Penetraatiotestaus terveysteknologian alustoille

Testaus potilaan kirjautumisesta vastaanottoon

Testaamme potilasportaaleja, etävastaanotto- ja mobiilisovelluksia sekä terveystietojen API-rajapintoja. Lääkinnälliset laitteet ja niiden laiteohjelmistot eivät kuulu testauksen laajuuteen.

Kun potilaille tai terveydenhuollon ammattilaisille tarkoitettu mobiilisovelluksesi tukeutuu alustan API-rajapintoihin, voimme testata molemmat samassa testausprojektissa. Sovimme testauksen laajuuden määrittelyssä, mitkä sovellukset ja päätepisteet kuuluvat testaukseen.

Kun sairaalat, sairausvakuutusyhtiöt ja kumppanit arvioivat alustaa

Kun sairaala, sairausvakuutusyhtiö tai kumppani arvioi alustaa, se saattaa pyytää testaamaan sovellukset, joita se aikoo käyttää tai joihin se aikoo muodostaa yhteyden.

Voit antaa raportin näyttöaineistoksi auditoijillesi, valvontaviranomaisillesi ja asiakkaillesi. Kukin päättää itse, mitä hyväksyy.

Raporttimme sisältävät johdon yhteenvedon, työn laajuuden, testaustyypin ja testausmenetelmät, metodologian, riskin laskentatavan, yhteenvedon löydöksistä, kunkin löydöksen yksityiskohtaiset tulokset ja johtopäätökset.

Voit pyytää verkkosovelluksen penetraatiotestin malliraportin yhteydenottolomakkeella tai sähköpostitse.

Testauksen sovittaminen potilaille suunnattuihin palveluihin

1. Valitse potilaiden ja terveydenhuollon ammattilaisten työnkulut
   Aloitamme jokaisen testin suunnittelulla. Sovimme testauksen laajuudesta, testattavista järjestelmistä ja säännöistä häiriöiden välttämiseksi. Määrittelemme jokaisen testin laajuuden kanssasi testauksen määrittelykyselyn avulla tai testauksen määrittelytapaamisessa. Molemmissa käymme läpi samat kysymykset.
   
   Sovimme potilasportaalisi, vastaanottosovelluksesi tai terveystietojen API-rajapintasi testaustyypistä samalla, kun määrittelemme testauksen laajuuden. Vaihtoehtoina ovat black box -testaus, gray box -testaus ja white box -testaus.
2. Ympäristövaihtoehdot
   Testaamme sekä tuotantokäytössä olevia järjestelmiä että esituotantoympäristöjä. Noin 70 % testeistämme tehdään tuotantokäytössä olevissa järjestelmissä ja 30 % esituotantoympäristöissä.
3. Huomioi ajanvaraukset ja videovastaanotot
   Kun suunnittelet tuotantokäytössä olevien potilaspalvelujen testausta, ota huomioon ajanvarauksen ja videovastaanottojen toiminta-ajat.
   
   Testaamme hallituissa olosuhteissa ja noudatamme sovittuja testauksen sääntöjä. Sovitamme aikataulun liiketoimintasi tarpeisiin.
4. Testauksen kesto projektisuunnitelmassa
   Testaus kestää projektista riippuen muutamasta päivästä muutamaan viikkoon, keskimäärin 1–2 viikkoa.
5. Kysy vapaita aikoja
   Aloitusajankohta riippuu tämänhetkisestä aikataulustamme. Jos tarvitset testauksen nopeammin, ota yhteyttä. Teemme parhaamme, jotta voimme vastata aikataulutoiveeseesi.

Raportti ja uusintatestaus

Jokaisessa raportissa luetellaan löydetyt haavoittuvuudet, niiden riskitasot ja korjausohjeet. Penetraatiotestin raportissa kuvaamme myös testauksessa osoitetut haavoittuvuuksien hyödyntämismenetelmät ja esitämme toimintasuunnitelman tärkeysjärjestyksessä.

Dokumentoimme terveydenhuollon alustan testin 20–100+ sivun raporttiin. Määritämme jokaiselle löydökselle vakavuusasteen, myös silloin, kun löydös koskee potilaan kirjautumista, ajanvarausta tai vastaanottoja.

Kun olet korjannut löydökset, testaamme ne uudelleen.

Uusintatestaus kattaa vain löydökset, ei koko sovellusta. Sen hinta on yleensä mukana samassa tarjouksessa kuin testin hinta. Uusintatestauksen aikaikkuna on noin 4 viikkoa. Testaus voi onnistua aiemminkin, jos olet jo korjannut löydökset ja aikataulussamme on tilaa.

Kokemus ja menetelmät

Meillä on yli 7 vuoden kokemus testaamisesta. Olemme tänä aikana kartuttaneet laajaa asiantuntemusta verkkosovelluksista ja verkkosivustoista, verkkokauppa-alustoista, mobiilisovelluksista, API-rajapinnoista ja SaaS-ratkaisuista.

Voimme noudattaa penetraatiotesteissä OWASPin, ISSAFin, PTES:n tai OSSTMM:n menetelmiä pyynnöstäsi tai suosituksemme perusteella. Sovimme noudatettavista menetelmistä ja niiden kattavuudesta testauksen laajuuden määrittelyssä.

Käytämme testauksessa Burp Suitea, manuaalista testausta ja omia työkalujamme.

Testaajillamme on muun muassa seuraavia sertifikaatteja: PNPT, eCPPTv2, CAP, CompTIA PenTest+ ja CompTIA Security+. Testaajamme ovat myös julkaisseet tutkimusta, johon sisältyy viisi CVE:tä.

Usein kysytyt kysymykset

Kuinka laajasti testi voi kattaa potilasportaalimme ja etävastaanottoalustamme?

Terveydenhuollon alustan testaus voi kattaa potilasportaalit, ajanvarauksen, etävastaanottosovellukset, mobiilisovellukset sekä FHIR- ja HL7-API-rajapinnat. Tutkimme näissä sovelluksissa ja API-rajapinnoissa todentamista, istuntojen käsittelyä, pääsynhallintaa, vähimpien oikeuksien periaatetta ja tietojen paljastumista.

Tarkistamme muun muassa, voiko terveydenhuollon ammattilainen yhä avata vastaanoton merkinnät sen jälkeen, kun kyseinen vastaanotto on poistettu hänen vastuultaan.

Kuuluvatko lääkinnälliset laitteet testaukseenne?

Testaamme potilasportaaleja, etävastaanotto- ja mobiilisovelluksia sekä terveystietojen API-rajapintoja. Lääkinnälliset laitteet ja niiden laiteohjelmistot eivät kuulu testauksen laajuuteen.

Voisiko sama testi kattaa potilaiden mobiilisovelluksemme ja sen kutsuman API-rajapinnan?

Voimme testata potilaan tai terveydenhuollon ammattilaisen mobiilisovelluksen ja sen käyttämät ajanvaraus- ja vastaanotto-API-rajapinnat samassa testausprojektissa. Testauksen laajuuden määrittelyssä sovimme ennen testauksen alkua, mitkä mobiilisovelluksen toiminnot ja API-rajapinnat kuuluvat testaukseen.

Sairaala tai sairausvakuutusyhtiö on pyytänyt raporttia alustamme arvioinnin yhteydessä. Mitä raportti sisältää?

Voit antaa raportin näyttöaineistoksi auditoijillesi, valvontaviranomaisillesi ja asiakkaillesi. Kukin päättää itse, mitä hyväksyy.

Jokaisessa raportissa luetellaan löydetyt haavoittuvuudet, niiden riskitasot ja korjausohjeet. Penetraatiotestin raportissa kuvaamme myös testauksessa osoitetut haavoittuvuuksien hyödyntämismenetelmät ja esitämme toimintasuunnitelman tärkeysjärjestyksessä.

Keskustelemme tietoturvasta sairaala-asiakkaamme kanssa. Edellyttääkö NIS2 penetraatiotestiä?

Jos sairaala-asiakkaasi tai muu terveydenhuollon asiakkaasi kuuluu NIS2-direktiivin soveltamisalaan, NIS2-direktiivissä todetaan testauksesta seuraavaa:

EU:ssa NIS2-direktiivin 21 artiklan 2 kohdan f alakohta edellyttää, että keskeisten ja tärkeiden toimijoiden kyberturvallisuusriskien hallintatoimenpiteisiin sisältyvät toimintaperiaatteet ja menettelyt, joilla toimenpiteiden tehokkuutta arvioidaan. NIS2 ei edellytä nimenomaisesti penetraatiotestiä. Testi on yksi tapa tuottaa tätä näyttöaineistoa.

Edellyttääkö GDPR potilasportaalimme, etävastaanottosovelluksemme tai terveystietojen API-rajapintojemme penetraatiotestiä?

GDPR:n 32 artiklan 1 kohta edellyttää, että rekisterinpitäjät ja henkilötietojen käsittelijät toteuttavat tarvittaessa turvatoimia. Yksi niistä on menettely, jolla turvatoimien tehokkuutta testataan, tutkitaan ja arvioidaan säännöllisesti (d alakohta; UK GDPR sisältää saman tekstin). Penetraatiotesti on yksi tapa esittää näyttöaineistoa tästä menettelystä niiden järjestelmien osalta, jotka testi kattaa.

Voisiko testaus keskeyttää potilaan ajanvarauksen tai videovastaanoton tuotantokäytössä olevalla alustallamme?

Testaamme hallituissa olosuhteissa ja noudatamme sovittuja testauksen sääntöjä. Sovitamme aikataulun liiketoimintasi tarpeisiin.

Kun suunnittelemme testiä, kerro, milloin potilaat varaavat aikoja ja milloin terveydenhuollon ammattilaiset pitävät videovastaanottoja.

Minkä tietojen perusteella potilasportaalin tai etävastaanottopalvelun pentestin hinta määräytyy?

Potilasportaalin tai etävastaanottopalvelun testin hinnoitteluun tarvitsemme neljä lähtötietoa: aikataulusi, ympäristön monimutkaisuuden, testaustyypin ja testattavien järjestelmien tai sovellusten määrän.

Kun laadit terveydenhuollon alustasi budjettia, saat lisätietoa yleisistä hinnoittelua ja testin suunnittelua koskevista kysymyksistä.

Onko potilasportaalimme skannaus sama asia kuin yritys hyödyntää sen haavoittuvuuksia?

Haavoittuvuuksien arvioinnissa skannaamme järjestelmäsi Burp Suitella. Asiantuntija todentaa skannauksen löydökset ja asettaa ne tärkeysjärjestykseen. Penetraatiotestissä testaajat myös yrittävät hyödyntää löytämiään haavoittuvuuksia ja osoittaa niiden vaikutukset.

Kun päätät, miten arvioit potilasportaaliasi, aloita tutustumalla palvelukuvauksiin: haavoittuvuuksien arviointi ja penetraatiotestaus.

Aiheeseen liittyvät palvelut

• Verkkosovelluksen tietoturvatestaus
• Mobiilisovelluksen tietoturvatestaus
• API-turvallisuustestaus
• Penetraatiotestaus
• Haavoittuvuuksien arviointi