Was gehört zum Umfang?
Zwei Angebote sind nur dann vergleichbar, wenn sie dieselben Arbeiten umfassen. Führen Sie für einen Penetrationstest im Krankenhaus klinische Netzwerke, EHR/PACS-Integrationen und Fernwartungszugänge auf, legen Sie aber auch die zu testenden Rollen, Umgebungen und Geschäftsvorgänge fest. Geben Sie an, welche Nachweise Sie erwarten, welche Aktionen untersagt sind und ob ein Retest Teil der Anfrage ist.
Services den Abhängigkeiten zuordnen
Eine administrative Support-Sitzung kann von einem Anbieter-Zugriffsbroker in die Wiederherstellungsverwaltung übergehen. Eine funktionierende Sicherung kann dennoch von einem nicht verfügbaren Identitätsanbieter abhängen, bevor eine wiederhergestellte klinische Anwendung genutzt werden kann. Wir verknüpfen diese technischen Details mit einer vereinbarten Servicegrenze.
Zuerst die Geschäfts- oder Versorgungsleistungen auflisten und anschließend die sie unterstützenden Anwendungen, Identitätssysteme, Netzwerke und Anbieter zuordnen. Dokumentieren, welcher Verantwortliche jede Komponente genehmigen kann. Eine reine Anzahl von Domains beschreibt weder die Berechtigungsgrenzen noch die betrieblichen Folgen.
Bereiten Sie Rollen und repräsentative Daten vor
Stellen Sie dedizierte Identitäten mit dokumentierten Rollen und bekannten, erwarteten Berechtigungen bereit. Verwenden Sie mehr als einen Mandanten, Kunden oder eine Organisationseinheit, wenn Abgrenzungen zum Prüfziel gehören. Kennzeichnen Sie Canary-Objekte, damit Prüfende und Verantwortliche sie von echten Datensätzen unterscheiden können.
Wählen Sie die Prüfbereiche aus
- Tests der Segmentierung klinischer Netzwerke: Ein Netzwerkdiagramm dokumentiert die beabsichtigte Architektur. In Krankenhäusern sind Nachweise der tatsächlichen Verbindungen von Quelle zu Ziel erforderlich, einschließlich älterer Ausnahmen und gemeinsam genutzter Dienste, die für den klinischen Betrieb benötigt werden.
- Tests von KIS-, PACS- und klinischen Integrationen: Benutzeroberflächen, Integrations-Engines und Archivdienste können unterschiedliche Berechtigungen anwenden. Der Umfang muss erläutern, ob der Test die Anwendung, die Infrastruktur, eine Integration oder alle drei umfasst.
- Tests von Ransomware-Angriffswegen und Wiederherstellung in Krankenhäusern: Ransomware-Bereitschaft geht über die Bestätigung hinaus, dass ein Sicherungsauftrag erfolgreich ausgeführt wurde. Übermäßig weitreichende Wiederherstellungsrollen, dauerhaft bestehende Support-Sitzungen und fehlende Identitätsabhängigkeiten können ein ansonsten solides Wiederherstellungskonzept untergraben.
Testbedingungen abstimmen
Abbruchbedingungen mit dem klinischen Betrieb und der Medizintechnik abstimmen. Änderungen an Behandlungen und aktive Abfragen sensibler Geräte ausschließen, sofern sie nicht ausdrücklich genehmigt wurden. Für jedes Testfenster einen klinischen Canary-Workflow, kontrollierte Raten und eine namentlich benannte entscheidungsbefugte Rufbereitschaft vorsehen.
- Benannte Testquellen, Zielsysteme und zulässige Schnittstellen.
- Genehmigte Zeitfenster, Ratenbegrenzungen und ausgeschlossene Methoden.
- Zustimmung Dritter, Ansprechpartner für die Steuerung und Befugnis zum Abbruch.
- Verantwortlichkeiten für den Umgang mit Nachweisen, die Bereinigung, die Berichterstattung und den Retest.
Änderungen nachvollziehbar machen
Dokumentieren Sie wesentliche Releases, neue Routen und Berechtigungsänderungen während des Tests. Führt ein unerwarteter Pfad zu einem System außerhalb des autorisierten Geltungsbereichs, unterbrechen Sie den Test und klären Sie den Umfang mit der benannten entscheidungsbefugten Person. Nehmen Sie nicht getestete Abhängigkeiten in die abschließende Abdeckungsdarstellung auf.
Bereiten Sie vor dem Scoping-Gespräch ein Briefing vor
Beginnen Sie mit den Krankenhausdiensten, die verfügbar bleiben müssen, und den Grenzen, die Sie bewerten möchten. Machen Sie Ausschlüsse, Abhängigkeiten von Anbietern und die Befugnis zum klinischen Abbruch sichtbar, bevor der technische Umfang erweitert wird.
Verwenden Sie den kostenlosen Generator für Leistungsbeschreibungen von Krankenhaus-Penetrationstests, um Ziele, Prüfbereiche, Einschränkungen und NDA-Präferenzen festzuhalten. Prüfen Sie den vorgeschlagenen Umfang und senden Sie ihn anschließend direkt über das Kontaktformular an Atlant Security.
