¿Qué debe incluir el alcance?
Dos presupuestos solo son comparables cuando cubren el mismo trabajo. Para una prueba de penetración hospitalaria, enumere las redes clínicas, las integraciones EHR/PACS y el mantenimiento remoto, y defina también los roles, entornos y operaciones empresariales que se probarán. Especifique qué evidencias espera, qué acciones están prohibidas y si la solicitud incluye una repetición de las pruebas.
Asociar los servicios con sus dependencias
Una sesión de soporte administrativo puede pasar de un intermediario de acceso del proveedor a la gestión de la recuperación. Una copia de seguridad operativa puede seguir dependiendo de un proveedor de identidad no disponible antes de que pueda utilizarse una aplicación clínica restaurada. Vinculamos estos detalles técnicos con un límite de servicio acordado.
Enumere primero los servicios empresariales o asistenciales y, a continuación, relaciona las aplicaciones, los sistemas de identidad, las redes y los proveedores que los sustentan. Documente qué responsable puede autorizar cada componente. El número de dominios por sí solo no permite describir los límites de autorización ni las consecuencias operativas.
Prepare los roles y los datos representativos
Proporcione identidades dedicadas con roles documentados y permisos previstos conocidos. Utilice más de un tenant, cliente o unidad organizativa cuando los límites formen parte del objetivo. Identifique los objetos señuelo para que quienes realizan las pruebas y los responsables puedan distinguirlos de los registros reales.
Seleccione las áreas de evaluación
- Pruebas de segmentación de redes clínicas: Un diagrama de red refleja la arquitectura prevista. Los entornos hospitalarios necesitan evidencias de las rutas reales entre origen y destino, incluidas las excepciones heredadas y los servicios compartidos necesarios para las operaciones clínicas.
- Pruebas de integración de HCE, PACS y sistemas clínicos: Las interfaces de usuario, los motores de integración y los servicios de archivo pueden aplicar permisos distintos. El alcance debe indicar si la prueba cubre la aplicación, la infraestructura, una integración o los tres elementos.
- Pruebas de rutas de ransomware y recuperación hospitalaria: La preparación frente al ransomware va más allá de confirmar que una tarea de copia de seguridad se ha completado correctamente. Los roles de recuperación con permisos excesivos, las sesiones de soporte persistentes y la ausencia de dependencias de identidad pueden debilitar un diseño de recuperación que, por lo demás, sería sólido.
Acordar las condiciones de prueba
Acordar las condiciones de interrupción con las operaciones clínicas y la ingeniería biomédica. Excluir cambios en los tratamientos y la interrogación activa de dispositivos sensibles, salvo autorización expresa. Para cada ventana de prueba, utilizar un flujo de trabajo clínico canario, tasas controladas y una persona de guardia designada con capacidad de decisión.
- Orígenes de las pruebas, destinos e interfaces permitidas designados.
- Ventanas horarias, límites de tasa y métodos excluidos aprobados.
- Consentimiento de terceros, contactos de control y autoridad para detener las pruebas.
- Responsabilidades relativas a la gestión de evidencias, la limpieza, la elaboración de informes y las pruebas de retest.
Mantener visibles los cambios
Registre las versiones desplegadas, las nuevas rutas y los cambios de permisos durante la prueba. Si una ruta inesperada alcanza un sistema fuera del alcance autorizado, pause la prueba y resuelva el alcance con la persona decisora designada. Incluya las dependencias no probadas en la declaración final de cobertura.
Prepare un documento antes de la reunión para definir el alcance
Empiece por los servicios hospitalarios que deben seguir disponibles y los límites que necesita evaluar. Haga visibles las exclusiones, las dependencias de proveedores y la autoridad clínica para detener las pruebas antes de ampliar el alcance técnico.
Utilice el generador gratuito de documentos de alcance para pruebas de penetración hospitalaria para registrar objetivos, áreas de evaluación, limitaciones y preferencias sobre el NDA. Revise el alcance propuesto y envíelo directamente a Atlant Security a través del formulario de contacto.
