Checklist di preparazione ai test di penetrazione sanitari: prima dell’avvio dei test

Eliminare i ritardi evitabili prima del test

Prima di testare portali per i pazienti, API sanitarie e accessi dei fornitori, confermate i referenti nominativamente individuati, gli ambienti autorizzati, gli accessi rappresentativi e i contatti per interrompere i test. La mancanza di accessi o permessi ambigui può ridurre la copertura utile. Esaminate la lista di controllo con i referenti tecnici e operativi prima di concordare la data di avvio.

Definire l’obiettivo

• Individua dove un’interazione digitale potrebbe consentire l’accesso ai dati di un altro paziente, a un account di servizio con privilegi eccessivi o a una rete di supporto non adeguatamente segmentata.
• Indicare i responsabili del servizio e la decisione che il test deve supportare.
• Selezioni le applicazioni, le reti, le identità e le integrazioni incluse nell’ambito.

Definire l’autorizzazione

• Ottenete un’autorizzazione scritta per ogni ambiente di vostra proprietà.
• Confermare i confini tra fornitori e piattaforme condivise.
• Registrare i metodi vietati e i sistemi fuori ambito.

Preparate il piano operativo

• Utilizzare identità sintetiche dei pazienti e coorti di dati concordate. Designare un contatto per l'escalation clinica, stabilire limiti alle richieste ed escludere le azioni che incidono sul trattamento, salvo separata autorizzazione. Interrompere immediatamente i test se emergono dati clinici reali inattesi o viene messo a rischio un flusso di assistenza.
• Indicare un responsabile principale e un sostituto autorizzati a interrompere l’attività.
• Concordare comunicazioni, finestre temporali, limiti delle richieste ed escalation degli incidenti.

Preparate accessi rappresentativi

• Create record sintetici e ruoli di test dedicati.
• Documentare le decisioni previste in materia di accesso tra tenant e accesso privilegiato.
• Predisporre un canale riservato per le informazioni tecniche.

Pianificare la consegna e la chiusura

• Concordare i requisiti relativi ad ambito, evidenze, rendicontazione e conservazione.
• Assegnare i responsabili delle correzioni e includere i criteri per i nuovi test.
• Riconciliare gli account, le sessioni e gli oggetti canary introdotti.