterá-los
- Escopo do ciclo inicial, dividido entre nós e o parceiro de monitoramento