La decisión que le ayudará a tomar esta guía
El inicio de sesión confirma una identidad, pero no acredita el permiso para acceder a un registro concreto o exportarlo. Compare los roles de pacientes, representantes y profesionales clínicos en relaciones asistenciales activas y revocadas. Observe la operación específica y el acceso resultante, en lugar de basarse en el resultado del inicio de sesión.
Para la persona responsable del encargo. Un inicio de sesión satisfactorio solo identifica al usuario. Pruebe los permisos para actuar sobre cada objeto clínico, incluidos los accesos delegados, las exportaciones y las relaciones revocadas.
Defina claramente el modelo de permisos
El acceso de pacientes, los representantes familiares, los profesionales sanitarios responsables, el personal de soporte y los administradores suelen estar sujetos a reglas diferentes. Defina estas relaciones como actor, objeto y acción antes de examinar las cargas útiles. Incluya el acceso caducado de representantes y los cambios de personal entre organizaciones proveedoras; estos estados del ciclo de vida suelen revelar lagunas que las pruebas del flujo habitual no detectan.
Leer el texto del diagrama
- Entidad principal
- Paciente, representante o profesional sanitario
- Operación
- Leer, modificar o exportar
- Objeto
- Registro y relación asistencial
Comparar decisiones sobre el mismo objeto
Mantenga constante el objeto mientras cambia el principal; después, mantenga constante el principal mientras cambia el propietario del objeto. Compruebe la respuesta del servidor y el evento de auditoría posterior. Ocultar un botón no constituye un control de acceso, y un identificador de registro impredecible no sustituye una decisión de autorización.
Revisar las interfaces secundarias
La descarga de documentos, el proceso de exportación o la API móvil de un portal pueden aplicar controles distintos de los de la página principal del registro. Pruebe cada ruta permitida con la misma matriz sintética de roles. La creación, la consulta del estado y la descarga de una exportación son operaciones separadas y pueden requerir controles de permisos independientes.
Leer el texto del diagrama
- Paciente A / registro A
- Permitir dentro de los permisos acordados
- Paciente A / registro B
- Denegar si no existe una relación válida
- Delegado revocado
- Aplicar la política de revocación acordada
Haga que la corrección pueda verificarse
Recomiende una política en el servidor en el límite del objeto y la operación y vuelva a probar tanto los accesos permitidos como los prohibidos. Registre la identidad, el registro de prueba, el ID de solicitud y el resultado. El objetivo es obtener una decisión de acceso clara sin interrumpir el acceso legítimo a la asistencia, en lugar de limitarse a ocultar un mensaje de error.
Leer el texto del diagrama
- Contexto
- Rol, relación y propietario del objeto
- Evidencia
- Respuesta o cambio de estado con datos ocultos
- Auditoría
- Decisión correlacionada y marca de tiempo
Utilice pares de cuentas y registros
Prepare dos pacientes con citas, mensajes y documentos sintéticos independientes. Establezca la situación legítima de referencia para cada cuenta y, a continuación, repita una única operación acordada sobre el objeto canario de la otra cuenta. Mantenga comparables el tipo de solicitud y el estado del objeto. Así se aísla la decisión sobre la titularidad de los fallos de validación ajenos a ella. Incluya una cuenta delegada solo si el portal la admite, con una relación y una fecha de caducidad claramente documentadas. No presuponga que el acceso familiar a un tipo de registro concede acceso a todos los registros.
La misma comparación resulta útil para los profesionales clínicos que trabajan en varios centros: una cuenta puede tener legítimamente acceso a historiales en dos contextos, mientras que otra solo puede acceder a uno. El resultado esperado debe definirlo el responsable del servicio, no basarse en una suposición del evaluador sobre la relación asistencial prevista.
Probar el ciclo de vida de un permiso existente
El acceso puede ser correcto en el momento de su creación y dejar de serlo tras un cambio en la relación. Acuerde comprobaciones para la revocación, el traslado entre organizaciones y la caducidad de un rol delegado. Examine si un enlace a un documento emitido anteriormente, una exportación en cola o una sesión activa siguen exponiendo el material sintético. Utilice un número reducido de objetos preparados y registre el momento en que debería surtir efecto el cambio de política. No concluya que un control ha fallado solo porque la documentación del producto describa una demora intencionada y aprobada; compare lo observado con el requisito real.
Nuestra guía sobre el aislamiento entre clientes explica por qué deben examinarse conjuntamente el rechazo de la solicitud y el estado posterior. Este método también es aplicable a portales con generación asíncrona de documentos.
Redactar un hallazgo que el equipo de producto pueda corregir
Las evidencias deben identificar la función que realiza la solicitud, la persona responsable prevista, la operación y el permiso concreto que debería haberla impedido. Capture una solicitud y una respuesta con los datos sensibles ocultos, junto con el identificador sintético del objeto y una referencia de auditoría del servidor, cuando esté disponible. Indique si la observación demuestra acceso de lectura, modificación o únicamente el descubrimiento del objeto. Son impactos distintos. Una captura de pantalla de una página de paciente sin contexto de identidad constituye una evidencia débil y puede exponer material sensible innecesariamente.
La repetición de pruebas debe reproducir la comparación fallida, confirmar que el acceso legítimo sigue funcionando y comprobar el endpoint equivalente más cercano. Si el problema afecta a una integración utilizada por un hospital, nuestra guía sobre pruebas de integraciones de EHR e imagen médica ayuda a identificar las identidades de servicio adicionales que requieren atención.
Leer el texto del diagrama
- Repetir el fallo
- Utilice la misma comparación sintética
- Compruebe la atención habitual
- Verifique que la ruta permitida siga funcionando
- Compruebe las rutas adyacentes
- Incluir las exportaciones y las llamadas de integración
Ponga en práctica las directrices
Utilice la lista de preparación para documentar las premisas o consulte el informe ficticio de Healthcare AG para ver ejemplos de evidencias y planes de tratamiento. Póngase en contacto con Atlant Security con una descripción no sensible del alcance.
Fuentes primarias
Información general, no es una opinión sobre cumplimiento normativo. Confirme la aplicabilidad jurídica y los requisitos de pruebas para su entidad y jurisdicción.
Atlant Security publica esta guía y las publicaciones sectoriales relacionadas enlazadas arriba. Los ejemplos técnicos son ilustrativos para la planificación y no afirman que se hayan realizado pruebas para clientes.
Publicado por Atlant Security. Fuentes, política editorial y correcciones.
