Le questioni da definire prima di richiedere un preventivo
I costi e la durata dei penetration test per gli ospedali dipendono dai sistemi obiettivo, dai ruoli, dai flussi di lavoro aziendali, dalle modalità di accesso e dai requisiti di rendicontazione. Il solo numero di sistemi non è sufficiente per determinare l’impegno richiesto. Utilizzate le domande seguenti per preparare l’ambito e individuare le ipotesi a cui una proposta deve rispondere.
Prima di un incarico
Cosa comprende il penetration testing ospedaliero?
Test delle reti cliniche; test di EHR, PACS e integrazioni cliniche; test dei percorsi del ransomware e del ripristino ospedaliero. L’ambito concordato definisce le risorse, i ruoli, le interfacce e le esclusioni specifici.
Potete testare i sistemi di produzione?
Concordare le condizioni di arresto con le attività cliniche e l’ingegneria biomedica. Escludere modifiche ai trattamenti e l’interrogazione attiva di dispositivi sensibili, salvo approvazione esplicita. Per ogni finestra di test, utilizzare un flusso clinico canary, frequenze controllate e una persona reperibile nominativamente designata con potere decisionale. I test in produzione richiedono un accordo esplicito; i risultati degli ambienti di staging e produzione non devono essere presentati come intercambiabili.
È la stessa cosa di una scansione delle vulnerabilità?
No. Una scansione può supportare l’individuazione, ma un penetration test convalida le debolezze selezionate e le relative conseguenze nell’ambiente autorizzato. Il rapporto dovrebbe distinguere le osservazioni non verificate dai risultati dimostrati.
Un test di penetrazione dimostra la conformità?
I test negli ospedali dell’UE vanno considerati insieme alle norme nazionali NIS2 applicabili e agli obblighi di sicurezza del GDPR. Il piano d’azione europeo per la cibersicurezza nel settore sanitario fornisce il contesto settoriale. La sicurezza dei dispositivi medici e gli obblighi contrattuali dei fornitori richiedono una valutazione specifica. L’HIPAA statunitense si applica solo se l’organizzazione o il rapporto rientra nel suo ambito.
Quanto dura un incarico e quanto costa?
Durata e tariffe dipendono dall’ambito, dai ruoli, dai flussi di lavoro, dalle condizioni di accesso, dal coinvolgimento di terze parti e dalle esigenze di reportistica e ripetizione dei test. Questi aspetti vengono concordati in una proposta, anziché dedotti da un pacchetto generico.
Cosa riceveremo?
Un registro di copertura concordato, rilievi tecnici, evidenze, limiti dell’impatto e un piano di correzione. I retest e le ulteriori esercitazioni operative sono specificati nel capitolato.
L’esempio è un report reale di un cliente?
No. Hospital AG e tutti i sistemi, i partecipanti e i risultati sono fittizi. L’esempio illustra la rendicontazione tecnica senza esporre informazioni dei clienti.
Che cosa succede ai dati forniti per richiedere un esempio?
Atlant Security riceve la vostra richiesta tramite la propria casella aziendale, rende disponibile il download dal browser e può ricontattarvi in merito alla richiesta. Non verrete iscritti a comunicazioni di marketing. Consultate le informative sulla privacy e sui cookie.
Cosa dovremmo includere in una richiesta?
La sua organizzazione, il suo ruolo, una descrizione generale dei sistemi o dei flussi di lavoro, l'obiettivo e le tempistiche previste. Non invii cartelle cliniche, dati di pagamento, credenziali o informazioni di sicurezza riservate tramite il modulo pubblico.
