Che cosa rientra nell’ambito?
Due preventivi sono confrontabili solo se coprono lo stesso lavoro. Per un penetration test ospedaliero, elencate le reti cliniche, le integrazioni EHR/PACS e la manutenzione remota, definendo anche i ruoli, gli ambienti e le operazioni aziendali da testare. Specificate quali evidenze vi aspettate, quali azioni sono vietate e se la richiesta include un nuovo test.
Associare i servizi alle dipendenze
Una sessione di assistenza amministrativa può estendersi da un broker di accesso del fornitore alla gestione del ripristino. Anche un backup funzionante può dipendere da un provider di identità non disponibile prima che sia possibile utilizzare un’applicazione clinica ripristinata. Colleghiamo questi dettagli tecnici a un perimetro di servizio concordato.
Elencare prima i servizi aziendali o assistenziali, quindi mappare le applicazioni, i sistemi di identità, le reti e i fornitori che li supportano. Registrare quale responsabile può autorizzare ciascun componente. Il solo numero di domini non descrive i limiti di autorizzazione né le conseguenze operative.
Preparate ruoli e dati rappresentativi
Fornire identità dedicate con ruoli documentati e autorizzazioni attese note. Utilizzare più di un tenant, cliente o unità organizzativa quando i confini rientrano nell’obiettivo. Contrassegnare gli oggetti canary affinché chi esegue i test e i responsabili possano distinguerli dai record reali.
Selezioni le aree di valutazione
- Test di segmentazione delle reti cliniche: Un diagramma di rete documenta l’architettura prevista. Gli ambienti ospedalieri richiedono evidenze dei percorsi effettivi da origine a destinazione, comprese le eccezioni legacy e i servizi condivisi necessari per le operazioni cliniche.
- Test delle integrazioni EHR, PACS e cliniche: Interfacce utente, motori di integrazione e servizi di archiviazione possono applicare autorizzazioni diverse. L’ambito deve specificare se il test copre l’applicazione, l’infrastruttura, un’integrazione o tutti e tre.
- Test dei percorsi ransomware e del ripristino ospedaliero: La preparazione contro il ransomware va oltre la verifica che un’attività di backup sia stata completata correttamente. Ruoli di ripristino con privilegi eccessivi, sessioni di supporto persistenti e dipendenze di identità mancanti possono compromettere un piano di ripristino altrimenti solido.
Concordare le condizioni di test
Concordare le condizioni di arresto con le attività cliniche e l’ingegneria biomedica. Escludere modifiche ai trattamenti e l’interrogazione attiva di dispositivi sensibili, salvo approvazione esplicita. Per ogni finestra di test, utilizzare un flusso clinico canary, frequenze controllate e una persona reperibile nominativamente designata con potere decisionale.
- Origini dei test, destinazioni e interfacce consentite designate.
- Finestre temporali, limiti di frequenza e metodi esclusi approvati.
- Consenso delle terze parti, referenti per il controllo e autorità di arresto.
- Responsabilità per la gestione delle evidenze, la pulizia, la rendicontazione e le verifiche di retest.
Rendere visibili le modifiche
Registrare i rilasci, i nuovi percorsi e le modifiche alle autorizzazioni durante il test. Se un percorso imprevisto raggiunge un sistema al di fuori dell’ambito autorizzato, sospendere il test e chiarire l’ambito con il responsabile decisionale designato. Indicare le dipendenze non testate nella dichiarazione finale di copertura.
Preparare un brief prima della chiamata di definizione dell’ambito
Iniziate dai servizi ospedalieri che devono restare disponibili e dai confini che desiderate valutare. Rendete esplicite le esclusioni, le dipendenze dai fornitori e l’autorità clinica di interrompere i test prima di ampliare l’ambito tecnico.
Utilizzi il generatore gratuito di documenti di definizione dell’ambito per test di penetrazione ospedaliera per indicare obiettivi, aree di valutazione, vincoli e preferenze relative all’NDA. Riveda l’ambito proposto, quindi lo invii direttamente ad Atlant Security tramite il modulo di contatto.
