Die vor einem Angebot zu klärenden Fragen
Kosten und Dauer von Penetrationstests im Gesundheitswesen hängen von den Zielsystemen, Rollen, Geschäftsabläufen, Zugangsregelungen und Berichtsanforderungen ab. Allein anhand der Anzahl der Systeme lässt sich der Aufwand nicht bestimmen. Nutzen Sie die folgenden Fragen, um den Umfang vorzubereiten und die Annahmen zu ermitteln, auf die ein Angebot eingehen muss.
Vor einem Auftrag
Was umfasst Penetration Testing im Gesundheitswesen?
Tests von Patientenportalen und Gesundheits-APIs; Tests von Gesundheitsnetzwerken und Identitäten; Tests von Zulieferern und Integrationen im Gesundheitswesen. Der vereinbarte Prüfungsumfang legt konkrete Assets, Rollen, Schnittstellen und Ausschlüsse fest.
Können Sie Produktionssysteme testen?
Verwenden Sie synthetische Patientenidentitäten und vereinbarte Datenkohorten. Benennen Sie eine klinische Eskalationskontaktperson, legen Sie Anfragelimits fest und schließen Sie behandlungswirksame Aktionen aus, sofern sie nicht gesondert autorisiert wurden. Stoppen Sie sofort, wenn bei den Tests unerwartet reale klinische Daten auftauchen oder ein Versorgungsablauf gefährdet wird. Tests in der Produktionsumgebung erfordern eine ausdrückliche Vereinbarung; Ergebnisse aus Staging- und Produktionsumgebungen dürfen nicht als austauschbar dargestellt werden.
Ist dies dasselbe wie ein Schwachstellenscan?
Nein. Ein Scan kann die Erkennung unterstützen, aber ein Penetrationstest überprüft ausgewählte Schwachstellen und ihre Folgen in der autorisierten Umgebung. Der Bericht sollte zwischen nicht verifizierten Beobachtungen und nachgewiesenen Feststellungen unterscheiden.
Belegt ein Penetrationstest die Compliance?
Die Sicherheitsanforderungen im Gesundheitswesen hängen von der Einrichtung, dem Standort und der Verarbeitung ab. Für Organisationen in der EU sind der Anwendungsbereich von NIS2 und die nationale Umsetzung zusammen mit den Sicherheitsverpflichtungen der DSGVO zu prüfen. Für US-amerikanische erfasste Einrichtungen und Geschäftspartner ist HIPAA gesondert zu berücksichtigen. Ein Pentest liefert technische Nachweise; er bestimmt weder die rechtliche Anwendbarkeit noch bestätigt er die Compliance.
Wie lange dauert ein Auftrag und was kostet er?
Dauer und Gebühren hängen vom Leistungsumfang, den Rollen, den Workflows, den Zugriffsbedingungen, der Beteiligung Dritter sowie den Anforderungen an Berichterstattung und Wiederholungstests ab. Diese Punkte werden im Angebot vereinbart und nicht aus einem allgemeinen Paket abgeleitet.
Was werden wir erhalten?
Ein vereinbartes Abdeckungsprotokoll, technische Feststellungen, Nachweise, Wirkungsgrenzen und ein Behebungsplan. Wiederholungstests und zusätzliche betriebliche Übungen werden in der Leistungsbeschreibung festgelegt.
Handelt es sich bei dem Beispiel um einen echten Kundenbericht?
Nein. Die Healthcare AG sowie sämtliche Systeme, Beteiligten und Ergebnisse sind fiktiv. Das Beispiel veranschaulicht die technische Berichterstattung, ohne Kundeninformationen offenzulegen.
Was geschieht mit den für ein Muster eingereichten Angaben?
Atlant Security erhält Ihre Anfrage über sein geschäftliches Postfach, stellt den Browser-Download bereit und kann sich bezüglich Ihrer Anfrage bei Ihnen melden. Sie werden nicht für Marketing angemeldet. Siehe Datenschutzhinweise und Cookie-Hinweise.
Welche Angaben sollen wir in eine Anfrage aufnehmen?
Ihre Organisation, Ihre Rolle, eine allgemeine Beschreibung der Systeme oder Arbeitsabläufe, Ihr Ziel und der voraussichtliche Zeitplan. Senden Sie keine Patientendaten, Zahlungsdaten, Zugangsdaten oder vertraulichen Sicherheitsinformationen über das öffentliche Formular.
