Тестирование на проникновение ADHICS для здравоохранения Абу-Даби
Здравоохранение — та отрасль, где оценка безопасности должна проектироваться вокруг ограничения: систему нельзя класть. ADHICS задаёт требования к контролям для медицинских организаций Абу-Даби и их поставщиков; тестирование по нему в той же мере о том, как вы тестируете, как и о том, что находите.
Что охватывает ADHICS
Стандарт Abu Dhabi Healthcare Information and Cyber Security задаёт требования к контролям для медицинских организаций, работающих под эгидой Department of Health эмирата, и для технологических поставщиков, которые их обслуживают. Он охватывает управление, контроль доступа, управление активами, реагирование на инциденты и защиту клинических данных и данных пациентов, а требования к оценке безопасности и доказательствам проходят через него насквозь.
Объём выходит далеко за пределы больниц. Разработчики электронных медицинских карт, платформы телемедицины, лабораторные и диагностические системы, обработчики страховых случаев и интеграторы, связывающие их между собой, — все попадают в объём, как правило через договорное требование медицинской организации, а не через прямые отношения с регулятором. Если ваше ПО касается данных пациентов Абу-Даби, обязанность найдёт вас через закупки.
Тестирование в здравоохранении без нарушения оказания помощи
Любая другая страница о соответствии может рассматривать определение объёма как коммерческий вопрос. Здесь это вопрос клинической безопасности, и он решается прежде всего остального.
Рабочее допущение: в клинической среде ничего ломать нельзя:
- Никаких тестов на отказ в обслуживании и никакой автоматизированной эксплуатации против клинических систем. Никогда.
- Никакого агрессивного сканирования медицинских приборов, систем мониторинга пациентов или чего-либо, подключённого к ним: подключённые приборы выходят из строя при сканировании непредсказуемо, как общее ИТ-оборудование не выходит.
- Окна тестирования, согласованные по клинической загрузке, с назначенным клиническим контактом, доступным всё время, и путём немедленного прекращения работ, для запуска которого не нужно созывать совещание.
- Реплики staging там, где тестирование на проде неуместно, с честно задокументированной разницей между staging и продом, а не замазанной.
Всё это входит в письменные подписанные правила проведения работ до начала тестирования. Там, где систему действительно нельзя безопасно протестировать ни в каком виде, правильный ответ — обзор конфигурации и архитектуры плюс задокументированное обоснование, а не агрессивный тест, проведённый аккуратно в надежде на лучшее.
Где лежит реальный риск
Клинические среды разделяют набор особенностей, определяющих, что ищет полезный тест:
- Плоские сети. Клинические парки растут добавлением, и сегментация между административными, клиническими и приборными сетями часто тоньше, чем предполагает архитектурная схема. Установить, что реально достижимо с обычной рабочей станции, — как правило, самая ценная находка в медицинской работе.
- Непатчуемые приборы. Подключённое медицинское оборудование на неподдерживаемых операционных системах, которые нельзя обновить без повторной валидации. Это не будет исправлено, поэтому значимая находка — не отсутствующее обновление, а то, изолирован ли прибор от всего, что может до него дотянуться.
- Интеграции. Здравоохранение работает на интерфейсах между системами — потоки HL7 и FHIR, подключения лабораторий и диагностики, связи со страховыми и обработкой случаев. Аутентификация и авторизация на этих интерфейсах регулярно слабее, чем в приложениях для пользователей, потому что их строили между доверенными сторонами в доверенной сети, а это допущение перестало быть верным довольно давно.
- Разрастание идентификаторов. Общие клинические учётные записи, долгоживущие аккаунты ушедших сотрудников, учётные записи удалённого доступа поставщиков с постоянными привилегиями. В терминах Active Directory это плодородная почва, и именно так одна скомпрометированная рабочая станция становится проблемой масштаба всего парка.
- Удалённый доступ поставщиков. Поставщики с постоянным доступом к клиническим системам для целей поддержки. Компрометация любого из них — ваша компрометация, и именно поэтому медицинские организации теперь транслируют требования о тестировании по своей цепочке поставок.
Объём работы
Как правило: тестирование внешней сети по парку, доступному из интернета, включая порталы пациентов и инфраструктуру удалённого доступа; тестирование веб-приложений и API по порталам, системам записи, платформам телемедицины и интеграционным интерфейсам за ними; тестирование внутренней сети с фокусом на сегментации и достижимости, а не на эксплуатации; обзор Active Directory по привилегиям, устаревшим учётным записям и доступу поставщиков; и оценка облака там, где клинические данные или данные пациентов лежат в облачном тенанте.
Для поставщиков, а не медицинских организаций, объём обычно сужается до самой платформы плюс её интеграционная поверхность — именно об этом на деле спрашивает закупочная команда медицинской организации.
Наложение с NESA и PDPL
ADHICS редко применяется в одиночку. Здравоохранение отнесено к критической информационной инфраструктуре, поэтому Information Assurance Standards NESA обычно применяются наряду с ним — включая ожидание повторного теста за 90 дней для критических и высоких находок и проверку квалификаций тестировщика. Федеральный PDPL добавляет обязанности по защите данных везде, где обрабатываются персональные данные, что в контексте здравоохранения означает везде.
При объёме, заданном изначально под все три, одна работа даёт один массив тестирования и три набора сопоставленных доказательств. При объёме под один и доработке позже это обычно означает повторное тестирование — поэтому расскажите мне в первом разговоре обо всех режимах, которым вы подчиняетесь.
Результат
Резюме, написанное как для аудитории клинического управления, так и для технической, техническая часть с шагами воспроизведения и оценками CVSS, и сопоставление с теми контролями ADHICS, которых касается каждая находка, — плюс NESA и PDPL там, где они применяются. Находки приоритизируются по клиническому воздействию, а не только по CVSS, потому что проблема средней критичности в системе, влияющей на помощь пациентам, важнее высокой критичности на маркетинговом сайте, а отчёт, который не проводит это различие, больнице бесполезен.
Затем сопровождение устранения, повторное тестирование и аттестационное письмо — для поставщиков это часто тот документ, который разблокирует закупку. Образец отчёта показывает формат.
Практические вопросы
Удалённо из Аммана, на час позади Абу-Даби, та же рабочая неделя, на арабском или английском. Внутреннее тестирование выполняется через VPN или промежуточный узел внутри вашей среды, в согласованные окна. Квалификации — которые запрашивают и аудиторы NESA, и больничные закупки — это OSCP+, eCPPT, eWPT, eCIR, AZ-500, SC-200 и SC-300, все проверяются через credential wallet OffSec.
Следующие шаги
Сообщите, вы медицинская организация или поставщик, что входит в среду и есть ли в ней что-то клинически работающее. Первый разговор — о том, что можно безопасно протестировать и что требует иного подхода; это решается до любой сметы, потому что определяет объём. Свяжитесь со мной — арабский приветствуется.
Смежное: тестирование на проникновение в ОАЭ, требования NESA и обзор соответствия.
Вопросы по ADHICS
На медицинские организации, работающие в Абу-Даби под эгидой Department of Health, и на технологических поставщиков, которые их обслуживают, — а это втягивает широкий круг компаний, которые сами по себе не являются клиническими: разработчики электронных медицинских карт, платформы телемедицины, лабораторные и диагностические системы, обработчики страховых случаев и интеграторы, связывающие всё это вместе. Если вы обрабатываете данные пациентов Абу-Даби или подключаетесь к среде медицинской организации, вы обычно попадаете в объём через обязательство вашего заказчика, даже не имея прямых отношений с регулятором.
Да, и это первое, о чём мы договариваемся. Подход состоит в том, чтобы исходить: ничего ломать нельзя. Никаких тестов на отказ в обслуживании, никакой автоматизированной эксплуатации против клинических систем, никакого агрессивного сканирования медицинских приборов или чего-либо, подключённого к мониторингу пациентов, и окна тестирования согласуются по клинической загрузке. Если система слишком чувствительна для тестирования на проде, альтернативы — реплика в staging, обзор конфигурации и архитектуры или аккуратно ограниченное ручное тестирование с назначенным клиническим контактом и путём немедленного прекращения работ. Правила проведения работ пишутся и подписываются до начала чего-либо.
Их нужно выявить и по умолчанию считать хрупкими. Подключённые медицинские приборы часто работают на неподдерживаемых операционных системах, которые невозможно обновить, непредсказуемо выходят из строя при сканировании и находятся в сетях более плоских, чем кто-либо ожидает. Ценная работа там обычно про достижимость, а не про эксплуатацию: установить, какие приборы откуда достижимы, отделены ли они от общей сети и что мог бы сделать атакующий, добравшийся до этого сегмента. Это отвечает на реальный вопрос о риске, ни разу не коснувшись прибора, подключённого к пациенту.
Они накладываются. ADHICS — отраслевой стандарт для здравоохранения Абу-Даби; здравоохранение отнесено к критической информационной инфраструктуре, поэтому Information Assurance Standards NESA обычно применяются наряду с ним; а федеральный PDPL добавляет обязанности по защите данных везде, где обрабатываются персональные данные, что в здравоохранении означает везде. Одна работа, объём которой изначально задан под все три, даёт один массив тестирования и три набора сопоставленных доказательств.
Всё чаще да, и запрос обычно приходит через закупки, а не от регулятора. Медицинские организации под ADHICS отвечают за безопасность своей цепочки поставок, поэтому транслируют требование наружу — а значит, независимый отчёт о тестировании на проникновение становится условием получения или сохранения контракта. Для поставщика наличие актуального отчёта и аттестации существенно сокращает процесс закупки, а их отсутствие уже начало стоить сделок.
Медицинская организация или поставщик в Абу-Даби?
Тестирование, выстроенное вокруг клинической безопасности, с доказательствами, которых требуют ADHICS и ваши заказчики.