Uji Penetrasi ADHICS untuk Layanan Kesehatan Abu Dhabi
Kesehatan adalah sektor di mana asesmen keamanan harus dirancang di sekitar kendala bahwa sistemnya tidak boleh dijatuhkan. ADHICS menetapkan ekspektasi kontrol bagi penyedia di Abu Dhabi dan pemasoknya; menguji terhadapnya sama banyaknya tentang bagaimana Anda menguji seperti halnya tentang apa yang Anda temukan.
Apa yang dicakup ADHICS
Standar Abu Dhabi Healthcare Information and Cyber Security menetapkan ekspektasi kontrol bagi entitas kesehatan yang beroperasi di bawah Department of Health emirat tersebut, dan bagi pemasok teknologi yang melayani mereka. Standar ini meliputi tata kelola, kontrol akses, manajemen aset, respons insiden serta pelindungan data klinis dan data pasien, dengan persyaratan asesmen keamanan dan bukti yang mengalir di sepanjang isinya.
Cakupannya menjangkau jauh melampaui rumah sakit. Vendor rekam medis elektronik, platform telemedisin, sistem laboratorium dan pencitraan, pemroses klaim dan asuransi, serta integrator yang merangkai semuanya, semuanya berakhir di dalam cakupan - biasanya melalui persyaratan kontraktual sebuah penyedia alih-alih hubungan langsung dengan regulator. Jika perangkat lunak Anda menyentuh data pasien Abu Dhabi, kewajiban itu menemukan Anda melalui pengadaan.
Menguji di layanan kesehatan tanpa mengganggu perawatan
Setiap halaman kepatuhan lainnya dapat memperlakukan penentuan cakupan sebagai pertanyaan komersial. Di sini ia adalah pertanyaan keselamatan klinis, dan diselesaikan sebelum hal lain mana pun.
Asumsi kerjanya adalah bahwa tidak ada apa pun di lingkungan klinis yang aman untuk dirusak:
- Tanpa pengujian denial-of-service, dan tanpa eksploitasi otomatis terhadap sistem klinis. Sama sekali tidak.
- Tanpa pemindaian agresif atas perangkat medis, pemantauan pasien, atau apa pun yang terhubung kepadanya - perangkat terhubung gagal secara tak terduga di bawah pemindaian dengan cara yang tidak dialami peralatan TI umum.
- Jendela pengujian disepakati mengikuti beban kerja klinis, dengan kontak klinis yang ditunjuk dapat dihubungi sepanjang waktu dan jalur penghentian seketika yang tidak memerlukan rapat untuk diaktifkan.
- Replika staging bila pengujian langsung tidak tepat, dengan selisih antara staging dan produksi didokumentasikan secara jujur alih-alih ditutupi.
Semua itu dituangkan ke dalam aturan pelaksanaan tertulis dan bertanda tangan sebelum pengujian dimulai. Bila sebuah sistem benar-benar tidak dapat diuji dengan aman dalam bentuk apa pun, jawaban yang benar adalah tinjauan konfigurasi dan arsitektur ditambah pembenaran terdokumentasi - bukan pengujian agresif yang dijalankan hati-hati sambil berharap yang terbaik.
Di mana risiko sebenarnya berada
Lingkungan klinis berbagi sejumlah karakteristik yang membentuk apa yang dicari sebuah pengujian yang berguna:
- Jaringan datar. Lingkungan klinis tumbuh dengan penambahan, dan segmentasi antara jaringan administratif, klinis dan perangkat kerap lebih tipis daripada yang disiratkan diagram arsitektur. Menetapkan apa yang sebenarnya dapat dijangkau dari workstation umum biasanya merupakan temuan bernilai tertinggi dalam penugasan di sektor kesehatan.
- Perangkat yang tidak dapat ditambal. Peralatan medis terhubung yang berjalan di sistem operasi tanpa dukungan dan tidak dapat diperbarui tanpa validasi ulang. Ini tidak akan diperbaiki, sehingga temuan yang penting bukanlah tambalan yang hilang - melainkan apakah perangkat itu terisolasi dari segala hal yang dapat menjangkaunya.
- Integrasi. Layanan kesehatan berjalan di atas antarmuka antarsistem - aliran HL7 dan FHIR, sambungan laboratorium dan pencitraan, tautan asuransi dan klaim. Autentikasi dan otorisasi pada antarmuka itu secara rutin lebih lemah daripada pada aplikasi yang menghadap pengguna, karena dibangun antara pihak-pihak tepercaya di atas jaringan tepercaya, dan asumsi itu sudah lama tidak lagi benar.
- Identitas yang menyebar. Login klinis yang dipakai bersama, akun berumur panjang milik staf yang telah keluar, akun akses jarak jauh vendor dengan hak istimewa permanen. Dalam istilah Active Directory ini adalah lahan subur, dan begitulah satu workstation yang terkompromi berubah menjadi masalah seluruh lingkungan.
- Akses jarak jauh vendor. Pemasok dengan akses permanen ke sistem klinis untuk keperluan dukungan. Kompromi pada salah satunya adalah kompromi pada Anda, dan persis itulah sebabnya para penyedia kini mendorong persyaratan pengujian ke rantai pasokannya.
Cakupan penugasan
Biasanya: pengujian jaringan eksternal atas aset yang terekspos internet termasuk portal pasien dan infrastruktur akses jarak jauh; pengujian aplikasi web dan API terhadap portal, sistem pemesanan janji temu, platform telemedisin dan antarmuka integrasi di baliknya; pengujian jaringan internal yang berfokus pada segmentasi dan keterjangkauan alih-alih eksploitasi; tinjauan Active Directory yang mencakup hak istimewa, akun usang dan akses vendor; serta asesmen cloud bila data klinis atau data pasien berada di tenant cloud.
Bagi pemasok alih-alih penyedia, cakupannya biasanya menyempit ke platformnya sendiri ditambah permukaan integrasinya - dan itulah yang sebenarnya ditanyakan tim pengadaan sang penyedia.
Bertumpuk dengan NESA dan PDPL
ADHICS jarang berlaku sendirian. Kesehatan ditetapkan sebagai infrastruktur informasi kritis, sehingga Information Assurance Standards NESA lazim berlaku berdampingan - termasuk ekspektasi pengujian ulang 90 hari untuk temuan kritis dan tinggi serta peninjauan kualifikasi pengujinya. PDPL federal menambahkan kewajiban pelindungan data di mana pun data pribadi diproses, yang dalam konteks kesehatan berarti di mana-mana.
Dicakup terhadap ketiganya sejak awal, satu penugasan menghasilkan satu rangkaian pengujian dan tiga set bukti terpetakan. Dicakup terhadap satu lalu ditambal kemudian, biasanya berarti menguji ulang - jadi sampaikan kepada saya pada percakapan pertama setiap rezim yang mengikat Anda.
Hasil akhirnya
Ringkasan eksekutif yang ditulis untuk audiens tata kelola klinis sekaligus audiens teknis, bagian teknis dengan langkah reproduksi dan peringkat CVSS, serta pemetaan ke kontrol ADHICS yang disinggung tiap temuan - ditambah NESA dan PDPL bila berlaku. Temuan diprioritaskan menurut dampak klinis alih-alih CVSS semata, karena persoalan berkeparahan sedang pada sistem yang memengaruhi perawatan pasien lebih tinggi bobotnya daripada persoalan berkeparahan tinggi pada situs pemasaran, dan laporan yang tidak membuat pembedaan itu tidak berguna bagi rumah sakit.
Lalu dukungan perbaikan, pengujian ulang, dan surat atestasi - yang bagi pemasok kerap menjadi dokumen yang membuka jalan pengadaan. Contoh laporan memperlihatkan formatnya.
Hal-hal praktis
Jarak jauh dari Amman, satu jam di belakang Abu Dhabi, pekan kerja yang sama, dalam bahasa Arab atau Inggris. Pengujian internal dijalankan melalui VPN atau jump host di dalam lingkungan Anda, dalam jendela yang disepakati. Kualifikasi - diminta baik oleh auditor NESA maupun pengadaan rumah sakit - adalah OSCP+, eCPPT, eWPT, eCIR, AZ-500, SC-200 dan SC-300, semuanya dapat diverifikasi melalui OffSec credential wallet.
Langkah berikutnya
Sampaikan apakah Anda penyedia atau pemasok, apa saja yang ada di lingkungan itu, dan apakah ada bagian yang aktif secara klinis. Percakapan pertama membahas apa yang dapat diuji dengan aman dan apa yang memerlukan pendekatan berbeda - hal itu diselesaikan sebelum penawaran apa pun, karena ia menentukan cakupannya. Hubungi saya - bahasa Arab dipersilakan.
Terkait: uji penetrasi di UEA, persyaratan NESA, dan ikhtisar kepatuhan.
Pertanyaan seputar ADHICS
Kepada penyedia layanan kesehatan yang beroperasi di Abu Dhabi di bawah Department of Health, dan kepada pemasok teknologi yang melayani mereka - yang menarik masuk beragam perusahaan yang sendirinya bukan klinis: vendor rekam medis elektronik, platform telemedisin, sistem laboratorium dan pencitraan, pemroses asuransi dan klaim, serta integrator yang menghubungkannya. Jika Anda menangani data pasien Abu Dhabi atau terhubung ke lingkungan sebuah penyedia, biasanya Anda masuk cakupan melalui kewajiban klien Anda, bahkan tanpa hubungan langsung dengan regulator.
Bisa, dan itulah hal pertama yang disepakati. Pendekatannya adalah mengasumsikan tidak ada yang aman untuk dirusak: tanpa pengujian denial-of-service, tanpa eksploitasi otomatis terhadap sistem klinis, tanpa pemindaian agresif atas perangkat medis atau apa pun yang terhubung ke pemantauan pasien, dan jendela pengujian disepakati mengikuti beban kerja klinis. Bila sebuah sistem terlalu sensitif untuk diuji secara langsung, alternatifnya adalah replika staging, tinjauan konfigurasi dan arsitektur, atau pengujian manual yang dibatasi secara cermat dengan kontak klinis yang ditunjuk dan jalur penghentian seketika. Aturan pelaksanaan ditulis dan ditandatangani sebelum apa pun dimulai.
Perangkat itu perlu diidentifikasi dan diperlakukan sebagai rapuh secara default. Perangkat medis terhubung kerap berjalan di sistem operasi tanpa dukungan yang tidak dapat ditambal, gagal secara tak terduga di bawah pemindaian, dan berada di jaringan yang lebih datar daripada dugaan siapa pun. Pekerjaan yang berharga di sana umumnya soal keterjangkauan alih-alih eksploitasi: menetapkan perangkat mana yang dapat dijangkau dari mana, apakah ia tersegmentasi dari jaringan umum, dan apa yang dapat dilakukan penyerang yang mencapai segmen itu. Hal itu menjawab pertanyaan risiko yang sebenarnya tanpa pernah menyentuh perangkat yang terpasang pada pasien.
Ketiganya bertumpuk. ADHICS adalah standar sektoral bagi layanan kesehatan Abu Dhabi; kesehatan ditetapkan sebagai infrastruktur informasi kritis, sehingga Information Assurance Standards NESA lazim berlaku berdampingan; dan PDPL federal menambahkan kewajiban pelindungan data di mana pun data pribadi diproses, yang dalam konteks kesehatan berarti di mana-mana. Satu penugasan yang dicakup terhadap ketiganya sejak awal menghasilkan satu rangkaian pengujian dan tiga set bukti yang terpetakan.
Makin lama makin ya, dan permintaannya biasanya datang melalui pengadaan alih-alih dari regulator. Penyedia di bawah ADHICS bertanggung jawab atas keamanan rantai pasokannya, sehingga mereka mendorong persyaratan itu keluar - yang berarti laporan uji penetrasi independen kini menjadi syarat untuk memenangkan atau mempertahankan kontrak. Bagi pemasok, memiliki laporan dan atestasi terkini yang siap pakai memangkas proses pengadaan secara signifikan, dan tidak memilikinya sudah mulai membuat kesepakatan hilang.
Penyedia layanan kesehatan atau pemasok di Abu Dhabi?
Pengujian yang dirancang di sekitar keselamatan klinis, dengan bukti yang diminta ADHICS dan para klien Anda.