Reglas de actuación para pruebas de penetración hospitalarias: lista de seguridad

La decisión que le ayudará a tomar esta guía

Indique quién puede detener la prueba y cuál es el canal de comunicación alternativo si un servicio sometido a prueba deja de estar disponible. Defina los objetivos y operaciones permitidos, las exclusiones clínicas y las condiciones para reanudar la actividad. Una autorización amplia no constituye un plan de seguridad operativa.

Canalice las decisiones clínicas por el canal de control

Designe a una persona responsable de seguridad, a un representante de operaciones clínicas y a los responsables técnicos pertinentes. Decida quién puede pausar la actividad sin esperar a una reunión semanal. La vía de escalado debe seguir siendo utilizable si el servicio de identidad o comunicación sometido a prueba no está disponible.

Sustituir el permiso general por unos límites operativos

Enumere los hosts de origen, destinos, cuentas de prueba y franjas horarias autorizados. Documente los dispositivos médicos, los flujos de atención y los sistemas compartidos de proveedores excluidos de las pruebas activas. Una autorización general del hospital no aclara los límites contractuales de cada proveedor ni la tolerancia de cada dispositivo a las solicitudes activas.

Definir condiciones de parada observables

Acordar umbrales de degradación del servicio, acceso inesperado a datos, alertas clínicas e incertidumbre sobre el alcance. El equipo de pruebas debe detenerse en el límite, conservar las evidencias mínimas y solicitar una decisión a través del canal de control. Documentar la decisión antes de reanudar la actividad, en lugar de interpretar el silencio como aprobación.

Planificar la limpieza y el traspaso

Conciliar las cuentas canario, los archivos, las reglas y las sesiones al final de cada fase acordada. El equipo de operaciones de un hospital necesita una lista precisa de lo que se ha introducido y de lo que permanece. Incluya un canal de derivación para incidentes reales detectados durante las pruebas, separado del escenario simulado.

Ensayar una decisión difícil antes de la prueba

Repase una situación concreta con el equipo hospitalario: una comprobación autorizada de una aplicación provoca una latencia inesperada mientras un servicio clínico está muy ocupado. ¿Quién recibe la llamada, quién puede detener la actividad y quién decide si puede reanudarse? Anote los contactos principal y alternativo, el canal de comunicación y la confirmación que se espera del equipo de pruebas. Un número de emergencia genérico no basta si nadie que atienda la llamada puede identificar la prueba o contactar con el responsable del servicio afectado.

El ejercicio debe contemplar un incidente real que se produzca durante el mismo periodo. La actividad de prueba no debe llevar a los defensores a descartar una alerta ajena como parte de la evaluación. Acuerde cómo el equipo restringido de coordinación distinguirá esas situaciones y las escalará sin divulgar innecesariamente detalles sensibles del ejercicio.

Formular las restricciones como instrucciones operativas

Sustituya «evitar interrupciones» por instrucciones que el equipo de pruebas pueda aplicar. Identifique los dispositivos y métodos prohibidos, las cuentas autorizadas, los límites de solicitudes, las ventanas de mantenimiento, los efectos secundarios de las notificaciones y las evidencias permitidas. Indique si una escritura en la base de datos, el envío de un mensaje o una prueba de bloqueo de cuentas requiere una decisión aparte. Estas condiciones deben seguir las dependencias del servicio, no limitarse a su rango de direcciones IP. Prepare una alternativa segura cuando un control pueda evaluarse mediante una revisión de configuración o un destino canario.

Para los puntos de acceso de proveedores, la guía sobre el ciclo de vida de las sesiones de proveedores sanitarios ayuda a definir la aprobación, el alcance permitido y la revocación como comprobaciones distintas. Puede ser necesario que esté presente un responsable operativo diferente para cada una.

Definir explícitamente la reanudación y la limpieza

Una actividad pausada solo debe reanudarse cuando la persona responsable acordada confirme que se comprende la situación y que están implantadas las salvaguardas necesarias. Conserve en el registro de evidencias el motivo de la pausa y cualquier cambio de alcance derivado. Al final de cada ventana, concilie las cuentas temporales, las sesiones, los archivos cargados y los objetos sintéticos con un inventario acordado. Pida a la persona responsable del servicio que confirme que el flujo de trabajo habitual correspondiente sigue funcionando.

Las entidades financieras aplican distintos modelos de gobernanza a las pruebas avanzadas basadas en amenazas, pero la disciplina práctica de escalado de la guía del equipo de control de DORA TLPT resulta útil para diseñar una coordinación restringida. Aplicar esta recomendación no convierte una prueba de penetración hospitalaria en un DORA TLPT ni crea un proceso regulatorio equivalente.

Ponga en práctica las directrices

Utilice la lista de preparación para documentar las premisas o consulte el informe ficticio de Hospital AG para ver ejemplos de evidencias y planes de tratamiento. Póngase en contacto con Atlant Security con una descripción no sensible del alcance.