اختبار الاختراق وفق ADHICS لقطاع الرعاية الصحية في أبوظبي
الرعاية الصحية هي القطاع الذي يجب أن يُصمَّم فيه التقييم الأمني حول قيد واحد: لا يمكنك إيقاف النظام. ويضع معيار ADHICS توقعات الضوابط لمقدمي الخدمة في أبوظبي ومورّديهم؛ والاختبار وفقه يتعلق بكيفية الاختبار بقدر ما يتعلق بما ستجده.
ما الذي يغطيه ADHICS
يضع معيار أبوظبي لأمن معلومات الرعاية الصحية والأمن السيبراني توقعات الضوابط للمنشآت الصحية العاملة تحت مظلة دائرة الصحة في الإمارة، ولمورّدي التقنية الذين يخدمونها. ويشمل الحوكمة وضبط الوصول وإدارة الأصول والاستجابة للحوادث وحماية البيانات السريرية وبيانات المرضى، مع متطلبات للتقييم الأمني والأدلة تمتد عبره.
والنطاق يصل إلى أبعد من المستشفيات. فمزودو أنظمة السجلات الطبية الإلكترونية، ومنصات الطب عن بُعد، وأنظمة المختبرات والأشعة، ومعالجو المطالبات والتأمين، وشركات التكامل التي تربطها، جميعهم يدخلون النطاق - عادةً عبر متطلب تعاقدي من مقدم الخدمة لا عبر علاقة مباشرة بالجهة التنظيمية. فإن كان برنامجكم يلمس بيانات مرضى في أبوظبي، فالالتزام يصل إليكم عبر المشتريات.
اختبار الرعاية الصحية دون تعطيلها
كل صفحة امتثال أخرى تستطيع التعامل مع تحديد النطاق كمسألة تجارية. أما هنا فهي مسألة سلامة سريرية، وتُحسم قبل أي شيء آخر.
والافتراض التشغيلي هو أن لا شيء في بيئة سريرية آمن للتعطيل:
- لا اختبار حجب خدمة، ولا استغلال آلي مقابل الأنظمة السريرية. إطلاقاً.
- لا فحص عدواني للأجهزة الطبية أو مراقبة المرضى أو أي شيء متصل بها - فالأجهزة المتصلة تتعطل تحت الفحص بطرق لا تتعطل بها أجهزة تقنية المعلومات العامة.
- نوافذ اختبار متفق عليها حول أوقات الذروة السريرية، مع جهة اتصال سريرية معيّنة يمكن الوصول إليها طوال الوقت، ومسار إيقاف فوري لا يحتاج اجتماعاً لتفعيله.
- نسخ بيئة اختبار حيث لا يناسب الاختبار المباشر، مع توثيق الفارق بين بيئة الاختبار والإنتاج بصدق لا التغطية عليه.
وكل ذلك يدخل في قواعد ارتباط مكتوبة وموقّعة قبل بدء الاختبار. وحيث يتعذر اختبار نظام ما بأمان بأي صورة، فالإجابة الصحيحة هي مراجعة للإعدادات والمعمارية مع تبرير موثّق - لا اختبار عدواني يُنفَّذ بحذر مع الأمل في أن يمر بسلام.
أين يقع الخطر الحقيقي
تتشارك البيئات السريرية مجموعة خصائص تحدد شكل الاختبار المفيد:
- شبكات منبسطة. فالبيئات السريرية تنمو بالإضافة، والعزل بين الشبكات الإدارية والسريرية وشبكات الأجهزة أرق كثيراً مما يوحي به المخطط المعماري. وتحديد ما يمكن الوصول إليه فعلياً من محطة عمل عادية هو عادةً أعلى نتيجة قيمةً في أي ارتباط صحي.
- أجهزة لا يمكن تحديثها. معدات طبية متصلة تعمل بأنظمة تشغيل غير مدعومة لا يمكن تحديثها دون إعادة اعتماد. وهذه لن تُصلَح، فالنتيجة المهمة ليست التحديث الناقص - بل هل الجهاز معزول عن كل ما يمكنه الوصول إليه.
- التكاملات. تعمل الرعاية الصحية على واجهات بين الأنظمة - تدفقات HL7 وFHIR، ووصلات المختبرات والأشعة، وروابط التأمين والمطالبات. والمصادقة والتفويض على تلك الواجهات أضعف عادةً منها على التطبيقات الموجّهة للمستخدمين، لأنها بُنيت بين أطراف موثوقة على شبكة موثوقة، وذلك الافتراض لم يعد صحيحاً منذ مدة.
- تضخم الهويات. حسابات سريرية مشتركة، وحسابات معمّرة لموظفين غادروا، وحسابات وصول عن بُعد للمورّدين بصلاحيات دائمة. وبلغة Active Directory هذه أرض خصبة، وهكذا تتحول محطة عمل واحدة مخترَقة إلى مشكلة على مستوى البيئة كلها.
- وصول المورّدين عن بُعد. مورّدون لديهم وصول دائم إلى الأنظمة السريرية لأغراض الدعم. واختراق أي واحد منهم هو اختراق لكم، وهذا بالضبط سبب دفع مقدمي الخدمة متطلبات الاختبار إلى سلسلة التوريد.
نطاق الارتباط
عادةً: اختبار الشبكة الخارجية على البيئة المتاحة عبر الإنترنت بما فيها بوابات المرضى وبنية الوصول عن بُعد؛ واختبار تطبيقات الويب وواجهات API على البوابات وأنظمة الحجز ومنصات الطب عن بُعد وواجهات التكامل خلفها؛ واختبار الشبكة الداخلية مركّزاً على العزل وإمكانية الوصول لا على الاستغلال؛ ومراجعة Active Directory تغطي الصلاحيات والحسابات الراكدة ووصول المورّدين؛ وتقييم السحابة حيث توجد البيانات السريرية أو بيانات المرضى في بيئة سحابية.
وبالنسبة للمورّدين لا مقدمي الخدمة، يضيق النطاق عادةً إلى المنصة نفسها وسطح التكامل الخاص بها - وهو ما يسأل عنه فريق المشتريات لدى مقدم الخدمة فعلياً.
التراكم مع NESA وقانون حماية البيانات
نادراً ما يسري ADHICS وحده. فالرعاية الصحية مصنّفة كبنية تحتية معلوماتية حرجة، لذا تسري معايير ضمان المعلومات من NESA إلى جانبه عادةً - بما في ذلك توقع إعادة الاختبار خلال 90 يوماً للنتائج الحرجة والعالية ومراجعة مؤهلات المختبِر. ويضيف قانون حماية البيانات الشخصية الاتحادي التزامات حيثما تُعالَج بيانات شخصية، وهو ما يعني في سياق صحي كل مكان.
وبتحديد النطاق مقابل الثلاثة منذ البداية، يُنتج ارتباط واحد جسماً واحداً من الاختبار وثلاث حزم أدلة مربوطة. أما تحديده مقابل واحد ثم الإلحاق لاحقاً فيعني عادةً إعادة الاختبار - فأخبروني بكل الأنظمة التي تخضعون لها في المحادثة الأولى.
المُخرَج
ملخص تنفيذي مكتوب لجمهور الحوكمة السريرية كما للجمهور التقني، ومتن تقني فيه خطوات إعادة الإنتاج وتصنيفات CVSS، وربط بضوابط ADHICS التي تمسّها كل نتيجة - إضافةً إلى NESA وقانون حماية البيانات حيث يسريان. وتُرتَّب النتائج بالأولوية حسب الأثر السريري لا حسب CVSS وحده، لأن مشكلة متوسطة الخطورة على نظام يؤثر في رعاية المرضى تتقدم على أخرى عالية الخطورة على موقع تسويقي، وتقرير لا يميّز ذلك ليس مفيداً لمستشفى.
ثم دعم المعالجة، وإعادة الاختبار، وخطاب الإقرار - وهو بالنسبة للمورّدين كثيراً ما يكون المستند الذي يفك عقدة المشتريات. ويوجد نموذج تقرير يبيّن الشكل.
الجوانب العملية
عن بُعد من عمّان، بفارق ساعة واحدة عن أبوظبي، بنفس أسبوع العمل، بالعربية أو الإنجليزية. ويتم الاختبار الداخلي عبر VPN أو جهاز وسيط داخل بيئتكم، ضمن النوافذ المتفق عليها. أما الشهادات - التي يطلبها مدققو NESA ومشتريات المستشفيات على حد سواء - فهي OSCP+ وeCPPT وeWPT وeCIR وAZ-500 وSC-200 وSC-300، وجميعها قابلة للتحقق عبر محفظة شهادات OffSec.
الخطوات التالية
أخبروني إن كنتم مقدم خدمة أو مورّداً، وما الذي تشمله البيئة، وهل أي جزء منها قيد التشغيل السريري. والمحادثة الأولى تدور حول ما يمكن اختباره بأمان وما يحتاج منهجاً مختلفاً - ويُحسم ذلك قبل أي عرض سعر، لأنه هو ما يحدد النطاق. تواصل معي - بالعربية مرحّب بك.
ذات صلة: اختبار الاختراق في الإمارات، ومتطلبات NESA، ونظرة عامة على الامتثال.
أسئلة حول ADHICS
مقدمو الرعاية الصحية العاملون في أبوظبي تحت مظلة دائرة الصحة، ومورّدو التقنية الذين يخدمونهم - وهو ما يشمل طيفاً واسعاً من الشركات غير السريرية بطبيعتها: مزودو أنظمة السجلات الطبية الإلكترونية، ومنصات الطب عن بُعد، وأنظمة المختبرات والأشعة، ومعالجو مطالبات التأمين، وشركات التكامل التي تربطها. فإن كنتم تتعاملون مع بيانات مرضى في أبوظبي أو ترتبطون ببيئة مقدم خدمة، فأنتم ضمن النطاق عادةً عبر التزام عميلكم حتى لو لم تكن لكم علاقة مباشرة بالجهة التنظيمية.
نعم، وهو أول ما يُتفق عليه. والمنهج هو افتراض أن لا شيء آمن للتعطيل: لا اختبار حجب خدمة، ولا استغلال آلي مقابل الأنظمة السريرية، ولا فحص عدواني للأجهزة الطبية أو أي شيء متصل بمراقبة المرضى، ونوافذ اختبار متفق عليها حول أوقات الذروة السريرية. وحيث يكون نظام ما أكثر حساسية من أن يُختبر مباشرةً، فالبدائل هي نسخة بيئة اختبار، أو مراجعة للإعدادات والمعمارية، أو اختبار يدوي محدود بعناية مع جهة اتصال سريرية معيّنة ومسار إيقاف فوري. وتُوقَّع قواعد الارتباط كتابةً قبل بدء أي شيء.
يجب تحديدها ومعاملتها على أنها هشّة افتراضياً. فالأجهزة الطبية المتصلة كثيراً ما تعمل بأنظمة تشغيل غير مدعومة لا يمكن تحديثها، وتتعطل بشكل غير متوقع تحت الفحص، وتوجد على شبكات أكثر انبساطاً مما يتوقع أي أحد. والعمل المفيد هناك يتعلق بإمكانية الوصول لا بالاستغلال: تحديد أي الأجهزة يمكن الوصول إليها ومن أين، وهل هي معزولة عن الشبكة العامة، وما الذي يستطيع مهاجم وصل إلى ذلك الجزء فعله. وهذا يجيب على سؤال المخاطرة الحقيقي دون لمس جهاز موصول بمريض.
تتراكم فوق بعضها. فـ ADHICS هو المعيار القطاعي للرعاية الصحية في أبوظبي؛ والرعاية الصحية مصنّفة كبنية تحتية معلوماتية حرجة فتسري معايير ضمان المعلومات من NESA إلى جانبه عادةً؛ ويأتي قانون حماية البيانات الشخصية الاتحادي بالتزاماته حيثما تُعالَج بيانات شخصية، وهو ما يعني في الرعاية الصحية كل شيء. وارتباط واحد محدد النطاق مقابل الثلاثة منذ البداية يُنتج اختباراً واحداً وثلاث حزم أدلة مربوطة.
نعم بشكل متزايد، والطلب يصل عادةً عبر المشتريات لا من الجهة التنظيمية. فمقدمو الخدمة الخاضعون لـ ADHICS مسؤولون عن أمن سلسلة التوريد لديهم، فيدفعون المتطلب إلى الخارج - ما يعني أن تقرير اختبار اختراق مستقل صار شرطاً للفوز بالعقد أو الاحتفاظ به. وبالنسبة للمورّد، فإن وجود تقرير حديث وخطاب إقرار جاهزين يختصر إجراءات المشتريات كثيراً، وغيابهما بدأ يُخسر الصفقات.
مقدم رعاية صحية أو مورّد في أبوظبي؟
اختبار محدد النطاق حول السلامة السريرية، مع الأدلة التي يطلبها ADHICS وعملاؤكم.