Testy penetracyjne ADHICS dla ochrony zdrowia w Abu Zabi
Ochrona zdrowia to sektor, w którym ocena bezpieczeństwa musi być zaprojektowana wokół ograniczenia: systemu nie wolno położyć. ADHICS wyznacza oczekiwania co do kontroli dla placówek w Abu Zabi i ich dostawców; testowanie pod ten standard dotyczy w równym stopniu tego, jak się testuje, co tego, co się znajduje.
Co obejmuje ADHICS
Standard Abu Dhabi Healthcare Information and Cyber Security wyznacza oczekiwania co do kontroli dla podmiotów ochrony zdrowia działających pod Department of Health emiratu oraz dla dostawców technologii, którzy je obsługują. Obejmuje nadzór, kontrolę dostępu, zarządzanie aktywami, reagowanie na incydenty i ochronę danych klinicznych oraz danych pacjentów, a wymagania dotyczące oceny bezpieczeństwa i dowodów przewijają się przez niego od początku do końca.
Zakres sięga znacznie dalej niż szpitale. Producenci elektronicznej dokumentacji medycznej, platformy telemedyczne, systemy laboratoryjne i obrazowe, procesorzy roszczeń i ubezpieczeń oraz integratorzy, którzy łączą to wszystko ze sobą, wszyscy trafiają w zakres — zwykle przez wymóg umowny placówki, a nie bezpośrednią relację z regulatorem. Jeśli Państwa oprogramowanie dotyka danych pacjentów z Abu Zabi, obowiązek znajdzie Państwa przez zakupy.
Testowanie w ochronie zdrowia bez zakłócania opieki
Każda inna strona o zgodności może traktować ustalanie zakresu jako pytanie handlowe. Tutaj jest to pytanie o bezpieczeństwo kliniczne i rozstrzyga się je przed wszystkim innym.
Założenie robocze jest takie, że w środowisku klinicznym niczego nie wolno zepsuć:
- Żadnych testów odmowy usługi i żadnej zautomatyzowanej eksploatacji wobec systemów klinicznych. Nigdy.
- Żadnego agresywnego skanowania urządzeń medycznych, monitorowania pacjentów ani niczego, co jest z nimi połączone — podłączone urządzenia zawodzą pod skanowaniem w sposób nieprzewidywalny, jakiego ogólny sprzęt IT nie zna.
- Okna testowe ustalone wokół obciążenia klinicznego, z wyznaczonym kontaktem klinicznym dostępnym przez cały czas i ścieżką natychmiastowego przerwania, która nie wymaga zwoływania spotkania.
- Repliki staging tam, gdzie testowanie na żywo jest niewłaściwe, z uczciwie udokumentowaną różnicą między staging a produkcją, a nie zamaskowaną.
Wszystko to trafia do spisanych i podpisanych zasad prowadzenia prac przed rozpoczęciem testów. Tam, gdzie systemu naprawdę nie da się bezpiecznie przetestować w żadnej formie, właściwą odpowiedzią jest przegląd konfiguracji i architektury plus udokumentowane uzasadnienie — a nie agresywny test przeprowadzony ostrożnie z nadzieją, że się uda.
Gdzie leży rzeczywiste ryzyko
Środowiska kliniczne mają zestaw cech, które określają, czego szuka użyteczny test:
- Płaskie sieci. Środowiska kliniczne rosną przez dokładanie, a segmentacja między sieciami administracyjnymi, klinicznymi i urządzeń jest często cieńsza, niż sugeruje schemat architektury. Ustalenie, co jest faktycznie osiągalne ze zwykłej stacji roboczej, to zwykle najcenniejsze ustalenie w zleceniu dla ochrony zdrowia.
- Urządzenia niepodatne na łatanie. Podłączony sprzęt medyczny działający na niewspieranych systemach operacyjnych, których nie da się zaktualizować bez ponownej walidacji. Tego się nie naprawi, więc ustaleniem, które ma znaczenie, nie jest brakująca łatka — tylko to, czy urządzenie jest odizolowane od wszystkiego, co mogłoby do niego dosięgnąć.
- Integracje. Ochrona zdrowia działa na interfejsach między systemami — strumienie HL7 i FHIR, połączenia laboratoryjne i obrazowe, łącza ubezpieczeniowe i roszczeniowe. Uwierzytelnianie i autoryzacja na tych interfejsach są rutynowo słabsze niż w aplikacjach dla użytkowników, ponieważ budowano je między zaufanymi stronami w zaufanej sieci, a to założenie przestało być prawdziwe jakiś czas temu.
- Rozrost tożsamości. Współdzielone loginy kliniczne, długowieczne konta po odeszłym personelu, konta zdalnego dostępu dostawców ze stałymi uprawnieniami. W kategoriach Active Directory to żyzny grunt i tak właśnie jedna skompromitowana stacja robocza staje się problemem całego środowiska.
- Zdalny dostęp dostawców. Dostawcy ze stałym dostępem do systemów klinicznych w celach wsparcia. Kompromitacja któregokolwiek z nich jest Państwa kompromitacją — i dokładnie dlatego placówki wypychają teraz wymagania testowe w swój łańcuch dostaw.
Zakres zlecenia
Zwykle: testy sieci zewnętrznej po środowisku dostępnym z internetu, w tym portale pacjentów i infrastruktura dostępu zdalnego; testy aplikacji webowych i API wobec portali, systemów rejestracji, platform telemedycznych i stojących za nimi interfejsów integracyjnych; testy sieci wewnętrznej skupione na segmentacji i osiągalności, a nie na eksploatacji; przegląd Active Directory obejmujący uprawnienia, nieaktualne konta i dostęp dostawców; oraz ocena chmury tam, gdzie dane kliniczne lub dane pacjentów znajdują się w dzierżawie chmurowej.
Dla dostawców, a nie placówek, zakres zwykle zawęża się do samej platformy plus jej powierzchni integracyjnej — o to faktycznie pyta zespół zakupowy placówki.
Nakładanie z NESA i PDPL
ADHICS rzadko obowiązuje samodzielnie. Ochrona zdrowia jest wyznaczona jako krytyczna infrastruktura informacyjna, więc Information Assurance Standards NESA zwykle obowiązują obok — wraz z oczekiwaniem retestu w 90 dni dla ustaleń krytycznych i wysokich oraz weryfikacją kwalifikacji testera. Federalny PDPL dokłada obowiązki ochrony danych wszędzie tam, gdzie przetwarzane są dane osobowe, co w kontekście ochrony zdrowia oznacza wszędzie.
Przy zakresie obejmującym wszystkie trzy od początku jedno zlecenie daje jeden zbiór testów i trzy zestawy zmapowanych dowodów. Przy zakresie pod jeden i uzupełnianiu później zwykle oznacza to ponowne testowanie — dlatego proszę powiedzieć mi w pierwszej rozmowie o każdym reżimie, któremu Państwo podlegają.
Produkt końcowy
Streszczenie napisane zarówno dla odbiorcy z obszaru nadzoru klinicznego, jak i technicznego, część techniczna z krokami odtworzenia i ocenami CVSS oraz mapowanie do kontroli ADHICS, których dotyczy każde ustalenie — plus NESA i PDPL tam, gdzie obowiązują. Ustalenia są priorytetyzowane według wpływu klinicznego, a nie wyłącznie CVSS, ponieważ problem o średniej istotności w systemie wpływającym na opiekę nad pacjentem przewyższa wysoką istotność na stronie marketingowej, a raport, który tego rozróżnienia nie robi, nie jest szpitalowi użyteczny.
Następnie wsparcie przy naprawie, retest i pismo poświadczające — dla dostawców często dokument, który odblokowuje zakupy. Przykładowy raport pokazuje format.
Kwestie praktyczne
Zdalnie z Ammanu, godzinę za Abu Zabi, ten sam tydzień roboczy, po arabsku lub angielsku. Testy wewnętrzne prowadzone są przez VPN lub host pośredniczący wewnątrz Państwa środowiska, w uzgodnionych oknach. Kwalifikacje — o które pytają zarówno audytorzy NESA, jak i zakupy szpitalne — to OSCP+, eCPPT, eWPT, eCIR, AZ-500, SC-200 i SC-300, wszystkie weryfikowalne przez credential wallet OffSec.
Kolejne kroki
Proszę napisać, czy są Państwo placówką czy dostawcą, co obejmuje środowisko i czy cokolwiek z niego działa klinicznie na żywo. Pierwsza rozmowa dotyczy tego, co można bezpiecznie przetestować, a co wymaga innego podejścia — rozstrzyga się to przed jakąkolwiek wyceną, ponieważ determinuje zakres. Skontaktujcie się — język arabski mile widziany.
Powiązane: testy penetracyjne w ZEA, wymagania NESA oraz przegląd zgodności.
Pytania o ADHICS
Placówki ochrony zdrowia działające w Abu Zabi pod Department of Health oraz dostawców technologii, którzy je obsługują — co wciąga szerokie grono firm, które same nie są kliniczne: producentów elektronicznej dokumentacji medycznej, platformy telemedyczne, systemy laboratoryjne i obrazowe, procesorów ubezpieczeń i roszczeń oraz integratorów, którzy to wszystko łączą. Jeśli przetwarzają Państwo dane pacjentów z Abu Zabi albo podłączają się do środowiska placówki, zwykle są Państwo w zakresie przez obowiązek swojego klienta, nawet nie mając bezpośredniej relacji z regulatorem.
Tak i to pierwsza rzecz do uzgodnienia. Podejście polega na założeniu, że niczego nie wolno zepsuć: żadnych testów odmowy usługi, żadnej zautomatyzowanej eksploatacji wobec systemów klinicznych, żadnego agresywnego skanowania urządzeń medycznych ani niczego podłączonego do monitorowania pacjentów, a okna testowe ustala się wokół obciążenia klinicznego. Gdy system jest zbyt wrażliwy, by testować go na żywo, alternatywami są replika staging, przegląd konfiguracji i architektury albo starannie ograniczone testy manualne z wyznaczonym kontaktem klinicznym i ścieżką natychmiastowego przerwania. Zasady prowadzenia prac są spisywane i podpisywane przed rozpoczęciem czegokolwiek.
Trzeba je zidentyfikować i domyślnie traktować jako kruche. Podłączone urządzenia medyczne często działają na niewspieranych systemach operacyjnych, których nie da się załatać, zawodzą nieprzewidywalnie pod skanowaniem i znajdują się w sieciach bardziej płaskich, niż ktokolwiek się spodziewa. Wartościowa praca dotyczy tam zwykle osiągalności, a nie eksploatacji: ustalenia, które urządzenia są skąd osiągalne, czy są odseparowane od sieci ogólnej i co mógłby zrobić atakujący, który dotarł do tego segmentu. To odpowiada na rzeczywiste pytanie o ryzyko, ani razu nie dotykając urządzenia podłączonego do pacjenta.
Nakładają się. ADHICS to standard sektorowy dla ochrony zdrowia w Abu Zabi; ochrona zdrowia jest wyznaczona jako krytyczna infrastruktura informacyjna, więc Information Assurance Standards NESA zwykle obowiązują obok; a federalny PDPL dokłada obowiązki ochrony danych wszędzie tam, gdzie przetwarzane są dane osobowe, co w ochronie zdrowia oznacza wszędzie. Jedno zlecenie objęte zakresem wszystkich trzech od początku daje jeden zbiór testów i trzy zestawy zmapowanych dowodów.
Coraz częściej tak, a zapotrzebowanie przychodzi zwykle przez zakupy, a nie od regulatora. Placówki objęte ADHICS odpowiadają za bezpieczeństwo swojego łańcucha dostaw, więc wypychają wymóg na zewnątrz — co oznacza, że niezależny raport z testu penetracyjnego staje się warunkiem zdobycia lub utrzymania kontraktu. Dla dostawcy posiadanie aktualnego raportu i poświadczenia znacząco skraca proces zakupowy, a ich brak zaczął już kosztować kontrakty.
Placówka ochrony zdrowia czy dostawca w Abu Zabi?
Testy zbudowane wokół bezpieczeństwa klinicznego, z dowodami, których wymagają ADHICS i Państwa klienci.