アブダビの医療機関向け ADHICS ペネトレーションテスト

ADHICS が対象とする範囲

Abu Dhabi Healthcare Information and Cyber Security 標準は、首長国の Department of Health の下で事業を行う医療事業者、およびそれらにサービスを提供する技術ベンダーに対する管理策の要求水準を定めています。ガバナンス、アクセス制御、資産管理、インシデント対応、臨床データおよび患者データの保護を対象とし、セキュリティ評価と証跡に関する要件が全体を貫いています。

対象範囲は病院にとどまりません。電子カルテベンダー、遠隔医療プラットフォーム、検査・画像システム、請求・保険処理事業者、そしてそれらを相互接続するインテグレーターは、いずれも範囲に含まれます。多くの場合、規制当局との直接の関係ではなく、医療機関側の契約上の要求を通じてです。貴社のソフトウェアがアブダビの患者データに触れるのであれば、義務は調達を通じて到達します。

診療を妨げずに医療分野でテストする

他のコンプライアンス分野であれば、範囲設定は商業上の問題として扱えます。ここではそれは臨床上の安全の問題であり、何よりも先に決着させます。

作業上の前提は、臨床環境において壊して安全なものは何もない、というものです。

• サービス妨害テストは行わない。臨床システムに対する自動的なエクスプロイトも行いません。一切です。
• 積極的なスキャンは行わない — 医療機器、患者モニタリング、およびそれらに接続されたあらゆる機器に対して。接続機器は、一般的な IT 機器にはない形でスキャンに対し予測不能に停止します。
• 診療の負荷に合わせて取り決めたテスト実施時間帯。指名された臨床側担当者が常時連絡可能であり、会議を招集せずとも発動できる即時中止手順を備えます。
• 本番でのテストが不適切な場合はステージング複製。ステージングと本番の差異は、取り繕わず正直に文書化します。

これらはすべて、テスト開始前に文書化し署名した実施規則に盛り込みます。いかなる形でも安全にテストできないシステムについては、正しい対応は構成・アーキテクチャレビューと文書化された根拠の提示であり、慎重に実施して無事を祈る積極的テストではありません。

実際のリスクの所在

臨床環境には、有用なテストが何を探すべきかを決める共通の特徴があります。

• フラットなネットワーク。 臨床環境は追加によって拡大するため、管理系・臨床系・機器系ネットワーク間のセグメンテーションは、アーキテクチャ図が示すより薄いことが多々あります。一般的な業務端末から実際に何へ到達できるかを明らかにすることは、通常、医療分野の委託において最も価値の高い検出事項です。
• パッチ適用不能な機器。 再バリデーションなしには更新できないサポート終了 OS で稼働する接続医療機器。これらは修正されないため、重要な検出事項は欠落しているパッチではなく、その機器が到達しうるすべてのものから隔離されているかどうかです。
• 連携。 医療はシステム間のインターフェース上で動いています。HL7 と FHIR のフィード、検査・画像の接続、保険・請求の連携などです。これらのインターフェースにおける認証と認可は、利用者向けアプリケーションより日常的に脆弱です。信頼された当事者間で信頼されたネットワーク上に構築されたためですが、その前提はとうに成り立たなくなっています。
• ID の氾濫。 共有された臨床ログイン、退職者の長期残存アカウント、常時特権を持つベンダーのリモートアクセスアカウント。Active Directory の観点ではこれは格好の土壌であり、侵害された 1 台の端末が環境全体の問題へと変わる経路でもあります。
• ベンダーのリモートアクセス。 保守目的で臨床システムへ恒常的なアクセス権を持つ供給者。そのいずれかの侵害は貴院の侵害であり、医療機関が今やテスト要件をサプライチェーンへ展開しているのは、まさにこのためです。

委託の範囲

一般的には次のとおりです。患者ポータルやリモートアクセス基盤を含むインターネット公開資産全体に対する外部ネットワークテスト、ポータル・予約システム・遠隔医療プラットフォームおよびその背後の連携インターフェースに対する Web アプリケーションおよび API テスト、エクスプロイトではなくセグメンテーションと到達可能性に焦点を当てた内部ネットワークテスト、特権・休眠アカウント・ベンダーアクセスを対象とする Active Directory レビュー、そして臨床データや患者データがクラウドテナントに存在する場合のクラウド評価です。

医療機関ではなくベンダーの場合、範囲は通常プラットフォーム本体とその連携面に絞られます。医療機関の調達部門が実際に問うているのはその点だからです。

NESA および PDPL との重なり

ADHICS が単独で適用されることはまれです。医療は重要情報インフラに指定されているため、NESA の Information Assurance Standards が並行して適用されるのが一般的で、重大・高深刻度の検出事項に対する 90 日以内の再テスト要求や、テスト実施者の資格審査も含まれます。連邦 PDPL は個人データを処理するあらゆる場面でデータ保護義務を加え、医療の文脈ではそれが全領域を意味します。

最初から 3 つすべてに合わせて範囲を設定すれば、1 件の委託でテスト 1 式とマッピングされた証跡 3 式が得られます。1 つだけで範囲を設定し後から補うと、通常は再度テストすることになります。ですから、適用されるすべての制度を最初のご相談でお知らせください。

成果物

技術的な読み手だけでなく臨床ガバナンスの読み手も想定したエグゼクティブサマリー、再現手順と CVSS 評価を備えた技術本編、そして各検出事項が関係する ADHICS 管理策へのマッピング（該当する場合は NESA と PDPL も）を収録します。検出事項は CVSS のみではなく臨床上の影響によって優先順位づけします。患者ケアに影響するシステムの中深刻度の問題は、マーケティングサイトの高深刻度の問題に優先するためであり、その区別をしない報告書は病院にとって有用ではないからです。

続いて是正サポート、再テスト、そして実施証明書をお渡しします。ベンダーにとっては、調達を前進させる書類となることが少なくありません。形式はサンプル報告書でご確認いただけます。

実務上の事項

アンマンからリモートで、アブダビより 1 時間遅れ、同じ週休体系で、アラビア語または英語に対応します。内部テストは、合意した時間帯内に、貴院環境内の VPN または踏み台ホスト経由で実施します。保有資格（NESA の審査員と病院の調達部門の双方から求められます）は OSCP+、eCPPT、eWPT、eCIR、AZ-500、SC-200、SC-300 であり、いずれも OffSec credential wallet から検証可能です。

次のステップ

医療機関かベンダーか、環境に何が含まれるか、そのうち臨床上稼働中のものがあるかをお知らせください。最初のご相談は、何を安全にテストでき、何に別の手法が必要かという点を扱います。これは範囲を決定づけるため、見積りの前に決着させます。お問い合わせはこちらから。アラビア語も歓迎します。

関連情報：UAE におけるペネトレーションテスト、NESA の要件、コンプライアンス概要。