Testes de intrusão ADHICS para a saúde de Abu Dhabi
A saúde é o setor onde uma avaliação de segurança tem de ser desenhada em torno da restrição de que não se pode deitar o sistema abaixo. O ADHICS fixa as expectativas de controlo para os prestadores de Abu Dhabi e os seus fornecedores; testar contra ele tem tanto que ver com a forma como se testa como com o que se encontra.
O que o ADHICS cobre
A norma Abu Dhabi Healthcare Information and Cyber Security fixa as expectativas de controlo para as entidades de saúde que operam sob o Department of Health do emirado e para os fornecedores tecnológicos que as servem. Abrange governação, controlo de acessos, gestão de ativos, resposta a incidentes e proteção de dados clínicos e de doentes, com requisitos de avaliação de segurança e de evidência a atravessá-la de ponta a ponta.
O âmbito chega bem para além dos hospitais. Fabricantes de registos clínicos eletrónicos, plataformas de telessaúde, sistemas de laboratório e imagiologia, processadores de sinistros e seguros, e os integradores que os cablam entre si acabam todos dentro do âmbito — normalmente através do requisito contratual de um prestador e não de uma relação direta com o regulador. Se o vosso software toca dados de doentes de Abu Dhabi, a obrigação encontra-vos através das compras.
Testar na saúde sem interromper os cuidados
Qualquer outra página de conformidade pode tratar o dimensionamento como uma questão comercial. Aqui é uma questão de segurança clínica, e resolve-se antes de tudo o resto.
O pressuposto de partida é que nada num ambiente clínico é seguro de partir:
- Sem testes de negação de serviço e sem exploração automatizada contra sistemas clínicos. Nunca.
- Sem varrimento agressivo de dispositivos médicos, monitorização de doentes ou de qualquer coisa a eles ligada — os dispositivos ligados falham sob varrimento de formas imprevisíveis que o equipamento de TI geral não conhece.
- Janelas de teste acordadas em torno da carga clínica, com um contacto clínico designado contactável durante todo o processo e uma via de interrupção imediata que não exija convocar uma reunião.
- Réplicas de staging quando testar em produção for inapropriado, documentando honestamente a diferença entre staging e produção em vez de a disfarçar.
Tudo isto entra em regras de empenhamento escritas e assinadas antes de os testes começarem. Quando um sistema genuinamente não puder ser testado em segurança sob forma alguma, a resposta correta é uma revisão de configuração e arquitetura mais uma justificação documentada — e não um teste agressivo executado com cuidado e entregue à sorte.
Onde está o risco real
Os ambientes clínicos partilham um conjunto de características que determinam o que um teste útil procura:
- Redes planas. Os parques clínicos crescem por adição, e a segmentação entre redes administrativas, clínicas e de dispositivos é frequentemente mais fina do que o diagrama de arquitetura sugere. Estabelecer o que é realmente alcançável a partir de um posto de trabalho geral é normalmente o achado de maior valor num trabalho de saúde.
- Dispositivos não corrigíveis. Equipamento médico ligado a correr sobre sistemas operativos sem suporte impossíveis de atualizar sem revalidação. Isto não vai ser resolvido, por isso o achado que importa não é a correção em falta: é se o dispositivo está isolado de tudo o que poderia alcançá-lo.
- Integrações. A saúde funciona sobre interfaces entre sistemas — fluxos HL7 e FHIR, ligações de laboratório e imagiologia, ligações de seguros e sinistros. A autenticação e a autorização nessas interfaces são habitualmente mais fracas do que nas aplicações voltadas ao utilizador, porque foram construídas entre partes de confiança sobre uma rede de confiança, e esse pressuposto deixou de ser verdade há algum tempo.
- Dispersão de identidades. Credenciais clínicas partilhadas, contas de longa duração de pessoal que saiu, contas de acesso remoto de fornecedores com privilégio permanente. Em termos de Active Directory isto é terreno fértil, e é a forma como um único posto de trabalho comprometido se torna um problema de todo o parque.
- Acesso remoto de fornecedores. Fornecedores com acesso permanente aos sistemas clínicos para fins de suporte. O comprometimento de qualquer um deles é um comprometimento vosso, que é exatamente a razão pela qual os prestadores empurram agora os requisitos de teste pela sua cadeia de fornecimento.
Âmbito do trabalho
Tipicamente: testes de rede externa sobre o parque exposto à internet, incluindo portais de doentes e infraestrutura de acesso remoto; testes de aplicações web e APIs contra portais, sistemas de marcação, plataformas de telessaúde e as interfaces de integração por detrás; testes de rede interna focados em segmentação e alcançabilidade e não em exploração; revisão de Active Directory a cobrir privilégios, contas obsoletas e acesso de fornecedores; e avaliação de nuvem onde os dados clínicos ou de doentes residam num tenant de nuvem.
Para fornecedores e não prestadores, o âmbito estreita-se normalmente à plataforma em si mais a sua superfície de integração — que é aquilo sobre o que a equipa de compras do prestador está realmente a perguntar.
Empilhar com a NESA e a PDPL
O ADHICS raramente se aplica sozinho. A saúde está designada infraestrutura crítica de informação, pelo que os Information Assurance Standards da NESA se aplicam habitualmente a par dele — incluindo a expectativa de reteste a 90 dias para achados críticos e altos e a revisão das certificações de quem testa. A PDPL federal acrescenta obrigações de proteção de dados onde quer que sejam tratados dados pessoais, o que em contexto de saúde é em todo o lado.
Dimensionado contra os três desde o início, um trabalho produz um corpo de testes e três conjuntos de evidências mapeadas. Dimensionado contra um e recuperado depois, significa normalmente testar de novo — por isso diga-me na primeira conversa todos os regimes a que estão sujeitos.
O entregável
Um sumário executivo escrito tanto para um público de governação clínica como técnico, um corpo técnico com passos de reprodução e classificações CVSS, e o mapeamento aos controlos ADHICS que cada achado afeta — mais NESA e PDPL onde se apliquem. Os achados são priorizados por impacto clínico e não apenas por CVSS, porque um problema de severidade média num sistema que afeta os cuidados ao doente está acima de um de severidade alta num site de marketing, e um relatório que não faz essa distinção não serve a um hospital.
Depois, apoio à remediação, um reteste e uma carta de atestação — que para os fornecedores é frequentemente o documento que desbloqueia as compras. Um relatório de exemplo mostra o formato.
Questões práticas
Remotamente a partir de Amã, uma hora atrás de Abu Dhabi, a mesma semana de trabalho, em árabe ou inglês. Os testes internos decorrem sobre uma VPN ou um jump host dentro do vosso ambiente, dentro das janelas acordadas. As certificações — pedidas tanto pelos avaliadores da NESA como pelas compras hospitalares — são OSCP+, eCPPT, eWPT, eCIR, AZ-500, SC-200 e SC-300, todas verificáveis através da credential wallet da OffSec.
Próximos passos
Diga-me se são prestador ou fornecedor, o que inclui o ambiente e se alguma parte está clinicamente em produção. A primeira conversa é sobre o que pode ser testado em segurança e o que precisa de uma abordagem diferente — isso resolve-se antes de qualquer orçamento, porque determina o âmbito. Entre em contacto — o árabe é bem-vindo.
Relacionado: testes de intrusão nos Emirados, requisitos da NESA, e a visão geral de conformidade.
Perguntas sobre o ADHICS
Aos prestadores de saúde que operam em Abu Dhabi sob o Department of Health, e aos fornecedores tecnológicos que os servem — o que arrasta um vasto leque de empresas que não são elas próprias clínicas: fabricantes de registos clínicos eletrónicos, plataformas de telessaúde, sistemas de laboratório e imagiologia, processadores de seguros e sinistros, e os integradores que os ligam. Se lida com dados de doentes de Abu Dhabi ou se liga ao ambiente de um prestador, está normalmente no âmbito através da obrigação do seu cliente, mesmo sem relação direta com o regulador.
Sim, e é a primeira coisa a acordar. A abordagem consiste em assumir que nada é seguro de partir: sem testes de negação de serviço, sem exploração automatizada contra sistemas clínicos, sem varrimento agressivo de dispositivos médicos ou de qualquer coisa ligada à monitorização de doentes, e com janelas de teste acordadas em torno da carga clínica. Quando um sistema for demasiado sensível para testar em produção, as alternativas são uma réplica de staging, uma revisão de configuração e arquitetura, ou testes manuais cuidadosamente delimitados com um contacto clínico designado e uma via de interrupção imediata. As regras de empenhamento são escritas e assinadas antes de começar fosse o que fosse.
Têm de ser identificados e tratados como frágeis por omissão. Os dispositivos médicos ligados correm frequentemente sobre sistemas operativos sem suporte que não podem ser corrigidos, falham de forma imprevisível sob varrimento e residem em redes mais planas do que qualquer um espera. O trabalho valioso aí é normalmente de alcançabilidade e não de exploração: estabelecer que dispositivos são alcançáveis a partir de onde, se estão segmentados da rede geral e o que um atacante que chegasse a esse segmento poderia fazer. Isso responde à verdadeira pergunta de risco sem nunca tocar num dispositivo ligado a um doente.
Empilham-se. O ADHICS é a norma setorial para a saúde de Abu Dhabi; a saúde está designada infraestrutura crítica de informação, pelo que os Information Assurance Standards da NESA se aplicam habitualmente a par dele; e a PDPL federal acrescenta obrigações de proteção de dados onde quer que sejam tratados dados pessoais, o que na saúde significa em todo o lado. Um único trabalho dimensionado contra os três desde o início produz um só conjunto de testes e três conjuntos de evidências mapeadas.
Cada vez mais sim, e a procura chega normalmente pelas compras e não pelo regulador. Os prestadores sob o ADHICS são responsáveis pela segurança da sua cadeia de fornecimento, pelo que empurram o requisito para fora — o que significa que um relatório de teste de intrusão independente se está a tornar condição para ganhar ou manter o contrato. Para um fornecedor, ter prontos um relatório e uma atestação atuais encurta consideravelmente o processo de compras, e não os ter começou a fazer perder negócios.
Prestador de saúde ou fornecedor em Abu Dhabi?
Testes dimensionados em torno da segurança clínica, com as evidências que o ADHICS e os vossos clientes pedem.