Sicherheit von Patientenportalen: Zugriff über die Anmeldung hinaus testen

Die Entscheidung, bei der Ihnen dieser Leitfaden hilft

Eine Anmeldung bestätigt eine Identität; sie begründet keine Berechtigung für einen bestimmten Datensatz oder einen Export. Vergleichen Sie die Rollen von Patienten, Vertretungspersonen und Klinikpersonal bei aktiven und beendeten Versorgungsbeziehungen. Prüfen Sie den konkreten Vorgang und den daraus resultierenden Zugriff, statt sich auf das Anmeldeergebnis zu verlassen.

Das Berechtigungsmodell klar festlegen

Patientenzugänge, Vertretungen durch Angehörige, behandelnde Ärzte, Supportpersonal und Administratoren unterliegen häufig unterschiedlichen Regeln. Formulieren Sie diese Beziehungen als Akteur, Objekt und Handlung, bevor Sie Nutzdaten untersuchen. Berücksichtigen Sie abgelaufene Vertretungszugriffe und Mitarbeitende, die zwischen Leistungserbringerorganisationen gewechselt sind; solche Lebenszykluszustände machen oft Lücken sichtbar, die bei Tests des positiven Standardablaufs verborgen bleiben.

Entscheidungen zum selben Objekt vergleichen

Halten Sie das Objekt konstant und ändern Sie den Prinzipal. Halten Sie anschließend den Prinzipal konstant und ändern Sie den Eigentümer des Objekts. Prüfen Sie die Serverantwort und das nachgelagerte Auditereignis. Eine ausgeblendete Schaltfläche ist keine Zugriffskontrolle, und eine unvorhersehbare Datensatzkennung ersetzt keine Autorisierungsentscheidung.

Sekundäre Schnittstellen prüfen

Der Dokumentdownload, Exportauftrag oder die mobile API eines Portals kann andere Prüfungen anwenden als die Hauptdatensatzseite. Testen Sie jede zulässige Route mit derselben synthetischen Rollenmatrix. Erstellung, Statusabfrage und Abruf eines Exports sind separate Vorgänge und erfordern möglicherweise jeweils eigene Berechtigungsprüfungen.

Die Behebung überprüfbar machen

Empfehlen Sie eine serverseitige Richtlinie an der Grenze zwischen Objekt und Vorgang und testen Sie anschließend sowohl zulässige als auch unzulässige Zugriffe erneut. Erfassen Sie die Identität, den Testdatensatz, die Anfrage-ID und das Ergebnis. Ziel ist eine eindeutige Zugriffsentscheidung, ohne den legitimen Zugriff auf die Versorgung zu beeinträchtigen, und nicht nur das Unterdrücken einer Fehlermeldung.

Verwenden Sie Konten- und Datensatzpaare

Bereiten Sie zwei Patienten mit getrennten synthetischen Terminen, Nachrichten und Dokumenten vor. Legen Sie zunächst die zulässige Ausgangslage für jedes Konto fest und wiederholen Sie dann eine einzelne vereinbarte Aktion am Canary-Objekt des jeweils anderen Kontos. Halten Sie Anfragetyp und Objektstatus vergleichbar. So lässt sich die Zugriffsentscheidung isoliert von anderen Validierungsfehlern prüfen. Beziehen Sie ein delegiertes Konto nur ein, wenn das Portal dies unterstützt und die Beziehung samt Ablaufdatum eindeutig dokumentiert ist. Gehen Sie nicht davon aus, dass der Familienzugriff auf eine bestimmte Art von Unterlagen den Zugriff auf alle Unterlagen erlaubt.

Derselbe Vergleich ist auch für Ärzte nützlich, die in mehreren Praxen tätig sind: Ein Konto darf berechtigterweise in zwei Kontexten auf Datensätze zugreifen, während ein anderes nur Zugriff auf einen Kontext haben darf. Das erwartete Ergebnis muss vom Diensteigner vorgegeben werden und darf nicht auf einer Vermutung des Testers über die beabsichtigte Behandlungsbeziehung beruhen.

Den Lebenszyklus einer bestehenden Berechtigung testen

Zugriffe können bei ihrer Einrichtung korrekt sein und nach einer Änderung der Geschäftsbeziehung nicht mehr stimmen. Vereinbaren Sie Prüfungen für den Entzug von Berechtigungen, den Wechsel zwischen Organisationen und den Ablauf einer delegierten Rolle. Prüfen Sie, ob ein zuvor ausgegebener Dokumentlink, ein in die Warteschlange eingestellter Export oder eine aktive Sitzung weiterhin Zugriff auf das synthetische Material ermöglicht. Verwenden Sie wenige vorbereitete Objekte und halten Sie fest, wann die Richtlinienänderung wirksam werden sollte. Schließen Sie nicht allein deshalb auf ein Versagen der Kontrolle, weil die Produktdokumentation eine beabsichtigte und genehmigte Verzögerung vorsieht; vergleichen Sie die Beobachtung mit der tatsächlichen Anforderung.

Unser Leitfaden zur Mandantentrennung erläutert, warum sowohl die Zurückweisung einer Anfrage als auch der nachgelagerte Zustand untersucht werden sollten. Diese Methode lässt sich gut auf Portale mit asynchroner Dokumentenerstellung übertragen.

Einen Befund formulieren, den das Produktteam beheben kann

Die Nachweise sollten die anfragende Rolle, die vorgesehene verantwortliche Person, den Vorgang und die konkrete Berechtigung benennen, die ihn hätte verhindern sollen. Erfassen Sie eine redigierte Anfrage und Antwort zusammen mit der synthetischen Objektkennung und, sofern verfügbar, einem serverseitigen Auditverweis. Geben Sie an, ob die Beobachtung Lesezugriff, eine Änderung oder lediglich das Auffinden des Objekts belegt. Dies sind unterschiedliche Auswirkungen. Ein Screenshot einer Patientenseite ohne Identitätskontext ist ein schwacher Nachweis und kann unnötigerweise sensible Informationen offenlegen.

Bei Wiederholungstests sollte der fehlgeschlagene Vergleich wiederholt, bestätigt werden, dass der legitime Zugriff weiterhin funktioniert, und der nächstliegende gleichwertige Endpunkt geprüft werden. Betrifft das Problem eine von einem Krankenhaus genutzte Integration, hilft unser Leitfaden zu EHR- und Bildgebungsintegrationen dabei, zusätzliche Dienstidentitäten zu ermitteln, die berücksichtigt werden müssen.

Setzen Sie die Leitlinien praktisch um

Verwenden Sie die Vorbereitungs-Checkliste, um Annahmen zu dokumentieren, oder sehen Sie sich den fiktiven Bericht der Healthcare AG mit Beispielen für Nachweise und Maßnahmenpläne an. Kontaktieren Sie Atlant Security mit einer nicht sensiblen Beschreibung Ihres Umfangs.