Accesso dei fornitori sanitari: la revoca termina la sessione?

La decisione che questa guida vi aiuta a prendere

Partite dall’attività di manutenzione concreta e dai sistemi di cui ha bisogno. Testate separatamente l’approvazione, l’accesso al gateway, i permessi sulle destinazioni e la chiusura della sessione. Verificate che la revoca elimini l’accesso pertinente, incluse le sessioni già stabilite quando rientrano nell’ambito concordato.

Iniziate dall’attività di manutenzione

Elencare le attività di manutenzione effettivamente svolte dal fornitore: applicare un aggiornamento di un’applicazione, diagnosticare un guasto di interfaccia o fornire supporto a un portale ospitato. Per ciascuna attività, identificare la persona o l’identità di servizio, il punto di accesso, il sistema di destinazione e il responsabile che approva l’accesso. Un contratto che prevede «assistenza tecnica» non costituisce un modello di autorizzazioni sufficiente. Due fornitori che utilizzano lo stesso gateway possono aver bisogno di livelli di accesso molto diversi alle applicazioni cliniche e all’infrastruttura.

Imposti la valutazione su un account di test dedicato e uno scenario di manutenzione concordato. Verifichi se il gateway, l’endpoint e il servizio di identità appartengono all’organizzazione sanitaria o a un’altra parte. L’autorizzazione ai test deve coprire ogni parte dell’attività proposta.

Definire il ciclo di vita previsto della sessione

Descrivete come inizia l’accesso, quanto dura e cosa deve accadere quando scade l’approvazione. Includete nell’ambito concordato le sessioni esistenti, quelle del browser, le credenziali memorizzate nella cache e i token dei servizi a valle. Disabilitare un account di accesso e terminare una sessione già avviata sono azioni diverse. Registrate il comportamento previsto prima del test, così da confrontare il risultato con un requisito effettivo.

Predisponete la presenza di un responsabile in grado di applicare e revocare la modifica di accesso durante la finestra prevista. Usate un oggetto sintetico innocuo per osservare se l’accesso persiste; evitate di consultare cartelle cliniche reali solo per dimostrare che una sessione è ancora utilizzabile. Il test dovrebbe lasciare una traccia di evidenze breve e comprensibile.

Verificare la raggiungibilità oltre il gateway

Un gateway può autenticare correttamente un utente e tuttavia consentire un percorso oltre di esso inutilmente ampio. Confrontate la destinazione di supporto approvata con una destinazione canary esplicitamente vietata. Scegliete un metodo che dimostri la raggiungibilità senza modificare il sistema target. Verificate se il fornitore può scegliere una destinazione diversa, ereditare un ruolo non previsto o usare un’identità condivisa che impedisca l’attribuzione. Qualsiasi attività ulteriore richiede un’autorizzazione specifica.

La guida sull’accesso remoto per la manutenzione ospedaliera approfondisce questo confine per gli ambienti clinici in cui l’ingegneria biomedica e l’IT possono controllare segmenti diversi del percorso di accesso. I referenti operativi devono poter agire congiuntamente.

Osservare la revoca insieme ai team di difesa

Concordare una sequenza breve: aprire la sessione di test approvata, registrarne l’identificativo, revocare il permesso pertinente e ripetere la stessa operazione innocua. Registrare il tempo trascorso e la risposta del servizio senza presumere che ogni prodotto garantisca la terminazione immediata. Chiedere ai responsabili del gateway e dell’applicazione di individuare gli eventi corrispondenti. L’impossibilità di correlarli può rappresentare un problema di responsabilizzazione anche se la decisione di accesso è corretta.

Se una sessione attraversa più sistemi, indicare quale componente ha terminato l’accesso. La disconnessione di un gateway non dimostra che sia stato revocato un token applicativo emesso in modo indipendente; tale token richiede una verifica approvata specifica.

Traduca il risultato in un piano di trattamento

Una raccomandazione dovrebbe identificare il confine di sicurezza che ha ceduto. Tra i possibili interventi figurano regole di destinazione più restrittive, account individuali, autorizzazioni di durata inferiore, revoca esplicita delle autorizzazioni a valle o una correlazione più efficace tra sessioni e ticket. Specificate le conseguenze per le attività di supporto e il responsabile dell’attuazione. Non presumete che un nuovo prodotto di sicurezza risolva contemporaneamente un problema di identità, rete e processo.

Per un’altra prospettiva sull’accesso stratificato, la nostra guida agli accessi privilegiati e alla segmentazione nelle banche distingue l’accesso autenticato dall’autorizzazione a raggiungere e utilizzare un servizio protetto. Il principio di controllo è applicabile anche altrove; i vincoli operativi clinici restano specifici del settore sanitario.

Lasciare un pacchetto di evidenze ripetibile

Conservare il riferimento di approvazione, l’identità di test, l’identificativo della sessione, l’obiettivo consentito, il confronto vietato, i timestamp e i risultati osservati. Oscurare segreti e informazioni sui pazienti. Registrare la pulizia, inclusa la rimozione degli account temporanei e la conferma che non vi siano sessioni di test ancora attive. Il pacchetto dovrebbe consentire al responsabile del servizio di ripetere la verifica dopo una modifica al gateway senza dover ricostruire l’intero incarico.

Utilizzate la lista di preparazione ai test di penetrazione nel settore sanitario per individuare i responsabili delle autorizzazioni e predisporre i dati di test. Se una parte del ciclo di vita non può essere testata in sicurezza, documentatela come una specifica limitazione della copertura, indicando un responsabile e il passo successivo proposto.