Was gehört zum Umfang?
Zwei Angebote sind nur dann vergleichbar, wenn sie dieselben Arbeiten umfassen. Führen Sie für einen Penetrationstest im Gesundheitswesen Patientenportale, Gesundheits-APIs und Lieferantenzugänge auf, legen Sie aber auch die zu testenden Rollen, Umgebungen und Geschäftsvorgänge fest. Geben Sie an, welche Nachweise Sie erwarten, welche Aktionen untersagt sind und ob ein Retest Teil der Anfrage ist.
Services den Abhängigkeiten zuordnen
Ein Patientenportal kann auf der Anmeldeseite gut geschützt sein, während eine Laborintegration eine Datensatzkennung akzeptiert, ohne die anfragende Organisation zu prüfen. Ein aussagekräftiger Test verfolgt diese Übergaben, einschließlich der Supportprozesse außerhalb der Hauptanwendung.
Zuerst die Geschäfts- oder Versorgungsleistungen auflisten und anschließend die sie unterstützenden Anwendungen, Identitätssysteme, Netzwerke und Anbieter zuordnen. Dokumentieren, welcher Verantwortliche jede Komponente genehmigen kann. Eine reine Anzahl von Domains beschreibt weder die Berechtigungsgrenzen noch die betrieblichen Folgen.
Bereiten Sie Rollen und repräsentative Daten vor
Stellen Sie dedizierte Identitäten mit dokumentierten Rollen und bekannten, erwarteten Berechtigungen bereit. Verwenden Sie mehr als einen Mandanten, Kunden oder eine Organisationseinheit, wenn Abgrenzungen zum Prüfziel gehören. Kennzeichnen Sie Canary-Objekte, damit Prüfende und Verantwortliche sie von echten Datensätzen unterscheiden können.
Wählen Sie die Prüfbereiche aus
- Tests von Patientenportalen und Gesundheits-APIs: Zugriffsprüfungen auf Objektebene, Beziehungen zwischen Patienten und Stellvertretungen, Mandantentrennung bei Leistungserbringern und Massenexporte müssen gezielt mit unterschiedlichen Identitäten getestet werden. Eine gültige Anmeldung ist erst der Anfang des Autorisierungsmodells.
- Tests von Gesundheitsnetzwerken und Identitäten: Kliniknetzwerke, zentrale Identitätsdienste und ausgelagerter Support haben oft unterschiedliche Verantwortliche. Ein temporärer Verwaltungszugang oder eine gemeinsam genutzte Supportgruppe kann unbemerkt zu einem dauerhaften Pfad zu privilegierten Zugriffsrechten werden.
- Tests des Lieferanten- und Integrationszugriffs im Gesundheitswesen: Labore, Terminplanungsanbieter und Supportteams können jeweils Zugangsdaten mit weiterreichenden Rechten besitzen, als ihre unmittelbare Aufgabe erfordert. Für gemeinsam genutzte Mandanten und die Infrastruktur von Anbietern müssen vor Tests klare Befugnisgrenzen festgelegt werden.
Testbedingungen abstimmen
Verwenden Sie synthetische Patientenidentitäten und vereinbarte Datenkohorten. Benennen Sie eine klinische Eskalationskontaktperson, legen Sie Anfragelimits fest und schließen Sie behandlungswirksame Aktionen aus, sofern sie nicht gesondert autorisiert wurden. Stoppen Sie sofort, wenn bei den Tests unerwartet reale klinische Daten auftauchen oder ein Versorgungsablauf gefährdet wird.
- Benannte Testquellen, Zielsysteme und zulässige Schnittstellen.
- Genehmigte Zeitfenster, Ratenbegrenzungen und ausgeschlossene Methoden.
- Zustimmung Dritter, Ansprechpartner für die Steuerung und Befugnis zum Abbruch.
- Verantwortlichkeiten für den Umgang mit Nachweisen, die Bereinigung, die Berichterstattung und den Retest.
Änderungen nachvollziehbar machen
Dokumentieren Sie wesentliche Releases, neue Routen und Berechtigungsänderungen während des Tests. Führt ein unerwarteter Pfad zu einem System außerhalb des autorisierten Geltungsbereichs, unterbrechen Sie den Test und klären Sie den Umfang mit der benannten entscheidungsbefugten Person. Nehmen Sie nicht getestete Abhängigkeiten in die abschließende Abdeckungsdarstellung auf.
Bereiten Sie vor dem Scoping-Gespräch ein Briefing vor
Beschreiben Sie den Versorgungsdienst und die Informationsgrenze, die Sie bewerten möchten. Trennen Sie den patientenseitigen Zugriff, klinische Rollen und Dienstleisterintegrationen, damit der Test eine klare Frage beantworten kann.
Verwenden Sie den kostenlosen Generator für Leistungsbeschreibungen von Penetrationstests im Gesundheitswesen, um Ziele, Prüfbereiche, Einschränkungen und NDA-Präferenzen festzuhalten. Prüfen Sie den vorgeschlagenen Umfang und senden Sie ihn anschließend direkt über das Kontaktformular an Atlant Security.
