Penetration test ADHICS per la sanità di Abu Dhabi
La sanità è il settore in cui una valutazione di sicurezza deve essere progettata attorno al vincolo che non si può far cadere il sistema. ADHICS fissa le aspettative di controllo per le strutture di Abu Dhabi e i loro fornitori; testare rispetto a esso riguarda tanto il come si testa quanto ciò che si trova.
Cosa copre ADHICS
Lo standard Abu Dhabi Healthcare Information and Cyber Security fissa le aspettative di controllo per le entità sanitarie che operano sotto il Department of Health dell'emirato e per i fornitori tecnologici che le servono. Abbraccia governance, controllo accessi, gestione degli asset, risposta agli incidenti e protezione dei dati clinici e dei pazienti, con requisiti di valutazione della sicurezza e di evidenza che lo attraversano per intero.
Il perimetro arriva ben oltre gli ospedali. Produttori di cartelle cliniche elettroniche, piattaforme di telemedicina, sistemi di laboratorio e imaging, gestori di sinistri e assicurazioni, e gli integratori che li cablano insieme finiscono tutti nel perimetro — di norma tramite il requisito contrattuale di una struttura anziché un rapporto diretto con il regolatore. Se il vostro software tocca dati di pazienti di Abu Dhabi, l'obbligo vi trova attraverso gli acquisti.
Testare in sanità senza interrompere le cure
Qualsiasi altra pagina di conformità può trattare lo scoping come una questione commerciale. Qui è una questione di sicurezza clinica, e si risolve prima di ogni altra cosa.
L'assunto operativo è che nulla in un ambiente clinico sia sicuro da rompere:
- Nessun test di denial of service e nessuno sfruttamento automatizzato contro sistemi clinici. Mai.
- Nessuna scansione aggressiva di dispositivi medici, monitoraggio dei pazienti o qualsiasi cosa a essi connessa — i dispositivi connessi si guastano sotto scansione in modi imprevedibili che le apparecchiature IT generali non conoscono.
- Finestre di test concordate attorno al carico clinico, con un referente clinico designato raggiungibile per tutta la durata e una via di interruzione immediata che non richieda di convocare una riunione.
- Repliche di staging dove testare in produzione è inappropriato, documentando onestamente il divario tra staging e produzione anziché mascherarlo.
Tutto questo entra in regole d'ingaggio scritte e firmate prima dell'inizio dei test. Dove un sistema genuinamente non può essere testato in sicurezza in alcuna forma, la risposta corretta è una revisione di configurazione e architettura più una giustificazione documentata — e non un test aggressivo eseguito con cautela sperando che vada bene.
Dove sta il rischio reale
Gli ambienti clinici condividono una serie di caratteristiche che determinano cosa cerca un test utile:
- Reti piatte. I parchi clinici crescono per addizione, e la segmentazione tra reti amministrative, cliniche e di dispositivi è frequentemente più sottile di quanto suggerisca lo schema architetturale. Stabilire cosa è realmente raggiungibile da una postazione di lavoro generica è di norma il finding di maggior valore in un incarico sanitario.
- Dispositivi non aggiornabili. Apparecchiature mediche connesse che girano su sistemi operativi non supportati impossibili da aggiornare senza rivalidazione. Non verranno sistemate, quindi il finding che conta non è la patch mancante: è se il dispositivo sia isolato da tutto ciò che potrebbe raggiungerlo.
- Integrazioni. La sanità funziona su interfacce tra sistemi — flussi HL7 e FHIR, connessioni di laboratorio e imaging, collegamenti assicurativi e di sinistri. L'autenticazione e l'autorizzazione su quelle interfacce sono abitualmente più deboli che sulle applicazioni rivolte agli utenti, perché sono state costruite tra parti fidate su una rete fidata, e quell'assunto ha smesso di essere vero da tempo.
- Dispersione delle identità. Credenziali cliniche condivise, account di lunga durata di personale uscito, account di accesso remoto dei fornitori con privilegio permanente. In termini di Active Directory questo è terreno fertile, ed è il modo in cui una singola postazione compromessa diventa un problema dell'intero parco.
- Accesso remoto dei fornitori. Fornitori con accesso permanente ai sistemi clinici a fini di supporto. La compromissione di uno qualsiasi di essi è una vostra compromissione, che è esattamente il motivo per cui le strutture ora spingono i requisiti di test lungo la propria catena di fornitura.
Perimetro dell'incarico
Tipicamente: test di rete esterna sul parco esposto su internet, inclusi portali pazienti e infrastruttura di accesso remoto; test di applicazioni web e API contro portali, sistemi di prenotazione, piattaforme di telemedicina e le interfacce di integrazione retrostanti; test di rete interna focalizzati su segmentazione e raggiungibilità più che sullo sfruttamento; revisione di Active Directory che copra privilegi, account obsoleti e accesso dei fornitori; e valutazione cloud dove i dati clinici o dei pazienti risiedono in un tenant cloud.
Per i fornitori anziché le strutture, il perimetro di norma si restringe alla piattaforma stessa più la sua superficie di integrazione — che è ciò su cui il team acquisti della struttura sta realmente interrogando.
Sovrapposizione con NESA e PDPL
ADHICS raramente si applica da solo. La sanità è designata infrastruttura informativa critica, perciò gli Information Assurance Standards di NESA si applicano comunemente accanto a esso — inclusa l'aspettativa di retest a 90 giorni per i finding critici e alti e la verifica delle certificazioni di chi testa. La PDPL federale aggiunge obblighi di protezione dei dati ovunque vengano trattati dati personali, il che in contesto sanitario è ovunque.
Dimensionato su tutti e tre fin dall'inizio, un incarico produce un corpo di test e tre set di evidenze mappate. Dimensionato su uno e recuperato dopo, di norma significa ritestare — quindi mi dica nella prima conversazione tutti i regimi a cui siete soggetti.
Il deliverable
Una sintesi esecutiva scritta tanto per un pubblico di governance clinica quanto tecnico, un corpo tecnico con passi di riproduzione e valutazioni CVSS, e il mapping ai controlli ADHICS che ciascun finding riguarda — più NESA e PDPL dove si applicano. I finding sono prioritizzati per impatto clinico anziché per solo CVSS, perché un problema di severità media su un sistema che incide sull'assistenza al paziente conta più di uno ad alta severità su un sito di marketing, e un report che non fa quella distinzione non è utile a un ospedale.
Poi supporto alla remediation, un retest e una lettera di attestazione — che per i fornitori è frequentemente il documento che sblocca gli acquisti. Un report di esempio mostra il formato.
Aspetti pratici
Da remoto da Amman, un'ora indietro rispetto ad Abu Dhabi, stessa settimana lavorativa, in arabo o inglese. I test interni passano da una VPN o da un jump host dentro il vostro ambiente, entro le finestre concordate. Le certificazioni — richieste sia dagli assessor NESA sia dagli acquisti ospedalieri — sono OSCP+, eCPPT, eWPT, eCIR, AZ-500, SC-200 e SC-300, tutte verificabili tramite il credential wallet di OffSec.
Prossimi passi
Mi dica se siete struttura o fornitore, cosa comprende l'ambiente e se qualcosa è clinicamente in produzione. La prima conversazione riguarda cosa può essere testato in sicurezza e cosa richiede un approccio diverso — si risolve prima di qualsiasi preventivo, perché determina il perimetro. Si metta in contatto — l'arabo è benvenuto.
Correlati: penetration test negli Emirati, requisiti NESA, e la panoramica conformità.
Domande su ADHICS
Alle strutture sanitarie che operano ad Abu Dhabi sotto il Department of Health, e ai fornitori tecnologici che le servono — il che coinvolge un'ampia gamma di aziende che non sono esse stesse cliniche: produttori di cartelle cliniche elettroniche, piattaforme di telemedicina, sistemi di laboratorio e imaging, gestori di assicurazioni e sinistri, e gli integratori che li collegano. Se tratta dati di pazienti di Abu Dhabi o si connette all'ambiente di una struttura, di norma rientra nel perimetro tramite l'obbligo del suo cliente, anche senza un rapporto diretto con il regolatore.
Sì, ed è la prima cosa da concordare. L'approccio consiste nell'assumere che nulla sia sicuro da rompere: nessun test di denial of service, nessuno sfruttamento automatizzato contro sistemi clinici, nessuna scansione aggressiva di dispositivi medici o di qualsiasi cosa connessa al monitoraggio dei pazienti, e finestre di test concordate attorno al carico clinico. Dove un sistema è troppo sensibile per essere testato in produzione, le alternative sono una replica di staging, una revisione di configurazione e architettura, o test manuali attentamente delimitati con un referente clinico designato e una via di interruzione immediata. Le regole d'ingaggio sono scritte e firmate prima che inizi qualsiasi cosa.
Vanno identificati e trattati come fragili per impostazione predefinita. I dispositivi medici connessi girano frequentemente su sistemi operativi non supportati che non possono essere aggiornati, si guastano in modo imprevedibile sotto scansione e si trovano su reti più piatte di quanto chiunque si aspetti. Il lavoro di valore lì riguarda di norma la raggiungibilità più che lo sfruttamento: stabilire quali dispositivi sono raggiungibili da dove, se sono segmentati dalla rete generale e cosa potrebbe fare un attaccante arrivato su quel segmento. Questo risponde alla vera domanda di rischio senza mai toccare un dispositivo collegato a un paziente.
Si sovrappongono. ADHICS è lo standard settoriale per la sanità di Abu Dhabi; la sanità è designata infrastruttura informativa critica, perciò gli Information Assurance Standards di NESA si applicano comunemente accanto a esso; e la PDPL federale aggiunge obblighi di protezione dei dati ovunque vengano trattati dati personali, il che in sanità significa ovunque. Un singolo incarico dimensionato su tutti e tre fin dall'inizio produce un solo corpo di test e tre set di evidenze mappate.
Sempre più sì, e la richiesta arriva di norma dagli acquisti anziché dal regolatore. Le strutture sotto ADHICS sono responsabili della sicurezza della propria catena di fornitura, perciò spingono il requisito verso l'esterno — il che significa che un report di penetration test indipendente sta diventando una condizione per vincere o mantenere il contratto. Per un fornitore, avere pronti un report e un'attestazione aggiornati accorcia considerevolmente il processo di acquisto, e non averli ha iniziato a far perdere trattative.
Struttura sanitaria o fornitore ad Abu Dhabi?
Test dimensionati attorno alla sicurezza clinica, con le evidenze che ADHICS e i vostri clienti richiedono.