面向阿布扎比医疗行业的 ADHICS 渗透测试
医疗是必须围绕「不能让系统停摆」这一约束来设计安全评估的行业。ADHICS 为阿布扎比的医疗机构及其供应商设定了控制要求；针对它开展测试，既关乎你发现了什么，也同样关乎你如何测试。
ADHICS 涵盖的内容
Abu Dhabi Healthcare Information and Cyber Security 标准为在该酋长国 Department of Health 之下运营的医疗实体，以及为其提供服务的技术供应商设定了控制要求。它涵盖治理、访问控制、资产管理、事件响应，以及临床数据与患者数据的保护，而安全评估与证据方面的要求贯穿始终。
其适用范围远不止医院。电子病历厂商、远程医疗平台、检验与影像系统、理赔与保险处理方，以及把它们彼此接通的集成商，最终都会进入适用范围——通常是经由医疗机构的合同要求，而非与监管机构的直接关系。若你的软件触及阿布扎比的患者数据，这项义务会通过采购环节找到你。
在不影响诊疗的前提下开展医疗行业测试
换作任何其他合规领域，范围界定都可以当作商务问题来处理。在这里它是临床安全问题，并且要先于其他一切敲定。
工作前提是：在临床环境中，没有任何东西是「弄坏也无妨」的。
- 不做拒绝服务测试，也不对临床系统进行自动化利用。绝不。
- 不做激进扫描——对医疗设备、患者监护以及任何与之连接的设备。联网设备在扫描下失效的方式不可预测，而这是一般 IT 设备所没有的特性。
- 测试时间窗围绕临床负荷协商确定，并配有全程可联系的指定临床联络人，以及无需召集会议即可启动的即时中止路径。
- 在不宜于生产环境测试之处使用预发布环境副本，并如实记录预发布与生产之间的差异，而非加以掩饰。
以上全部内容都会写入在测试开始前即已签署的书面测试约定规则。若某个系统确实在任何形式下都无法安全测试，正确的做法是开展配置与架构评审并留存书面理由，而不是小心翼翼地执行一次激进测试、然后祈祷不出事。
真正的风险在哪里
临床环境有一组共同特征，决定了一次有价值的测试应当寻找什么：
- 扁平的网络。临床环境靠不断叠加而扩张，行政、临床与设备网络之间的分段隔离往往比架构图所显示的更薄弱。弄清从一台普通办公工作站实际能够抵达什么，通常是医疗类项目中价值最高的一条发现。
- 无法打补丁的设备。运行在停止支持操作系统上、不经重新验证便无法更新的联网医疗设备。这些不会被修复，因此真正重要的发现不是缺失的补丁，而是该设备是否与一切可能抵达它的事物相隔离。
- 系统对接。医疗依赖系统之间的接口运转——HL7 与 FHIR 数据流、检验与影像连接、保险与理赔链路。这些接口上的身份认证与授权通常比面向用户的应用更薄弱，因为它们当初是在可信网络上、在可信方之间构建的，而这一前提早已不再成立。
- 身份蔓延。共享的临床登录账号、离职人员长期残留的账户、拥有常设权限的供应商远程接入账户。从 Active Directory 的角度看，这是一片沃土，也正是一台被攻陷的工作站演变为全环境问题的路径。
- 供应商远程接入。出于支持目的对临床系统拥有长期访问权的供应商。其中任何一家被攻陷即等同于你被攻陷，而这恰恰是医疗机构如今把测试要求向供应链传导的原因。
项目范围
通常包括：覆盖面向互联网资产（含患者门户与远程接入基础设施）的外部网络测试；针对门户、预约系统、远程医疗平台及其背后对接接口的 Web 应用与 API 测试；聚焦分段隔离与可达性而非利用的内部网络测试；覆盖权限、僵尸账户与供应商访问的 Active Directory 评审；以及在临床或患者数据位于云租户时的云评估。
对供应商而非医疗机构而言，范围通常会收窄至平台本身加上其对接面——这正是医疗机构采购团队实际在问的内容。
与 NESA 和 PDPL 的叠加
ADHICS 很少单独适用。医疗被认定为关键信息基础设施，因此 NESA 的 Information Assurance Standards 通常与之并行适用——包括对严重与高危发现事项的 90 天复测预期，以及对测试执行者资质的审查。联邦 PDPL 在任何处理个人数据之处附加数据保护义务，在医疗场景中这意味着无处不在。
若一开始就按三者共同界定范围，一个项目可产出一套测试与三套已映射的证据。若只按其中之一界定、事后再补，通常意味着要重新测试——因此请在首次沟通中告知你所受约束的全部制度。
交付成果
一份既面向技术读者、也面向临床治理读者撰写的管理层摘要；含复现步骤与 CVSS 评级的技术正文；以及每条发现事项所涉 ADHICS 控制项的映射——在适用时还包括 NESA 与 PDPL。发现事项按临床影响而非仅按 CVSS 排定优先级，因为影响患者诊疗的系统上的中危问题，其分量高于市场网站上的高危问题，而不做此区分的报告对医院并无用处。
随后是整改支持、复测，以及一份实施证明函——对供应商而言，这往往正是打通采购流程的那份文件。格式可参阅示例报告。
实务安排
自安曼远程工作，比阿布扎比晚一小时，工作周相同，可用阿拉伯语或英语沟通。内部测试在约定的时间窗内，通过贵方环境中的 VPN 或跳板主机执行。相关资质——NESA 评估师与医院采购双方都会索取——为 OSCP+、eCPPT、eWPT、eCIR、AZ-500、SC-200 与 SC-300，全部可通过 OffSec credential wallet 核验。
下一步
请告知你是医疗机构还是供应商、环境包含哪些内容，以及其中是否有临床在用的部分。首次沟通围绕哪些可以安全测试、哪些需要换一种方式展开——这会在任何报价之前敲定，因为它决定了范围。欢迎联系我，阿拉伯语同样欢迎。
ADHICS 常见问题
在阿布扎比于 Department of Health 之下运营的医疗服务机构，以及为其提供服务的技术供应商——这会把一大批本身并非临床机构的企业纳入进来：电子病历厂商、远程医疗平台、检验与影像系统、保险与理赔处理方，以及将它们连接起来的集成商。若你处理阿布扎比的患者数据，或接入某家医疗机构的环境，即便与监管机构没有直接关系，通常也会经由客户的义务而进入适用范围。
可以，而且这是首先需要达成一致的事项。做法是假定没有任何东西是「弄坏也无妨」的：不做拒绝服务测试，不对临床系统进行自动化利用，不对医疗设备或任何连接患者监护的设备进行激进扫描，测试时间窗围绕临床负荷协商确定。若某系统过于敏感、不宜在生产环境测试，替代方案是预发布环境副本、配置与架构评审，或在指定临床联络人与即时中止路径的前提下，严格限定范围的人工测试。测试约定规则在任何工作开始前即书面确认并签署。
必须先识别出来，并默认视为脆弱对象。联网医疗设备常常运行在无法打补丁的停止支持操作系统上，在扫描下会以不可预测的方式失效，且所处网络比任何人预想的都更扁平。在那里真正有价值的工作通常是可达性而非利用：确定哪些设备可从何处抵达、它们是否与一般网络分段隔离，以及抵达该网段的攻击者能够做什么。这样便能在完全不触碰任何连接患者的设备的前提下，回答真正的风险问题。
它们是叠加的。ADHICS 是阿布扎比医疗行业的行业标准；医疗被认定为关键信息基础设施，因此 NESA 的 Information Assurance Standards 通常与之并行适用；而联邦 PDPL 在任何处理个人数据之处都附加数据保护义务，在医疗场景中这意味着无处不在。若一开始就按三者共同界定范围，一个项目即可产出一套测试与三套已映射的证据。
越来越需要，而且这一需求通常来自采购环节而非监管机构。ADHICS 项下的医疗机构对自身供应链安全负责，因此会把要求向外传导——这意味着一份独立的渗透测试报告正在成为赢得或保住合同的条件。对供应商而言，备好一份最新的报告与实施证明能显著缩短采购流程，而没有它已经开始让一些机构丢掉订单。
阿布扎比的医疗机构或供应商？
围绕临床安全界定范围的测试，并提供 ADHICS 与你的客户所要求的证据。