Testy bezpieczeństwa systemów medycznych i aplikacji pacjenta

Tak, ale test środowiska dostawcy wymaga jego zgody albo zmieszczenia się w zasadach testów, które dostawca określa dla klientów. Bez tego testujemy to, czym dysponuje placówka: konfigurację jej konta w usłudze, integracje i API po jej stronie oraz aplikacje, z których korzystają pacjenci. Zakres i zgody ustalamy przed startem, a pismo do dostawcy pomagamy przygotować.

Nie. Odczyt cudzego wyniku wykazujemy na dwóch fikcyjnych pacjentach: z konta pierwszego pobieramy wynik drugiego, więc nie trzeba otwierać rekordu żadnej prawdziwej osoby. Jeśli zakres obejmuje produkcję, podatność potwierdzamy minimalnym, bezpiecznym dowodem.

Tak, jako dowód, że zabezpieczenia techniczne portalu i jego API sprawdzono w praktyce: raport pokazuje, jakie podatności znaleziono, kiedy je usunięto i czy retest to potwierdził. Audyt z art. 15 dotyczy jednak bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi (art. 15 ust. 1), a portal jest tylko jego częścią - raport z testu to dla audytora jeden z materiałów, a nie zamiennik audytu. Więcej: NIS2 i KSC w szpitalach.

Nie, sama podatność znaleziona w teście nie jest jeszcze naruszeniem. Pytanie o zgłoszenie pojawia się dopiero wtedy, gdy ślady w logach wskazują, że ktoś wykorzystał lukę przed testem - termin 72 godzin liczy się wtedy od stwierdzenia naruszenia (art. 33 ust. 1 RODO). W raporcie wskazujemy okres, za który warto przejrzeć logi, i zdarzenia świadczące o wykorzystaniu luki, a decyzję o zgłoszeniu podejmuje administrator danych.

Tak. Konto opiekuna, rodzica małoletniego pacjenta albo osoby upoważnionej to w teście osobna rola. Sprawdzamy, czy widzi ono wyłącznie wyniki i wizyty swoich podopiecznych, czy zmiana identyfikatora podopiecznego w żądaniu nie otwiera danych innego pacjenta i czy cofnięcie upoważnienia w placówce od razu odcina dostęp w portalu i w aplikacji. Do testu potrzebne są co najmniej dwie pary kont testowych - opiekun A z podopiecznym A oraz opiekun B z podopiecznym B - tak aby sprawdzić, czy opiekun B nie dotrze do danych podopiecznego A.

Termin dopasowujemy do rytmu placówki. Portal wyników i e-rejestrację sprawdzamy na środowisku testowym albo poza godzinami, w których pacjenci najczęściej pobierają wyniki, a prace przy systemie laboratoryjnym i jego integracjach - w oknie serwisowym uzgodnionym z dostawcą. Daty startu, testów, raportu i retestu wpisujemy do oferty.