아부다비 의료기관을 위한 ADHICS 모의침투 테스트
의료는 시스템을 중단시킬 수 없다는 제약을 전제로 보안 평가를 설계해야 하는 분야입니다. ADHICS는 아부다비의 의료기관과 그 공급업체에 대한 통제 기대 수준을 정하며, 이에 대한 테스트는 무엇을 찾는지만큼이나 어떻게 테스트하는지의 문제입니다.
ADHICS가 다루는 범위
Abu Dhabi Healthcare Information and Cyber Security 표준은 에미리트의 Department of Health 아래 운영되는 의료 기관, 그리고 이들에게 서비스를 제공하는 기술 공급업체에 대한 통제 기대 수준을 정합니다. 거버넌스, 접근 통제, 자산 관리, 사고 대응, 임상 데이터 및 환자 데이터 보호를 포괄하며, 보안 평가와 증적에 관한 요구사항이 전체를 관통합니다.
적용 범위는 병원에 그치지 않습니다. 전자의무기록 벤더, 원격의료 플랫폼, 검사 및 영상 시스템, 청구·보험 처리 사업자, 그리고 이들을 서로 연결하는 통합업체 모두가 범위에 들어갑니다. 대개는 규제기관과의 직접적 관계가 아니라 의료기관의 계약상 요구를 통해서입니다. 귀사의 소프트웨어가 아부다비 환자 데이터에 닿는다면, 의무는 구매 절차를 통해 찾아옵니다.
진료를 방해하지 않고 의료 분야에서 테스트하기
다른 어떤 준수 영역이라면 범위 설정을 상업적 문제로 다룰 수 있습니다. 여기서 그것은 임상 안전의 문제이며, 무엇보다 먼저 결론을 냅니다.
작업 전제는 임상 환경에서 깨뜨려도 안전한 것은 아무것도 없다는 것입니다.
- 서비스 거부 테스트를 하지 않으며, 임상 시스템에 대한 자동화된 익스플로잇도 하지 않습니다. 절대로.
- 공격적 스캔을 하지 않습니다 — 의료기기, 환자 모니터링, 그리고 그에 연결된 어떤 것에도. 연결된 기기는 일반 IT 장비에는 없는 방식으로 스캔에 대해 예측 불가능하게 멈춥니다.
- 진료 부하에 맞추어 합의한 테스트 시간대. 지정된 임상 담당자가 상시 연락 가능하고, 회의를 소집하지 않고도 발동할 수 있는 즉시 중단 경로를 갖춥니다.
- 운영 환경 테스트가 부적절한 경우 스테이징 복제본. 스테이징과 운영 환경의 차이는 덮어두지 않고 정직하게 문서화합니다.
이 모든 것은 테스트 시작 전에 문서화하고 서명한 수행 규칙에 담깁니다. 어떤 형태로도 안전하게 테스트할 수 없는 시스템이라면, 올바른 답은 구성 및 아키텍처 검토와 문서화된 근거이지, 조심스럽게 수행하며 잘되기를 바라는 공격적 테스트가 아닙니다.
실제 위험이 있는 곳
임상 환경은 유용한 테스트가 무엇을 찾아야 하는지를 결정하는 공통된 특징을 지닙니다.
- 평탄한 네트워크. 임상 환경은 덧붙이는 방식으로 성장하며, 행정·임상·기기 네트워크 간 세그먼테이션은 아키텍처 도면이 시사하는 것보다 얇은 경우가 많습니다. 일반 업무용 워크스테이션에서 실제로 무엇에 도달할 수 있는지를 밝히는 것은 보통 의료 분야 수행에서 가장 가치 있는 발견사항입니다.
- 패치할 수 없는 기기. 재검증 없이는 갱신할 수 없는 지원 종료 운영체제에서 구동되는 연결 의료 장비. 이는 고쳐지지 않을 것이므로 중요한 발견사항은 누락된 패치가 아니라, 그 기기가 도달 가능한 모든 것으로부터 격리되어 있는지입니다.
- 연동. 의료는 시스템 간 인터페이스 위에서 돌아갑니다. HL7과 FHIR 피드, 검사 및 영상 연결, 보험·청구 연계 등입니다. 이들 인터페이스의 인증과 인가는 사용자 대면 애플리케이션보다 일상적으로 취약합니다. 신뢰된 당사자 간에 신뢰된 네트워크 위에서 구축되었기 때문인데, 그 전제는 이미 오래전에 성립하지 않게 되었습니다.
- 아이덴티티 난립. 공유된 임상 로그인, 퇴사자의 장기 잔존 계정, 상시 권한을 가진 공급업체 원격 접속 계정. Active Directory 관점에서 이는 비옥한 토양이며, 침해된 워크스테이션 한 대가 전체 환경의 문제로 바뀌는 경로이기도 합니다.
- 공급업체 원격 접속. 지원 목적으로 임상 시스템에 상시 접근 권한을 가진 공급업체. 그중 어느 하나의 침해는 곧 귀 기관의 침해이며, 의료기관이 이제 테스트 요구사항을 공급망으로 전가하는 이유가 바로 이것입니다.
수행 범위
일반적으로는 다음과 같습니다. 환자 포털과 원격 접속 인프라를 포함한 인터넷 노출 자산 전반에 대한 외부 네트워크 테스트, 포털·예약 시스템·원격의료 플랫폼 및 그 배후의 연동 인터페이스에 대한 웹 애플리케이션 및 API 테스트, 익스플로잇보다 세그먼테이션과 도달 가능성에 초점을 둔 내부 네트워크 테스트, 권한·휴면 계정·공급업체 접근을 다루는 Active Directory 검토, 그리고 임상 또는 환자 데이터가 클라우드 테넌트에 있는 경우의 클라우드 평가입니다.
의료기관이 아니라 공급업체의 경우, 범위는 보통 플랫폼 자체와 그 연동 면으로 좁혀집니다. 의료기관의 구매 조직이 실제로 묻고 있는 것이 그 부분이기 때문입니다.
NESA 및 PDPL과의 중첩
ADHICS가 단독으로 적용되는 경우는 드뭅니다. 의료는 핵심 정보 인프라로 지정되어 있으므로 NESA의 Information Assurance Standards가 나란히 적용되는 것이 일반적이며, 치명적·높음 등급 발견사항에 대한 90일 재테스트 기대와 테스터 자격 심사도 포함됩니다. 연방 PDPL은 개인정보를 처리하는 모든 영역에 데이터 보호 의무를 더하며, 의료의 맥락에서 그것은 전 영역을 의미합니다.
처음부터 셋 모두에 맞추어 범위를 설정하면 한 건의 수행으로 테스트 한 벌과 매핑된 증적 세 벌이 나옵니다. 하나만으로 범위를 설정하고 나중에 보완하면 대개 다시 테스트하게 되므로, 적용받는 모든 제도를 첫 논의에서 알려주십시오.
산출물
기술적 독자만이 아니라 임상 거버넌스 독자도 염두에 두고 작성한 경영진 요약, 재현 절차와 CVSS 평가를 갖춘 기술 본문, 그리고 각 발견사항이 관련된 ADHICS 통제항목에 대한 매핑(해당하는 경우 NESA와 PDPL도 포함)을 담습니다. 발견사항은 CVSS만이 아니라 임상적 영향에 따라 우선순위를 매깁니다. 환자 진료에 영향을 주는 시스템의 중간 등급 문제가 마케팅 사이트의 높음 등급 문제보다 우선하며, 그 구분을 하지 않는 보고서는 병원에 유용하지 않기 때문입니다.
이어서 조치 지원, 재테스트, 그리고 수행확인서를 드립니다. 공급업체에게는 이것이 구매 절차를 풀어주는 서류인 경우가 많습니다. 형식은 샘플 보고서에서 확인하실 수 있습니다.
실무 사항
암만에서 원격으로, 아부다비보다 한 시간 늦고, 동일한 주간 일정으로 아랍어 또는 영어로 대응합니다. 내부 테스트는 합의된 시간대 내에 귀 기관 환경의 VPN 또는 점프 호스트를 통해 수행합니다. 보유 자격은 NESA 심사원과 병원 구매 조직 양쪽이 모두 요구하는 것으로, OSCP+, eCPPT, eWPT, eCIR, AZ-500, SC-200, SC-300이며 모두 OffSec credential wallet을 통해 검증 가능합니다.
다음 단계
의료기관이신지 공급업체이신지, 환경에 무엇이 포함되는지, 그중 임상적으로 가동 중인 것이 있는지 알려주십시오. 첫 논의는 무엇을 안전하게 테스트할 수 있고 무엇에 다른 접근이 필요한지를 다룹니다. 이는 범위를 결정하므로 어떤 견적보다도 먼저 매듭짓습니다. 문의하기 — 아랍어도 환영합니다.
관련: UAE의 모의침투 테스트, NESA 요구사항, 준수 개요.
ADHICS 관련 질문
아부다비에서 Department of Health 아래 운영되는 의료기관, 그리고 이들에게 서비스를 제공하는 기술 공급업체입니다. 이로써 그 자체로는 임상 기관이 아닌 다양한 기업이 포함됩니다. 전자의무기록 벤더, 원격의료 플랫폼, 검사 및 영상 시스템, 보험·청구 처리 사업자, 그리고 이들을 연결하는 통합업체 등입니다. 아부다비 환자 데이터를 다루거나 의료기관의 환경에 연결된다면, 규제기관과 직접적인 관계가 없더라도 보통 고객 측의 의무를 통해 적용 범위에 들어갑니다.
가능하며, 그것이 가장 먼저 합의할 사항입니다. 접근 방식은 깨뜨려도 안전한 것은 아무것도 없다고 전제하는 것입니다. 서비스 거부 테스트를 하지 않고, 임상 시스템에 대한 자동화된 익스플로잇을 하지 않으며, 의료기기나 환자 모니터링에 연결된 어떤 것에도 공격적 스캔을 하지 않고, 테스트 시간대는 진료 부하에 맞추어 합의합니다. 운영 환경에서 테스트하기에 지나치게 민감한 시스템에 대해서는 스테이징 복제본, 구성 및 아키텍처 검토, 또는 지정된 임상 담당자와 즉시 중단 경로를 갖춘 상태에서 신중히 범위를 제한한 수동 테스트가 대안입니다. 수행 규칙은 착수 전에 문서화하고 서명합니다.
식별한 뒤 기본적으로 취약한 것으로 다루어야 합니다. 연결된 의료기기는 패치할 수 없는 지원 종료 운영체제에서 구동되는 경우가 많고, 스캔에 대해 예측 불가능하게 멈추며, 누구의 예상보다도 평탄한 네트워크에 놓여 있습니다. 그곳에서 가치 있는 작업은 대개 익스플로잇이 아니라 도달 가능성 확인입니다. 어떤 기기가 어디에서 도달 가능한지, 일반 네트워크와 분리되어 있는지, 그 세그먼트에 도달한 공격자가 무엇을 할 수 있는지를 밝히는 것입니다. 이로써 환자에게 연결된 기기를 한 번도 건드리지 않고 실제 위험에 관한 질문에 답할 수 있습니다.
중첩됩니다. ADHICS는 아부다비 의료에 대한 분야별 표준이며, 의료는 핵심 정보 인프라로 지정되어 있으므로 NESA의 Information Assurance Standards가 나란히 적용되는 것이 일반적입니다. 또한 연방 PDPL은 개인정보를 처리하는 모든 영역에 데이터 보호 의무를 더하며, 의료에서는 그것이 전 영역을 의미합니다. 처음부터 셋 모두에 맞추어 범위를 설정한 한 건의 수행으로 테스트는 한 벌, 매핑된 증적은 세 벌을 얻습니다.
점점 더 그렇습니다. 그리고 그 요구는 보통 규제기관이 아니라 구매 절차를 통해 옵니다. ADHICS 적용 대상 의료기관은 자신의 공급망 보안에 책임을 지므로 요구사항을 외부로 전가합니다. 즉 독립적인 모의침투 테스트 보고서가 계약을 따내거나 유지하는 조건이 되어가고 있습니다. 공급업체 입장에서 최신 보고서와 수행확인서를 준비해 두면 구매 절차가 크게 단축되며, 그것이 없는 것은 실제로 거래를 잃는 요인이 되기 시작했습니다.
아부다비의 의료기관 또는 공급업체이십니까?
임상 안전을 중심으로 설계한 테스트와, ADHICS 및 고객이 요구하는 증적을 제공합니다.