ADHICS Penetrationstests für das Gesundheitswesen in Abu Dhabi
Das Gesundheitswesen ist der Sektor, in dem eine Sicherheitsprüfung um die Randbedingung herum entworfen werden muss, dass nichts ausfallen darf. ADHICS setzt die Kontrollerwartungen für Anbieter in Abu Dhabi und deren Lieferanten; dagegen zu testen hat ebenso viel damit zu tun, wie Sie testen, wie damit, was Sie finden.
Was ADHICS abdeckt
Der Abu Dhabi Healthcare Information and Cyber Security Standard setzt die Kontrollerwartungen für Gesundheitseinrichtungen unter dem Department of Health des Emirats und für die Technologielieferanten, die sie bedienen. Er umfasst Governance, Zugriffskontrolle, Asset Management, Incident Response und den Schutz klinischer und Patientendaten, mit durchgehenden Anforderungen an Sicherheitsprüfungen und Nachweise.
Der Geltungsbereich reicht über Krankenhäuser hinaus. Anbieter elektronischer Patientenakten, Telemedizin-Plattformen, Labor- und Bildgebungssysteme, Abrechnungs- und Versicherungsdienstleister sowie die Integratoren, die sie verdrahten, sind erfasst - meist über eine vertragliche Anforderung des Anbieters statt über eine direkte Beziehung zur Aufsicht. Wenn Ihre Software Patientendaten aus Abu Dhabi berührt, findet die Pflicht Sie über die Beschaffung.
Gesundheitswesen testen, ohne die Versorgung zu stören
Jede andere Compliance-Seite kann Scoping als kommerzielle Frage behandeln. Hier ist es eine Frage der Patientensicherheit, und sie wird vor allem anderen geklärt.
Die Arbeitsannahme lautet, dass in einer klinischen Umgebung nichts gefahrlos ausfallen darf:
- Keine Denial-of-Service-Tests und keine automatisierte Exploitation gegen klinische Systeme. Niemals.
- Kein aggressives Scannen von Medizingeräten, Patientenüberwachung oder allem, was damit verbunden ist - vernetzte Geräte fallen unter Scans auf Weisen aus, wie es allgemeine IT nicht tut.
- Testfenster rund um die klinische Last vereinbart, mit einem benannten klinischen Kontakt, der durchgehend erreichbar ist, und einem sofortigen Abbruchweg, der keine Besprechung braucht.
- Staging-Abbilder, wo Livetests unangemessen sind, mit ehrlich dokumentiertem Unterschied zwischen Staging und Produktion statt Schönfärberei.
All das steht vor Testbeginn in schriftlichen, unterzeichneten Rules of Engagement. Wo ein System sich in keiner Form sicher testen lässt, ist die richtige Antwort eine Konfigurations- und Architekturprüfung mit dokumentierter Begründung - und kein aggressiver Test, der vorsichtig durchgeführt und auf das Beste gehofft wird.
Wo das echte Risiko liegt
Klinische Umgebungen teilen Eigenschaften, die prägen, wonach ein nützlicher Test sucht:
- Flache Netze. Klinische Bestände wachsen durch Hinzufügen, und die Trennung zwischen Verwaltungs-, klinischen und Gerätenetzen ist regelmäßig dünner, als das Architekturdiagramm nahelegt. Festzustellen, was von einem gewöhnlichen Arbeitsplatz aus tatsächlich erreichbar ist, ist meist der wertvollste Einzelbefund eines Auftrags im Gesundheitswesen.
- Nicht patchbare Geräte. Vernetzte Medizintechnik auf nicht unterstützten Betriebssystemen, die ohne erneute Validierung nicht aktualisiert werden darf. Diese werden nicht repariert, der relevante Befund ist also nicht der fehlende Patch - sondern ob das Gerät von allem isoliert ist, was es erreichen könnte.
- Schnittstellen. Das Gesundheitswesen läuft auf Schnittstellen zwischen Systemen - HL7- und FHIR-Feeds, Labor- und Bildgebungsanbindungen, Versicherungs- und Abrechnungsverbindungen. Authentifizierung und Autorisierung dort sind regelmäßig schwächer als bei den nutzerseitigen Anwendungen, weil sie zwischen vertrauenswürdigen Parteien in einem vertrauenswürdigen Netz gebaut wurden - eine Annahme, die seit einiger Zeit nicht mehr stimmt.
- Identitätswildwuchs. Geteilte klinische Logins, langlebige Konten ausgeschiedener Mitarbeiter, Fernzugriffskonten von Lieferanten mit Dauerprivilegien. In Active Directory ist das fruchtbarer Boden, und so wird aus einem einzelnen kompromittierten Arbeitsplatz ein bestandsweites Problem.
- Fernzugriff von Lieferanten. Zulieferer mit dauerhaftem Zugang zu klinischen Systemen für den Support. Die Kompromittierung eines einzelnen davon ist Ihre Kompromittierung - genau deshalb reichen Anbieter Testanforderungen in ihre Lieferkette weiter.
Umfang des Auftrags
Typischerweise: externe Netzwerktests über den aus dem Internet erreichbaren Bestand einschließlich Patientenportalen und Fernzugriffsinfrastruktur; Webanwendungs- und API-Tests gegen Portale, Terminsysteme, Telemedizin-Plattformen und die Schnittstellen dahinter; interne Netzwerktests mit Fokus auf Segmentierung und Erreichbarkeit statt Exploitation; eine Active-Directory-Prüfung zu Privilegien, verwaisten Konten und Lieferantenzugängen; und eine Cloud-Bewertung, wo klinische oder Patientendaten in einem Cloud-Tenant liegen.
Für Lieferanten statt Anbieter verengt sich der Umfang meist auf die Plattform selbst und ihre Schnittstellen - genau das, wonach die Beschaffung des Anbieters tatsächlich fragt.
Stapeln mit NESA und PDPL
ADHICS gilt selten allein. Das Gesundheitswesen ist als kritische Informationsinfrastruktur eingestuft, sodass die Information Assurance Standards der NESA häufig daneben greifen - einschließlich der 90-Tage-Nachtesterwartung für kritische und hohe Befunde und der Prüfung der Testerqualifikation. Das föderale PDPL fügt Pflichten überall dort hinzu, wo personenbezogene Daten verarbeitet werden, im klinischen Kontext also überall.
Von Anfang an auf alle drei zugeschnitten, erzeugt ein Auftrag einen Testdurchlauf und drei zugeordnete Nachweispakete. Auf eines zugeschnitten und später nachgerüstet, heißt es meist erneut testen - nennen Sie mir im ersten Gespräch also jedes Regime, dem Sie unterliegen.
Das Ergebnis
Eine Zusammenfassung, die ebenso für ein klinisches Governance-Publikum wie für ein technisches geschrieben ist, ein technischer Teil mit Reproduktionsschritten und CVSS-Bewertungen und die Zuordnung zu den ADHICS-Kontrollen, die jeder Befund berührt - dazu NESA und PDPL, wo sie gelten. Befunde werden nach klinischer Auswirkung priorisiert und nicht allein nach CVSS, denn ein mittelschweres Problem an einem System, das die Patientenversorgung betrifft, wiegt schwerer als ein hochkritisches auf einer Marketingseite, und ein Bericht, der das nicht unterscheidet, nützt einem Krankenhaus nichts.
Dann Unterstützung bei der Behebung, ein Nachtest und ein Attestierungsschreiben - für Lieferanten häufig genau das Dokument, das die Beschaffung freigibt. Ein Musterbericht zeigt das Format.
Praktisches
Remote aus Amman, eine Stunde hinter Abu Dhabi, dieselbe Arbeitswoche, auf Arabisch oder Englisch. Interne Tests laufen über VPN oder einen Jump-Host in Ihrer Umgebung, innerhalb der vereinbarten Fenster. Qualifikationen - von NESA-Prüfern wie von der Krankenhausbeschaffung verlangt - sind OSCP+, eCPPT, eWPT, eCIR, AZ-500, SC-200 und SC-300, alle über die OffSec-Credential-Wallet überprüfbar.
Nächste Schritte
Sagen Sie mir, ob Sie Anbieter oder Lieferant sind, was die Umgebung umfasst und ob etwas davon klinisch im Live-Betrieb ist. Das erste Gespräch dreht sich darum, was sicher getestet werden kann und was einen anderen Ansatz braucht - das wird vor jedem Angebot geklärt, weil es den Umfang bestimmt. Kontakt aufnehmen - Arabisch willkommen.
Verwandt: Penetrationstests in den VAE, NESA-Anforderungen und die Compliance-Übersicht.
Fragen zu ADHICS
Für Gesundheitsdienstleister, die in Abu Dhabi unter dem Department of Health tätig sind, und für die Technologielieferanten, die sie bedienen - was ein breites Spektrum an Unternehmen erfasst, die selbst nicht klinisch sind: Anbieter elektronischer Patientenakten, Telemedizin-Plattformen, Labor- und Bildgebungssysteme, Versicherungs- und Abrechnungsdienstleister sowie die Integratoren, die sie verbinden. Wenn Sie Patientendaten aus Abu Dhabi verarbeiten oder sich an die Umgebung eines Anbieters anschließen, sind Sie meist über die Pflicht Ihres Kunden erfasst, auch ohne direkte Beziehung zur Aufsicht.
Ja, und das wird als Erstes vereinbart. Der Ansatz lautet, nichts als unbedenklich zu betrachten: keine Denial-of-Service-Tests, keine automatisierte Exploitation gegen klinische Systeme, kein aggressives Scannen von Medizingeräten oder allem, was mit Patientenüberwachung verbunden ist, und Testfenster, die um die klinische Last herum vereinbart werden. Wo ein System zu sensibel für Livetests ist, sind die Alternativen ein Staging-Abbild, eine Konfigurations- und Architekturprüfung oder eng begrenzte manuelle Tests mit benanntem klinischem Kontakt und sofortigem Abbruchweg. Die Rules of Engagement werden vor Beginn schriftlich fixiert.
Sie müssen identifiziert und standardmäßig als fragil behandelt werden. Vernetzte Medizingeräte laufen häufig auf nicht mehr unterstützten Betriebssystemen, die sich nicht patchen lassen, fallen unter Scans unvorhersehbar aus und liegen in flacheren Netzen, als irgendjemand erwartet. Der wertvolle Teil ist dort die Erreichbarkeit, nicht die Exploitation: festzustellen, welche Geräte von wo aus erreichbar sind, ob sie vom allgemeinen Netz getrennt sind und was ein Angreifer in diesem Segment anrichten könnte. Das beantwortet die eigentliche Risikofrage, ohne je ein Gerät anzufassen, das an einem Patienten hängt.
Sie stapeln sich. ADHICS ist der Sektorstandard für das Gesundheitswesen in Abu Dhabi; das Gesundheitswesen gilt als kritische Informationsinfrastruktur, sodass die Information Assurance Standards der NESA häufig daneben gelten; und das föderale PDPL bringt Datenschutzpflichten überall dort, wo personenbezogene Daten verarbeitet werden, im Gesundheitswesen also durchgehend. Ein einzelner, von Anfang an auf alle drei zugeschnittener Auftrag erzeugt einen Testdurchlauf und drei zugeordnete Nachweispakete.
Zunehmend ja, und die Nachfrage kommt meist über die Beschaffung statt von der Aufsicht. Anbieter unter ADHICS sind für die Sicherheit ihrer Lieferkette verantwortlich und reichen die Anforderung deshalb nach außen weiter - ein unabhängiger Penetrationstestbericht wird damit zur Bedingung, einen Auftrag zu gewinnen oder zu behalten. Für einen Lieferanten verkürzt ein aktueller Bericht samt Attestierung die Beschaffung erheblich, und das Fehlen hat begonnen, Geschäfte zu kosten.
Gesundheitsdienstleister oder Lieferant in Abu Dhabi?
Tests, die um die klinische Sicherheit herum zugeschnitten sind, mit den Nachweisen, die ADHICS und Ihre Kunden verlangen.