Abu Dabi Sağlık Sektörü için ADHICS Sızma Testi
Sağlık, bir güvenlik değerlendirmesinin sistemi devre dışı bırakamama kısıtı etrafında tasarlanması gereken sektördür. ADHICS, Abu Dabi'deki kuruluşlar ve tedarikçileri için kontrol beklentilerini belirler; buna karşı test etmek, ne bulduğunuz kadar nasıl test ettiğinizle de ilgilidir.
ADHICS neyi kapsar
Abu Dhabi Healthcare Information and Cyber Security standardı, emirliğin Department of Health kurumu altında faaliyet gösteren sağlık kuruluşları ve onlara hizmet veren teknoloji tedarikçileri için kontrol beklentilerini belirler. Yönetişim, erişim denetimi, varlık yönetimi, olay müdahalesi ile klinik ve hasta verilerinin korunmasını kapsar; güvenlik değerlendirmesi ve kanıt gereklilikleri baştan sona içinden geçer.
Kapsam hastanelerin çok ötesine uzanır. Elektronik hasta kaydı üreticileri, teletıp platformları, laboratuvar ve görüntüleme sistemleri, hasar ve sigorta işleyicileri ve bunları birbirine bağlayan entegratörlerin hepsi kapsama girer — genellikle düzenleyiciyle doğrudan bir ilişki üzerinden değil, bir kuruluşun sözleşmesel gerekliliği üzerinden. Yazılımınız Abu Dabi hasta verisine dokunuyorsa, yükümlülük sizi satın alma yoluyla bulur.
Bakımı aksatmadan sağlıkta test etmek
Diğer her uyum sayfası kapsam belirlemeyi ticari bir soru olarak ele alabilir. Burada bu bir klinik güvenlik sorusudur ve her şeyden önce karara bağlanır.
Çalışma varsayımı, klinik bir ortamda hiçbir şeyin kırılmasının güvenli olmadığıdır:
- Hizmet reddi testi yok ve klinik sistemlere karşı otomatik istismar yok. Asla.
- Agresif tarama yok — tıbbi cihazlar, hasta takibi veya bunlara bağlı hiçbir şey için: bağlı cihazlar tarama altında genel BT ekipmanının bilmediği biçimlerde öngörülemez şekilde arızalanır.
- Klinik yoğunluğa göre kararlaştırılmış test pencereleri, süre boyunca ulaşılabilir adı belirlenmiş bir klinik irtibat ve toplantı gerektirmeyen anında bir durdurma yolu ile.
- Canlı testin uygun olmadığı yerde hazırlık kopyaları, hazırlık ile üretim arasındaki fark gizlenmeden dürüstçe belgelenerek.
Bunların hepsi, test başlamadan önce yazılı ve imzalı katılım kurallarına girer. Bir sistem gerçekten hiçbir biçimde güvenle test edilemiyorsa, doğru yanıt bir yapılandırma ve mimari incelemesi artı belgelenmiş bir gerekçedir — dikkatle yürütülüp iyi gitmesi umulan agresif bir test değil.
Asıl risk nerede
Klinik ortamlar, yararlı bir testin neyi aradığını belirleyen bir dizi özelliği paylaşır:
- Düz ağlar. Klinik envanterler ekleme yoluyla büyür ve idari, klinik ve cihaz ağları arasındaki segmentasyon sıklıkla mimari şemanın gösterdiğinden incedir. Sıradan bir iş istasyonundan gerçekte neye erişilebildiğini belirlemek, bir sağlık çalışmasındaki en yüksek değerli bulgudur.
- Yamalanamayan cihazlar. Yeniden doğrulama olmadan güncellenemeyen, desteklenmeyen işletim sistemleri çalıştıran bağlı tıbbi ekipman. Bunlar düzeltilmeyecek; dolayısıyla önemli olan bulgu eksik yama değildir — cihazın kendisine ulaşabilecek her şeyden yalıtılmış olup olmadığıdır.
- Entegrasyonlar. Sağlık, sistemler arası arayüzler üzerinde işler — HL7 ve FHIR akışları, laboratuvar ve görüntüleme bağlantıları, sigorta ve hasar bağlantıları. Bu arayüzlerdeki kimlik doğrulama ve yetkilendirme rutin olarak kullanıcıya dönük uygulamalardakinden zayıftır, çünkü güvenilir taraflar arasında güvenilir bir ağ üzerinde kurulmuşlardır ve bu varsayım bir süredir geçerli değildir.
- Kimlik yayılması. Paylaşılan klinik oturum açma bilgileri, ayrılmış personelin uzun ömürlü hesapları, kalıcı yetkiye sahip tedarikçi uzaktan erişim hesapları. Active Directory açısından burası verimli bir zemindir ve ele geçirilmiş tek bir iş istasyonunun envanter geneli bir soruna dönüşme biçimidir.
- Tedarikçi uzaktan erişimi. Destek amacıyla klinik sistemlere kalıcı erişimi olan tedarikçiler. Herhangi birinin ele geçirilmesi sizin ele geçirilmenizdir; kuruluşların test gerekliliklerini artık tedarik zincirlerine itmesinin nedeni tam olarak budur.
Çalışmanın kapsamı
Tipik olarak: hasta portalları ve uzaktan erişim altyapısı dahil internete açık envanter genelinde dış ağ testi; portallar, randevu sistemleri, teletıp platformları ve arkalarındaki entegrasyon arayüzlerine karşı web uygulaması ve API testi; istismardan çok segmentasyon ve erişilebilirliğe odaklanan iç ağ testi; yetki, atıl hesaplar ve tedarikçi erişimini kapsayan Active Directory incelemesi; ve klinik veya hasta verisinin bir bulut kiracılığında bulunduğu yerde bulut değerlendirmesi.
Kuruluşlar yerine tedarikçiler için kapsam genellikle platformun kendisi artı entegrasyon yüzeyine daralır — kuruluşun satın alma ekibinin gerçekte sorduğu şey budur.
NESA ve PDPL ile üst üste binme
ADHICS nadiren tek başına uygulanır. Sağlık kritik bilgi altyapısı olarak belirlenmiştir, bu nedenle NESA'nın Information Assurance Standards düzenlemesi genellikle yanında uygulanır — kritik ve yüksek bulgular için 90 günlük yeniden test beklentisi ve test uzmanının sertifikalarının incelenmesi dahil. Federal PDPL, kişisel verinin işlendiği her yerde veri koruma yükümlülükleri ekler ki sağlık bağlamında bu her yerdir.
Baştan üçüne birden göre kapsamlandırıldığında bir çalışma tek bir test bütünü ve üç eşlenmiş kanıt seti üretir. Birine göre kapsamlandırılıp sonradan tamamlandığında genellikle yeniden test etmek demektir — bu yüzden tabi olduğunuz her rejimi ilk görüşmede bana söyleyin.
Teslimat
Teknik olduğu kadar klinik yönetişim kitlesi için de yazılmış bir yönetici özeti, yeniden üretim adımları ve CVSS derecelendirmeleri içeren teknik bir gövde ve her bulgunun ilgili olduğu ADHICS kontrollerine eşleme — geçerli olduğu yerde NESA ve PDPL ile birlikte. Bulgular yalnızca CVSS'ye göre değil klinik etkiye göre önceliklendirilir, çünkü hasta bakımını etkileyen bir sistemdeki orta önem dereceli bir sorun, bir pazarlama sitesindeki yüksek önem dereceli bir sorunun önüne geçer ve bu ayrımı yapmayan bir rapor bir hastane için kullanışlı değildir.
Ardından giderme desteği, bir yeniden test ve bir beyan mektubu — ki bu tedarikçiler için çoğu zaman satın almanın önünü açan belgedir. Bir örnek rapor biçimi gösterir.
Pratik konular
Amman'dan uzaktan, Abu Dabi'den bir saat geride, aynı çalışma haftasında, Arapça veya İngilizce. İç testler, kararlaştırılan pencereler içinde ortamınızdaki bir VPN veya atlama sunucusu üzerinden yürütülür. Hem NESA denetçilerinin hem hastane satın almasının istediği sertifikalar şunlardır: OSCP+, eCPPT, eWPT, eCIR, AZ-500, SC-200 ve SC-300 — hepsi OffSec credential wallet üzerinden doğrulanabilir.
Sonraki adımlar
Kuruluş mu tedarikçi mi olduğunuzu, ortamın neleri içerdiğini ve herhangi bir bölümünün klinik olarak canlı olup olmadığını bana iletin. İlk görüşme neyin güvenle test edilebileceği ve neyin farklı bir yaklaşım gerektirdiğiyle ilgilidir — bu, kapsamı belirlediği için herhangi bir tekliften önce karara bağlanır. İletişime geçin — Arapça memnuniyetle.
İlgili: BAE'de sızma testi, NESA gereklilikleri ve uyum genel bakışı.
ADHICS soruları
Abu Dabi'de Department of Health altında faaliyet gösteren sağlık kuruluşlarına ve onlara hizmet veren teknoloji tedarikçilerine — ki bu, kendisi klinik olmayan geniş bir şirket yelpazesini içine çeker: elektronik hasta kaydı üreticileri, teletıp platformları, laboratuvar ve görüntüleme sistemleri, sigorta ve hasar işleyicileri ve bunları birbirine bağlayan entegratörler. Abu Dabi hasta verisi işliyorsanız veya bir kuruluşun ortamına bağlanıyorsanız, düzenleyiciyle doğrudan ilişkiniz olmasa bile genellikle müşterinizin yükümlülüğü üzerinden kapsamdasınız.
Evet ve üzerinde ilk anlaşılacak konu budur. Yaklaşım, hiçbir şeyin kırılmasının güvenli olmadığını varsaymaktır: hizmet reddi testi yok, klinik sistemlere karşı otomatik istismar yok, tıbbi cihazların veya hasta takibine bağlı hiçbir şeyin agresif taraması yok ve test pencereleri klinik yoğunluğa göre kararlaştırılır. Bir sistem canlı test edilemeyecek kadar hassassa alternatifler şunlardır: bir hazırlık kopyası, bir yapılandırma ve mimari incelemesi ya da adı belirlenmiş bir klinik irtibat ve anında durdurma yolu ile dikkatle sınırlandırılmış manuel test. Katılım kuralları hiçbir şey başlamadan önce yazılır ve imzalanır.
Tanımlanmaları ve varsayılan olarak kırılgan kabul edilmeleri gerekir. Bağlı tıbbi cihazlar sıklıkla yamalanamayan desteklenmeyen işletim sistemleri çalıştırır, tarama altında öngörülemez biçimde arızalanır ve herkesin beklediğinden daha düz ağlarda bulunur. Oradaki değerli çalışma genellikle istismardan çok erişilebilirliktir: hangi cihazların nereden erişilebilir olduğunu, genel ağdan segmente edilip edilmediklerini ve o segmente ulaşan bir saldırganın ne yapabileceğini belirlemek. Bu, bir hastaya bağlı herhangi bir cihaza hiç dokunmadan asıl risk sorusunu yanıtlar.
Üst üste binerler. ADHICS Abu Dabi sağlık sektörünün sektör standardıdır; sağlık kritik bilgi altyapısı olarak belirlenmiştir, bu nedenle NESA'nın Information Assurance Standards düzenlemesi genellikle yanında uygulanır; federal PDPL ise kişisel verinin işlendiği her yerde veri koruma yükümlülükleri getirir ki sağlıkta bu her yer demektir. Baştan üçüne birden göre kapsamlandırılan tek bir çalışma, tek bir test bütünü ve üç eşlenmiş kanıt seti üretir.
Giderek artan biçimde evet ve talep genellikle düzenleyiciden değil satın almadan gelir. ADHICS kapsamındaki kuruluşlar tedarik zincirlerinin güvenliğinden sorumludur, bu nedenle gerekliliği dışarıya doğru iterler — bu da bağımsız bir sızma testi raporunun sözleşmeyi kazanmanın veya korumanın koşulu hâline geldiği anlamına gelir. Bir tedarikçi için güncel bir rapor ve beyanın hazır olması satın alma sürecini belirgin biçimde kısaltır; olmaması ise iş kaybettirmeye başladı.
Abu Dabi'de sağlık kuruluşu veya tedarikçi misiniz?
Klinik güvenlik etrafında kapsamlandırılmış test, ADHICS'in ve müşterilerinizin istediği kanıtlarla.