Lista de preparación para una prueba de penetración hospitalaria: antes de empezar las pruebas

Evite retrasos innecesarios antes de la prueba

Antes de probar redes clínicas, integraciones EHR/PACS y mantenimiento remoto, confirme quiénes son los responsables designados, los entornos autorizados, los accesos representativos y los contactos para detener las pruebas. La falta de acceso o unos permisos ambiguos pueden limitar la cobertura útil. Repase la lista de comprobación con los responsables técnicos y operativos antes de acordar la fecha de inicio.

Definir el objetivo

• Comprenda qué vías de acceso pueden llegar a los servicios de soporte clínico, cómo responden los equipos de defensa y en qué puntos la recuperación depende de sistemas ajenos a la plataforma de copias de seguridad.
• Indique los responsables del servicio y la decisión que debe fundamentar la prueba.
• Seleccione las aplicaciones, redes, identidades e integraciones incluidas en el alcance.

Establecer el permiso

• Obtenga autorización por escrito para cada entorno propio.
• Confirme los límites entre proveedores y plataformas compartidas.
• Registrar los métodos prohibidos y los sistemas fuera del alcance.

Prepare el plan operativo

• Acordar las condiciones de interrupción con las operaciones clínicas y la ingeniería biomédica. Excluir cambios en los tratamientos y la interrogación activa de dispositivos sensibles, salvo autorización expresa. Para cada ventana de prueba, utilizar un flujo de trabajo clínico canario, tasas controladas y una persona de guardia designada con capacidad de decisión.
• Designar a una persona titular y otra suplente con autoridad para detener la actividad.
• Acordar las comunicaciones, las ventanas, los límites de solicitudes y la escalada de incidentes.

Prepare accesos representativos

• Cree registros sintéticos y roles de prueba dedicados.
• Documente las decisiones previstas sobre el acceso entre tenants y el acceso privilegiado.
• Establezca un canal confidencial para la información técnica.

Planificar la entrega y el cierre

• Acordar los requisitos de alcance, evidencias, informes y conservación.
• Asigne responsables de las medidas correctoras e incluya criterios para repetir las pruebas.
• Conciliar las cuentas, sesiones y objetos canario introducidos.