Le questioni da definire prima di richiedere un preventivo
I costi e la durata dei penetration test nel settore sanitario dipendono dai sistemi obiettivo, dai ruoli, dai flussi di lavoro aziendali, dalle modalità di accesso e dai requisiti di rendicontazione. Il solo numero di sistemi non è sufficiente per determinare l’impegno richiesto. Utilizzate le domande seguenti per preparare l’ambito e individuare le ipotesi a cui una proposta deve rispondere.
Prima di un incarico
Cosa comprende il penetration testing nel settore sanitario?
Test dei portali per i pazienti e delle API sanitarie; test delle reti e delle identità in ambito sanitario; test dei fornitori e delle integrazioni sanitarie. L’ambito concordato definisce gli asset, i ruoli, le interfacce e le esclusioni specifici.
Potete testare i sistemi di produzione?
Utilizzare identità sintetiche dei pazienti e coorti di dati concordate. Designare un contatto per l'escalation clinica, stabilire limiti alle richieste ed escludere le azioni che incidono sul trattamento, salvo separata autorizzazione. Interrompere immediatamente i test se emergono dati clinici reali inattesi o viene messo a rischio un flusso di assistenza. I test in produzione richiedono un accordo esplicito; i risultati in staging e in produzione non devono essere presentati come intercambiabili.
È la stessa cosa di una scansione delle vulnerabilità?
No. Una scansione può supportare l’individuazione, ma un penetration test convalida le debolezze selezionate e le relative conseguenze nell’ambiente autorizzato. Il rapporto dovrebbe distinguere le osservazioni non verificate dai risultati dimostrati.
Un test di penetrazione dimostra la conformità?
I requisiti di sicurezza in ambito sanitario dipendono dall’entità, dalla sede e dal trattamento. Le organizzazioni dell’UE devono valutare l’ambito di applicazione di NIS2 e il recepimento nazionale insieme agli obblighi di sicurezza del GDPR. Le entità statunitensi soggette alla normativa e i loro business associate devono considerare HIPAA separatamente. Un pentest fornisce evidenze tecniche; non determina l’applicabilità giuridica né certifica la conformità.
Quanto dura un incarico e quanto costa?
Durata e tariffe dipendono dall’ambito, dai ruoli, dai flussi di lavoro, dalle condizioni di accesso, dal coinvolgimento di terze parti e dalle esigenze di reportistica e ripetizione dei test. Questi aspetti vengono concordati in una proposta, anziché dedotti da un pacchetto generico.
Cosa riceveremo?
Un registro di copertura concordato, rilievi tecnici, evidenze, limiti dell’impatto e un piano di correzione. I retest e le ulteriori esercitazioni operative sono specificati nel capitolato.
L’esempio è un report reale di un cliente?
No. Healthcare AG e tutti i sistemi, i partecipanti e i risultati sono fittizi. L’esempio illustra la rendicontazione tecnica senza esporre informazioni dei clienti.
Che cosa succede ai dati forniti per richiedere un esempio?
Atlant Security riceve la vostra richiesta tramite la propria casella aziendale, rende disponibile il download dal browser e può ricontattarvi in merito alla richiesta. Non verrete iscritti a comunicazioni di marketing. Consultate le informative sulla privacy e sui cookie.
Cosa dovremmo includere in una richiesta?
La sua organizzazione, il suo ruolo, una descrizione generale dei sistemi o dei flussi di lavoro, l'obiettivo e le tempistiche previste. Non invii cartelle cliniche, dati di pagamento, credenziali o informazioni di sicurezza riservate tramite il modulo pubblico.
