Quale servizio intende commissionare?
Un’attività di penetration testing nel settore sanitario efficace parte da una decisione aziendale: quale accesso o operazione non deve poter ottenere un attaccante? Definite le cartelle cliniche sintetiche, le relazioni di cura e le sessioni dei fornitori, quindi concordate come il test dovrà dimostrare il risultato. La proposta dovrebbe indicare separatamente ambito, esclusioni, responsabilità di esecuzione, contenuti del rapporto e eventuali retest.
Iniziate dalla decisione in materia di sicurezza
Individua dove un’interazione digitale potrebbe consentire l’accesso ai dati di un altro paziente, a un account di servizio con privilegi eccessivi o a una rete di supporto non adeguatamente segmentata.
Il sistema sanitario va oltre il singolo ospedale. Includiamo identità, invii, assistenza a distanza e integrazioni di terze parti in un ambito che segue il percorso dei dati del paziente.
Un portale per i pazienti può essere ben protetto nella schermata di accesso, mentre un’integrazione di laboratorio accetta un identificativo di cartella senza verificare l’organizzazione richiedente. Un test utile segue questi passaggi, compresi i processi di supporto esterni all’applicazione principale.
Un ambito concordato, non una scansione senza limiti
Definiamo i sistemi, le identità, i flussi di lavoro e le interfacce necessari per rispondere agli obiettivi della valutazione. Prima di avviare attività operative occorrono l’autorizzazione scritta, il permesso delle terze parti, gli account di test e un insieme di dati concordato. La proposta registra inclusioni, esclusioni e dipendenze.
- Test dei portali per i pazienti e delle API sanitarie — Esaminate le autorizzazioni alla base dell’esperienza del paziente, dal recupero dell’account alla condivisione delle cartelle cliniche.
- Test di reti e identità sanitarie — Analizzate i percorsi di accesso tra sedi distribuite, servizi di identità e sistemi sensibili.
- Test degli accessi dei fornitori e delle integrazioni in ambito sanitario — Esaminate le autorizzazioni che i terzi mantengono dopo l’entrata in funzione dell’integrazione.
Domande a cui il test può rispondere
- Un account del portale può recuperare il documento di un altro paziente sintetico?
- Un’integrazione partner può modificare un invio al di fuori dell’organizzazione autorizzata?
- Un’identità di supporto del fornitore può raggiungere un ruolo interno di esportazione dei dati o ripristino?
Questi sono esempi utili a definire l’ambito, non l’affermazione che ogni incarico includa tutti i metodi o sistemi. Il piano di test definitivo documenta le azioni consentite, i risultati attesi e le osservazioni necessarie a supportare ciascuna conclusione.
Le misure di salvaguardia operative fanno parte del metodo
Utilizzare identità sintetiche dei pazienti e coorti di dati concordate. Designare un contatto per l'escalation clinica, stabilire limiti alle richieste ed escludere le azioni che incidono sul trattamento, salvo separata autorizzazione. Interrompere immediatamente i test se emergono dati clinici reali inattesi o viene messo a rischio un flusso di assistenza.
I test possono comportare rischi. Concordi chi può sospendere le attività, quali condizioni attivano un’escalation e come distinguere gli incidenti reali dalle attività dell’esercitazione. L’invio di una richiesta tramite questo sito web non autorizza alcun test.
Dai rilievi alle azioni verificate
Riceverà una sintesi per la direzione, una documentazione tecnica con ambito definito, rilievi riproducibili e un registro degli interventi correttivi. Ogni rilievo dovrebbe illustrare il risultato osservato, l’accesso o l’operazione dimostrati, i relativi limiti e una prova di accettazione pratica. Ambito e tempistiche del nuovo test sono concordati nella descrizione delle attività.
Esamini l’esempio di Healthcare AG o consulti i risultati del lavoro prima di discutere i suoi requisiti.
Preparare un brief prima della chiamata di definizione dell’ambito
Descrivete il servizio assistenziale e il confine informativo da valutare. Distinguete l’accesso lato paziente, i ruoli clinici e le integrazioni dei fornitori, affinché il test possa rispondere a una domanda chiara.
Utilizzi il generatore gratuito di documenti di definizione dell’ambito per test di penetrazione nel settore sanitario per indicare obiettivi, aree di valutazione, vincoli e preferenze relative all’NDA. Riveda l’ambito proposto, quindi lo invii direttamente ad Atlant Security tramite il modulo di contatto.
