Tervishoiu läbistustestimine terviseplatvormidele

Testimine patsiendi sisselogimisest konsultatsioonini

Testime patsiendiportaale, telemeditsiini- ja mobiilirakendusi ning terviseandmete API-sid. Meditsiiniseadmed ja nende püsivara ei kuulu testimise ulatusse.

Kui teie patsiendi või klinitsisti mobiilirakendus kasutab platvormi API-sid, saame testida mõlemaid ühe testimisprojekti raames. Testimise ulatuse määratlemisel selgitatakse välja, millised rakendused ja otspunktid kaasatakse.

Kui haiglad, tervisekindlustusandjad ja partnerid vaatavad platvormi üle

Platvormi ülevaatuse käigus võib haigla, tervisekindlustusandja või partner soovida nende rakenduste testimist, mida ta kavatseb kasutada või millega liidestuda.

Aruanne on tõendusmaterjal, mille saate esitada oma audiitoritele, järelevalveasutustele ja klientidele. Nemad otsustavad, mida aktsepteerivad.

Meie aruanded sisaldavad juhtkokkuvõtet, töö ulatust, testi liiki ja meetodeid, metoodikat, riski arvutamise viisi, leidude kokkuvõtet, iga leiu üksikasjalikke tulemusi ja lõppjäreldust.

Meie veebirakenduse läbistustesti näidisaruannet saate küsida kontaktivormi kaudu või e-posti teel.

Testimise korraldamine patsientidele suunatud teenuseid arvestades

1. Valige patsientide ja klinitsistide töövood
   Iga test algab planeerimisest: lepime kokku testimise ulatuse, testitavad süsteemid ja reeglid häirete vältimiseks. Määratleme iga testi ulatuse koos teiega kas testimise ulatuse küsimustiku abil või testimise ulatuse määratlemise kohtumisel, kus esitame samad küsimused.
   
   Teie patsiendiportaali, konsultatsioonirakenduse või terviseandmete API testimise liik lepitakse kokku testimise ulatuse määratlemisel: musta kasti, halli kasti või valge kasti testimine.
2. Keskkonna valikud
   Testime nii töös olevaid süsteeme kui ka eeltoodangukeskkondi. Ligikaudu 70% meie testidest toimub töös olevates süsteemides ja 30% eeltoodangukeskkondades.
3. Arvestage broneeringute ja videokonsultatsioonidega
   Töös olevate patsientidele suunatud teenuste testimist planeerides arvestage vastuvõtuaegade broneerimise ja videokonsultatsioonide aegadega.
   
   Testimine toimub kontrollitud tingimustes ja kokkulepitud testimise reeglite järgi. Koostame ajakava teie ärivajadusi arvestades.
4. Kestus teie projektiplaanis
   Testimine kestab olenevalt projektist mõnest päevast mõne nädalani. Keskmine testimisperiood on 1–2 nädalat.
5. Küsige meie ajakavas vaba aega
   Testimise algus sõltub meie praegusest ajakavast. Kui vajate testimist varem, võtke meiega ühendust ja teeme oma parima, et teie soovile vastu tulla.

Aruanne ja järeltest

Igas aruandes loetletakse leitud haavatavused, määratakse igaühe riskitase ja kirjeldatakse parandussamme. Läbistustesti aruandes esitatakse ka testimisel demonstreeritud haavatavuste ärakasutamise meetodid ja tähtsuse järjekorda seatud tegevuskava.

Terviseplatvormi test dokumenteeritakse 20–100+ leheküljel. Igale leiule määratakse raskusaste, sealhulgas patsiendi sisselogimist, vastuvõtuaja broneerimist või konsultatsioone puudutavatele leidudele.

Kui olete leidudega seotud haavatavused parandanud, testime neid uuesti.

Järeltest hõlmab ainult leide, mitte kogu rakendust. Järeltesti hind esitatakse tavaliselt testiga samas pakkumises. Järeltesti ajavahemik on umbes 4 nädalat. Kui olete leidudega seotud haavatavused varem parandanud ja meie ajakavas on vaba aeg, saab järeltesti teha varem.

Kogemus ja metoodika

Üle 7 aasta kogemust testimises on andnud meile ulatuslikud teadmised veebirakendustest ja veebilehtedest, e-kaubanduse platvormidest, mobiilirakendustest, API-dest ning SaaS-i lahendustest.

Meie läbistustestid võivad teie soovil või meie soovitusel järgida OWASP-i, ISSAF-i, PTES-i või OSSTMM-i. Selle, mida järgime ja kui suures ulatuses seda rakendame, lepime kokku testimise ulatuse määratlemisel.

Testimisel kasutame Burp Suite’i, käsitsi testimist ja oma tööriistu.

Meie läbistustestijatel on muu hulgas sertifikaadid PNPT, eCPPTv2, CAP, CompTIA PenTest+ ja CompTIA Security+ ning nende avaldatud uurimistöö hõlmab viit CVE-d.

Korduvad küsimused

Kui suure osa meie patsiendiportaalist ja telemeditsiiniplatvormist saab test hõlmata?

Terviseplatvormi testi ulatus võib hõlmata patsiendiportaale, vastuvõtuaegade planeerimist, telemeditsiinirakendusi, mobiilirakendusi ning FHIR-i ja HL7 API-sid. Kontrollid käsitlevad autentimist, seansihaldust, pääsukontrolli, vähimate õiguste põhimõtet ja andmete paljastumist nendes rakendustes ja API-des.

Ühe kontrolliga uuritakse, kas klinitsist, kellele konsultatsioon enam määratud ei ole, saab endiselt avada selle konsultatsiooni märkmeid.

Kas meditsiiniseadmed kuuluvad teie testimise ulatusse?

Testime patsiendiportaale, telemeditsiini- ja mobiilirakendusi ning terviseandmete API-sid. Meditsiiniseadmed ja nende püsivara ei kuulu testimise ulatusse.

Kas üks test võiks hõlmata nii meie patsiendi mobiilirakendust kui ka API-t, mille poole see pöördub?

Patsiendi või klinitsisti rakenduse vastuvõtuaegade ja konsultatsioonide API-sid saab testida koos mobiilirakendusega ühe testimisprojekti raames. Enne testimise algust lepitakse testimise ulatuse määratlemisel kokku kaasatavad mobiilirakenduse funktsioonid ja API-d.

Mida sisaldab aruanne, mida haigla või tervisekindlustusandja on meie platvormi ülevaatuse käigus küsinud?

Aruanne on tõendusmaterjal, mille saate esitada oma audiitoritele, järelevalveasutustele ja klientidele. Nemad otsustavad, mida aktsepteerivad.

Igas aruandes loetletakse leitud haavatavused, määratakse igaühe riskitase ja kirjeldatakse parandussamme. Läbistustesti aruandes esitatakse ka testimisel demonstreeritud haavatavuste ärakasutamise meetodid ja tähtsuse järjekorda seatud tegevuskava.

Kas NIS2 nõuab läbistustesti, kui arutame turvalisust oma kliendiks oleva haiglaga?

Kui teie kliendiks olev haigla või muu tervishoiuvaldkonna klient kuulub direktiivi NIS2 kohaldamisalasse, käsitleb NIS2 testimist järgmiselt:

EL-is nõuab direktiivi NIS2 artikkel 21(2)(f), et elutähtsate ja oluliste üksuste küberturvalisuse riskijuhtimismeetmed hõlmaksid põhimõtteid ja menetlusi nende tõhususe hindamiseks. Direktiivis NIS2 ei ole läbistustesti eraldi nimetatud nõutava testina. Test on üks võimalus sellise tõendusmaterjali esitamiseks.

Kas GDPR nõuab meie patsiendiportaali, telemeditsiinirakenduse või terviseandmete API-de läbistustesti?

Turvameetmete hulgas, mida GDPR-i artikli 32(1) kohaselt tuleb vastutavatel ja volitatud töötlejatel asjakohasel juhul rakendada, on nende meetmete tõhususe korrapärase testimise, analüüsimise ja hindamise protsess (punkt (d); UK GDPR sisaldab sama sõnastust). Läbistustest on üks võimalus esitada selle protsessi kohta tõendusmaterjali testiga hõlmatud süsteemide puhul.

Kas testimine võib meie töös oleval platvormil katkestada patsiendi vastuvõtuaja broneerimise või videokonsultatsiooni?

Testimine toimub kontrollitud tingimustes ja kokkulepitud testimise reeglite järgi. Koostame ajakava teie ärivajadusi arvestades.

Testi planeerimisel öelge meile, millal patsiendid vastuvõtuaegu broneerivad ja millal klinitsistid videokonsultatsioone peavad.

Millised andmed määravad patsiendiportaali või telemeditsiinirakenduse pentesti hinna?

Patsiendiportaali või telemeditsiinirakenduse testi hinna määramisel lähtume neljast tegurist: teie ajakava, keskkonna keerukus, testimise liik ning testimise ulatusse kuuluvate süsteemide või rakenduste arv.

Terviseplatvormi eelarvet koostades leiate lisateavet korduvatest küsimustest hinna ja testi planeerimise kohta.

Kas meie patsiendiportaali skannimine on sama mis katse selle haavatavusi ära kasutada?

Haavatavuste hindamisel skannitakse teie süsteeme Burp Suite’iga ning ekspert kontrollib skannimise leide ja seab need tähtsuse järjekorda. Läbistustest läheb kaugemale: läbistustestijad püüavad leitud haavatavusi ära kasutada ja näitavad teile nende mõju.

Otsustades, kuidas oma patsiendiportaali hinnata, alustage järgmiste teenuste kirjeldustest: haavatavuste hindamise teenus ja läbistustestimise teenus.

Seotud teenused

• Veebirakenduse turvalisuse testimine
• Mobiilirakenduse turvalisuse testimine
• API turvalisuse testimine
• Läbistustestimine
• Haavatavuste hindamine