ADHICS-penetratietesten voor de zorg in Abu Dhabi
De zorg is de sector waar een securitybeoordeling ontworpen moet worden rond de randvoorwaarde dat u het systeem niet plat mag leggen. ADHICS stelt de controlverwachtingen voor aanbieders in Abu Dhabi en hun leveranciers; ertegen testen gaat evenzeer over hoe u test als over wat u vindt.
Wat ADHICS dekt
De standaard Abu Dhabi Healthcare Information and Cyber Security stelt de controlverwachtingen voor zorgentiteiten die opereren onder het Department of Health van het emiraat, en voor de technologieleveranciers die hen bedienen. Hij bestrijkt governance, toegangsbeheer, assetbeheer, incidentrespons en de bescherming van klinische en patiëntgegevens, met eisen rond securitybeoordeling en bewijsvoering die er dwars doorheen lopen.
De scope reikt verder dan ziekenhuizen. Leveranciers van elektronische patiëntendossiers, telezorgplatforms, laboratorium- en beeldvormingssystemen, declaratie- en verzekeringsverwerkers, en de integrators die ze aan elkaar knopen komen allemaal in scope — meestal via de contractuele eis van een aanbieder in plaats van een directe relatie met de toezichthouder. Raakt uw software patiëntgegevens uit Abu Dhabi, dan vindt de verplichting u via inkoop.
Testen in de zorg zonder de zorg te verstoren
Elke andere compliancepagina kan scoping als een commerciële vraag behandelen. Hier is het een vraag van klinische veiligheid, en die wordt vóór al het andere beslecht.
Het uitgangspunt is dat niets in een klinische omgeving veilig stuk mag:
- Geen denial-of-service-testen, en geen geautomatiseerde exploitatie tegen klinische systemen. Nooit.
- Geen agressieve scans van medische apparatuur, patiëntbewaking of iets dat daaraan hangt — verbonden apparaten falen onder scans op onvoorspelbare manieren die algemene IT-apparatuur niet kent.
- Testvensters afgestemd op de klinische belasting, met een aangewezen klinisch aanspreekpunt dat doorlopend bereikbaar is en een onmiddellijk afbreekpad waarvoor geen vergadering nodig is.
- Stagingreplica's waar live testen ongepast is, met het verschil tussen staging en productie eerlijk gedocumenteerd in plaats van weggepoetst.
Dit alles gaat in geschreven, ondertekende rules of engagement voordat het testen begint. Waar een systeem werkelijk in geen enkele vorm veilig getest kan worden, is het juiste antwoord een configuratie- en architectuurbeoordeling plus een gedocumenteerde onderbouwing — en niet een agressieve test die voorzichtig wordt uitgevoerd in de hoop dat het goed gaat.
Waar het echte risico zit
Klinische omgevingen delen een aantal kenmerken die bepalen waar een nuttige test naar zoekt:
- Platte netwerken. Klinische landschappen groeien door toevoeging, en de segmentatie tussen administratieve, klinische en apparaatnetwerken is vaak dunner dan het architectuurdiagram suggereert. Vaststellen wat werkelijk bereikbaar is vanaf een gewoon werkstation is meestal de meest waardevolle bevinding in een zorgopdracht.
- Niet-patchbare apparaten. Verbonden medische apparatuur op niet-ondersteunde besturingssystemen die niet bijgewerkt kunnen worden zonder hervalidatie. Dit wordt niet opgelost, dus de bevinding die ertoe doet is niet de ontbrekende patch — het is of het apparaat geïsoleerd is van alles wat het zou kunnen bereiken.
- Integraties. De zorg draait op koppelvlakken tussen systemen — HL7- en FHIR-stromen, lab- en beeldvormingskoppelingen, verzekerings- en declaratieverbindingen. Authenticatie en autorisatie op die koppelvlakken zijn routinematig zwakker dan op de gebruikersapplicaties, omdat ze gebouwd zijn tussen vertrouwde partijen op een vertrouwd netwerk, en die aanname is al geruime tijd niet meer waar.
- Identiteitswildgroei. Gedeelde klinische logins, langlevende accounts van vertrokken personeel, remote-accessaccounts van leveranciers met permanente rechten. In Active Directory-termen is dit vruchtbare grond, en zo wordt één gecompromitteerd werkstation een landschapsbreed probleem.
- Remote toegang van leveranciers. Leveranciers met permanente toegang tot klinische systemen voor support. Een compromittering van een van hen is een compromittering van u, en precies daarom duwen aanbieders testeisen nu hun toeleveringsketen in.
Scope van de opdracht
Doorgaans: externe netwerktests over het op internet ontsloten landschap inclusief patiëntportalen en remote-accessinfrastructuur; webapplicatie- en API-tests tegen portalen, afspraaksystemen, telezorgplatforms en de integratiekoppelvlakken daarachter; interne netwerktests gericht op segmentatie en bereikbaarheid in plaats van exploitatie; Active Directory-beoordeling over rechten, verouderde accounts en leveranciersaccess; en cloudbeoordeling waar klinische of patiëntgegevens in een cloudtenant staan.
Voor leveranciers in plaats van aanbieders versmalt de scope meestal tot het platform zelf plus het integratieoppervlak — waar het inkoopteam van de aanbieder feitelijk naar vraagt.
Stapelen met NESA en PDPL
ADHICS geldt zelden alleen. De zorg is aangewezen als kritieke informatie-infrastructuur, dus de Information Assurance Standards van NESA gelden er vaak naast — inclusief de hertestverwachting van 90 dagen voor kritieke en hoge bevindingen en de beoordeling van de certificeringen van de tester. De federale PDPL voegt gegevensbeschermingsverplichtingen toe overal waar persoonsgegevens worden verwerkt, wat in een zorgcontext overal is.
Vanaf het begin tegen alle drie gescoped levert één opdracht één geheel aan tests en drie gemapte sets bewijs. Tegen één gescoped en later bijgewerkt betekent meestal opnieuw testen — vertel me daarom in het eerste gesprek elk regime waaraan u onderworpen bent.
Het eindproduct
Een managementsamenvatting geschreven voor een klinisch-bestuurlijk publiek evenzeer als een technisch, een technisch deel met reproductiestappen en CVSS-scores, en mapping naar de ADHICS-controls waarop elke bevinding betrekking heeft — plus NESA en PDPL waar die gelden. Bevindingen worden geprioriteerd op klinische impact in plaats van op CVSS alleen, omdat een kwestie van gemiddelde ernst op een systeem dat patiëntenzorg raakt zwaarder weegt dan een hoge ernst op een marketingsite, en een rapport dat dat onderscheid niet maakt is voor een ziekenhuis niet bruikbaar.
Dan remediatieondersteuning, een hertest en een attestatiebrief — voor leveranciers vaak het document dat inkoop deblokkeert. Een voorbeeldrapport toont het formaat.
Praktische zaken
Op afstand vanuit Amman, een uur achter Abu Dhabi, dezelfde werkweek, in het Arabisch of Engels. Interne tests lopen over een VPN of een jump host binnen uw omgeving, binnen de afgesproken vensters. De certificeringen — gevraagd door zowel NESA-assessors als ziekenhuisinkoop — zijn OSCP+, eCPPT, eWPT, eCIR, AZ-500, SC-200 en SC-300, alle verifieerbaar via de OffSec credential wallet.
Volgende stappen
Laat me weten of u aanbieder of leverancier bent, wat de omgeving omvat, en of er iets klinisch live is. Het eerste gesprek gaat over wat veilig getest kan worden en wat een andere aanpak vergt — dat wordt vóór enige offerte beslecht, want het bepaalt de scope. Neem contact op — Arabisch is welkom.
Gerelateerd: penetratietesten in de VAE, NESA-eisen, en het complianceoverzicht.
Vragen over ADHICS
Voor zorgaanbieders die in Abu Dhabi opereren onder het Department of Health, en voor de technologieleveranciers die hen bedienen — wat een breed scala aan bedrijven meetrekt die zelf niet klinisch zijn: leveranciers van elektronische patiëntendossiers, telezorgplatforms, laboratorium- en beeldvormingssystemen, verzekerings- en declaratieverwerkers, en de integrators die ze verbinden. Verwerkt u patiëntgegevens uit Abu Dhabi of koppelt u aan de omgeving van een aanbieder, dan valt u meestal in scope via de verplichting van uw klant, ook zonder directe relatie met de toezichthouder.
Ja, en dat is het eerste dat we afspreken. De benadering is aan te nemen dat niets veilig stuk mag: geen denial-of-service-testen, geen geautomatiseerde exploitatie tegen klinische systemen, geen agressieve scans van medische apparatuur of van iets dat aan patiëntbewaking hangt, en testvensters afgestemd op de klinische belasting. Waar een systeem te gevoelig is om live te testen, zijn de alternatieven een stagingreplica, een configuratie- en architectuurbeoordeling, of zorgvuldig afgebakend handmatig testen met een aangewezen klinisch aanspreekpunt en een onmiddellijk afbreekpad. De rules of engagement worden geschreven en ondertekend voordat er iets begint.
Die moet geïdentificeerd en standaard als fragiel behandeld worden. Verbonden medische apparatuur draait vaak op niet-ondersteunde besturingssystemen die niet gepatcht kunnen worden, faalt onvoorspelbaar onder scans, en staat op netwerken die platter zijn dan iedereen verwacht. Het waardevolle werk daar gaat meestal over bereikbaarheid in plaats van exploitatie: vaststellen welke apparaten vanwaar bereikbaar zijn, of ze gesegmenteerd zijn van het algemene netwerk, en wat een aanvaller die dat segment bereikt zou kunnen doen. Dat beantwoordt de echte risicovraag zonder ooit een apparaat aan te raken dat aan een patiënt hangt.
Ze stapelen. ADHICS is de sectorstandaard voor de zorg in Abu Dhabi; de zorg is aangewezen als kritieke informatie-infrastructuur, dus de Information Assurance Standards van NESA gelden er vaak naast; en de federale PDPL voegt gegevensbeschermingsverplichtingen toe overal waar persoonsgegevens worden verwerkt, wat in de zorg overal is. Eén opdracht die vanaf het begin tegen alle drie wordt gescoped, levert één set tests en drie sets gemapt bewijs.
Steeds vaker wel, en de vraag komt meestal via inkoop in plaats van via de toezichthouder. Aanbieders onder ADHICS zijn verantwoordelijk voor de security van hun toeleveringsketen, dus duwen ze de eis naar buiten — wat betekent dat een onafhankelijk penetratietestrapport een voorwaarde wordt om het contract te winnen of te behouden. Voor een leverancier verkort een actueel rapport met attestatie het inkooptraject aanzienlijk, en het ontbreken ervan is deals gaan kosten.
Zorgaanbieder of leverancier in Abu Dhabi?
Testen gescoped rond klinische veiligheid, met het bewijs dat ADHICS en uw klanten vragen.