Welche Leistung beauftragen Sie?
Ein sinnvoller Penetrationstest im Gesundheitswesen beginnt mit einer geschäftlichen Entscheidung: Welchen Zugriff oder welche Aktion darf ein Angreifer nicht erlangen können? Legen Sie synthetische Patientenakten, Behandlungsbeziehungen und Sitzungen von Dienstleistern fest und vereinbaren Sie anschließend, wie der Test das Ergebnis nachweisen soll. Das Angebot sollte Umfang, Ausschlüsse, Zuständigkeiten bei der Durchführung, Berichtsinhalte und etwaige Nachtests jeweils gesondert aufführen.
Beginnen Sie mit der Sicherheitsentscheidung
Ermitteln Sie, wo eine digitale Interaktion den Zugriff auf die Datensätze eines anderen Patienten, ein überprivilegiertes Dienstkonto oder ein unzureichend getrenntes Supportnetzwerk ermöglichen könnte.
Ein Gesundheitswesen umfasst mehr als ein einzelnes Krankenhaus. Wir beziehen Identitäten, Überweisungen, Fernversorgung und Integrationen von Drittanbietern in einen Umfang ein, der dem Weg der Patientendaten folgt.
Ein Patientenportal kann auf der Anmeldeseite gut geschützt sein, während eine Laborintegration eine Datensatzkennung akzeptiert, ohne die anfragende Organisation zu prüfen. Ein aussagekräftiger Test verfolgt diese Übergaben, einschließlich der Supportprozesse außerhalb der Hauptanwendung.
Ein vereinbarter Umfang statt eines offenen Scans
Wir legen die Systeme, Identitäten, Arbeitsabläufe und Schnittstellen fest, die zur Beantwortung der Prüfungsziele erforderlich sind. Schriftliche Genehmigung, Zustimmung Dritter, Testkonten und ein vereinbarter Datensatz müssen vor Beginn der aktiven Arbeiten vorliegen. Ein Angebot hält neben den einbezogenen auch die ausgeschlossenen Bereiche und Abhängigkeiten fest.
- Tests von Patientenportalen und Gesundheits-APIs — Prüfen Sie die Berechtigungen hinter dem Patientenerlebnis – von der Kontowiederherstellung bis zur Weitergabe von Gesundheitsakten.
- Tests von Gesundheitsnetzwerken und Identitäten — Verfolgen Sie die Zugriffswege zwischen verteilten Standorten, Identitätsdiensten und sensiblen Systemen.
- Tests des Lieferanten- und Integrationszugriffs im Gesundheitswesen — Prüfen Sie die Berechtigungen, über die Dritte nach Inbetriebnahme der Integration weiterhin verfügen.
Fragen, die der Test beantworten kann
- Kann ein Portalkonto das Dokument eines anderen synthetischen Patienten abrufen?
- Kann eine Partnerintegration eine Überweisung außerhalb der zulässigen Organisation ändern?
- Kann eine Supportidentität des Lieferanten eine interne Datenexport- oder Wiederherstellungsrolle erreichen?
Dies sind Beispiele für die Festlegung des Umfangs und keine Aussage, dass jeder Auftrag alle Methoden oder Systeme umfasst. Im abschließenden Testplan werden die zulässigen Maßnahmen, die erwarteten Ergebnisse und die erforderlichen Beobachtungen festgehalten, die jede Schlussfolgerung stützen.
Operative Schutzmaßnahmen sind Teil der Methodik
Verwenden Sie synthetische Patientenidentitäten und vereinbarte Datenkohorten. Benennen Sie eine klinische Eskalationskontaktperson, legen Sie Anfragelimits fest und schließen Sie behandlungswirksame Aktionen aus, sofern sie nicht gesondert autorisiert wurden. Stoppen Sie sofort, wenn bei den Tests unerwartet reale klinische Daten auftauchen oder ein Versorgungsablauf gefährdet wird.
Tests können Risiken mit sich bringen. Vereinbaren Sie, wer Aktivitäten pausieren darf, welche Bedingungen eine Eskalation auslösen und wie echte Vorfälle von Aktivitäten im Rahmen der Übung unterschieden werden. Das Senden einer Anfrage über diese Website genehmigt keinen Test.
Von Feststellungen zu verifizierten Maßnahmen
Sie erhalten eine Managementübersicht, eine klar abgegrenzte technische Dokumentation, reproduzierbare Feststellungen und ein Maßnahmenregister. Jede Feststellung sollte das beobachtete Ergebnis, den nachgewiesenen Zugriff oder Vorgang, dessen Grenzen und einen praktikablen Abnahmetest erläutern. Umfang und Zeitpunkt des Retests werden in der Leistungsbeschreibung vereinbart.
Sehen Sie sich das Muster von Healthcare AG an oder prüfen Sie die Arbeitsergebnisse, bevor Sie Ihre Anforderungen besprechen.
Bereiten Sie vor dem Scoping-Gespräch ein Briefing vor
Beschreiben Sie den Versorgungsdienst und die Informationsgrenze, die Sie bewerten möchten. Trennen Sie den patientenseitigen Zugriff, klinische Rollen und Dienstleisterintegrationen, damit der Test eine klare Frage beantworten kann.
Verwenden Sie den kostenlosen Generator für Leistungsbeschreibungen von Penetrationstests im Gesundheitswesen, um Ziele, Prüfbereiche, Einschränkungen und NDA-Präferenzen festzuhalten. Prüfen Sie den vorgeschlagenen Umfang und senden Sie ihn anschließend direkt über das Kontaktformular an Atlant Security.
