Regole di ingaggio per test di penetrazione ospedalieri: checklist di sicurezza

La decisione che questa guida vi aiuta a prendere

Indicate le persone autorizzate a sospendere il test e il canale di comunicazione alternativo nel caso in cui un servizio sottoposto a test diventi indisponibile. Definite gli obiettivi e le operazioni consentiti, le esclusioni cliniche e le condizioni per riprendere le attività. Un’autorizzazione ampia non costituisce un piano di sicurezza operativa.

Gestite le decisioni cliniche attraverso il canale di controllo

Individuare un responsabile della sicurezza, un rappresentante delle attività cliniche e i responsabili tecnici pertinenti. Stabilire chi può sospendere l’attività senza attendere una riunione settimanale. Il percorso di escalation deve restare utilizzabile anche se il servizio di identità o comunicazione sottoposto a test non è disponibile.

Sostituire l'autorizzazione generica con limiti operativi

Elencare gli host di origine, le destinazioni, gli account di test e le finestre temporali autorizzati. Registrare i dispositivi medici, i flussi di cura e i sistemi condivisi dei fornitori esclusi dai test attivi. Una lettera di autorizzazione generale dell’ospedale non chiarisce i limiti contrattuali di ciascun fornitore né la tolleranza di ogni dispositivo alle richieste attive.

Definire condizioni di arresto osservabili

Concordare le soglie per il degrado del servizio, l’accesso imprevisto ai dati, gli allarmi clinici e l’incertezza sull’ambito. Chi esegue i test dovrebbe fermarsi al confine, conservare evidenze minime e richiedere una decisione tramite il canale di controllo. Documentare la decisione prima di riprendere, senza interpretare il silenzio come approvazione.

Pianificare la pulizia e il passaggio di consegne

Riconciliare gli account canary, i file, le regole e le sessioni al termine di ciascuna fase concordata. Il team operativo di un ospedale ha bisogno di un elenco preciso di ciò che è stato introdotto e di ciò che rimane. Includere un canale di escalation per gli incidenti reali rilevati durante i test, distinto dallo scenario simulato.

Simulare una decisione difficile prima del test

Esaminate con il team ospedaliero una situazione concreta: un controllo autorizzato di un’applicazione provoca una latenza imprevista mentre un servizio clinico è impegnato. Chi riceve la chiamata, chi può interrompere l’attività e chi decide se può riprendere? Registrate i contatti principali e alternativi, il canale di comunicazione e la conferma attesa dai tester. Un numero di emergenza generico non è sufficiente se nessuno al telefono è in grado di identificare il test o raggiungere il responsabile del servizio interessato.

La simulazione dovrebbe includere un incidente reale che si verifichi nello stesso periodo. Le attività di test non devono indurre i difensori a liquidare un allarme non correlato come parte della valutazione. Concordate come il gruppo ristretto di coordinamento distinguerà e segnalerà tali situazioni senza diffondere inutilmente dettagli sensibili dell’esercitazione.

Formulare le restrizioni come istruzioni operative

Sostituire «evitare interruzioni» con istruzioni applicabili da chi esegue il test. Identificare dispositivi e metodi vietati, account approvati, limiti alle richieste, finestre di manutenzione, effetti collaterali delle notifiche ed evidenze consentite. Specificare se una scrittura nel database, l'invio di un messaggio o un test di blocco dell'account richieda una decisione separata. Queste condizioni devono seguire le dipendenze del servizio, non semplicemente il suo intervallo di indirizzi IP. Predisporre un'alternativa sicura quando un controllo può essere valutato tramite un'analisi della configurazione o una destinazione canary.

Per i punti di accesso dei fornitori, la guida sul ciclo di vita delle sessioni dei fornitori in ambito sanitario aiuta a definire approvazione, portata consentita e revoca come verifiche distinte. Per ciascuna potrebbe essere necessaria la presenza di un diverso responsabile operativo.

Definire esplicitamente la ripresa e la pulizia

Un’attività sospesa dovrebbe riprendere solo dopo che il responsabile concordato ha confermato che la situazione è stata compresa e che sono in atto le misure di salvaguardia necessarie. Conservate nel registro delle evidenze il motivo della sospensione e le eventuali conseguenti modifiche dell’ambito. Al termine di ogni finestra, riconciliate gli account temporanei, le sessioni, i file caricati e gli oggetti sintetici con un inventario concordato. Chiedete al responsabile del servizio di confermare che il normale flusso di lavoro pertinente sia ancora operativo.

Gli istituti finanziari adottano modelli di governance diversi per i test avanzati basati sulle minacce, ma la disciplina pratica di escalation descritta nella guida al team di controllo del DORA TLPT è utile per progettare un coordinamento ristretto. Applicare questa indicazione non trasforma un test di penetrazione ospedaliero in un DORA TLPT né crea un processo normativo equivalente.

Applicate le indicazioni

Utilizzate la lista di preparazione per documentare le ipotesi oppure consultate il rapporto fittizio di Hospital AG per esempi di evidenze e piani di trattamento. Contattate Atlant Security con una descrizione non sensibile dell’ambito.