Die vor einem Angebot zu klärenden Fragen
Kosten und Dauer von Penetrationstests für Krankenhäuser hängen von den Zielsystemen, Rollen, Geschäftsabläufen, Zugangsregelungen und Berichtsanforderungen ab. Allein anhand der Anzahl der Systeme lässt sich der Aufwand nicht bestimmen. Nutzen Sie die folgenden Fragen, um den Umfang vorzubereiten und die Annahmen zu ermitteln, auf die ein Angebot eingehen muss.
Vor einem Auftrag
Was umfasst Penetration Testing en hospitales?
Tests klinischer Netzwerke; Tests von EHR-, PACS- und klinischen Integrationen; Tests von Ransomware-Pfaden und Wiederherstellung in Krankenhäusern. Der vereinbarte Umfang legt konkrete Assets, Rollen, Schnittstellen und Ausschlüsse fest.
Können Sie Produktionssysteme testen?
Abbruchbedingungen mit dem klinischen Betrieb und der Medizintechnik abstimmen. Änderungen an Behandlungen und aktive Abfragen sensibler Geräte ausschließen, sofern sie nicht ausdrücklich genehmigt wurden. Für jedes Testfenster einen klinischen Canary-Workflow, kontrollierte Raten und eine namentlich benannte entscheidungsbefugte Rufbereitschaft vorsehen. Tests in der Produktionsumgebung erfordern eine ausdrückliche Vereinbarung; Ergebnisse aus Staging- und Produktionsumgebungen dürfen nicht als austauschbar dargestellt werden.
Ist dies dasselbe wie ein Schwachstellenscan?
Nein. Ein Scan kann die Erkennung unterstützen, aber ein Penetrationstest überprüft ausgewählte Schwachstellen und ihre Folgen in der autorisierten Umgebung. Der Bericht sollte zwischen nicht verifizierten Beobachtungen und nachgewiesenen Feststellungen unterscheiden.
Belegt ein Penetrationstest die Compliance?
Tests in Krankenhäusern in der EU sollten im Zusammenhang mit den geltenden nationalen NIS2-Vorschriften und den Sicherheitsverpflichtungen der DSGVO betrachtet werden. Der europäische Aktionsplan zur Cybersicherheit im Gesundheitswesen bietet sektoralen Kontext. Die Sicherheit von Medizinprodukten und vertragliche Lieferantenpflichten erfordern eine gesonderte Prüfung. US-amerikanisches HIPAA gilt nur, wenn die Organisation oder Beziehung in seinen Anwendungsbereich fällt.
Wie lange dauert ein Auftrag und was kostet er?
Dauer und Gebühren hängen vom Leistungsumfang, den Rollen, den Workflows, den Zugriffsbedingungen, der Beteiligung Dritter sowie den Anforderungen an Berichterstattung und Wiederholungstests ab. Diese Punkte werden im Angebot vereinbart und nicht aus einem allgemeinen Paket abgeleitet.
Was werden wir erhalten?
Ein vereinbartes Abdeckungsprotokoll, technische Feststellungen, Nachweise, Wirkungsgrenzen und ein Behebungsplan. Wiederholungstests und zusätzliche betriebliche Übungen werden in der Leistungsbeschreibung festgelegt.
Handelt es sich bei dem Beispiel um einen echten Kundenbericht?
Nein. Die Hospital AG sowie sämtliche Systeme, Beteiligten und Ergebnisse sind fiktiv. Das Beispiel veranschaulicht die technische Berichterstattung, ohne Kundeninformationen offenzulegen.
Was geschieht mit den für ein Muster eingereichten Angaben?
Atlant Security erhält Ihre Anfrage über sein geschäftliches Postfach, stellt den Browser-Download bereit und kann sich bezüglich Ihrer Anfrage bei Ihnen melden. Sie werden nicht für Marketing angemeldet. Siehe Datenschutzhinweise und Cookie-Hinweise.
Welche Angaben sollen wir in eine Anfrage aufnehmen?
Ihre Organisation, Ihre Rolle, eine allgemeine Beschreibung der Systeme oder Arbeitsabläufe, Ihr Ziel und der voraussichtliche Zeitplan. Senden Sie keine Patientendaten, Zahlungsdaten, Zugangsdaten oder vertraulichen Sicherheitsinformationen über das öffentliche Formular.
