Red teaming på hospitaler og i sundhedssektoren: patientsikkerhed som fredet område

På et hospital er det ikke kun data og drift, der står på spil, hvis en øvelse går galt. Det er patienter i behandling. Svaret på, hvordan man alligevel kan øve realistisk, er at gøre patientsikkerheden til det første fredede område: intet, holdet gør, må forsinke, forstyrre eller ændre behandling, og alt andet i scope og stopregler bygges op omkring det. Grundlaget er sundhedslovens regler om patientoplysninger og utilsigtede hændelser, databeskyttelsesreglerne om helbredsoplysninger og den sunde fornuft hos de klinikere, der skal sidde med i planlægningen.

Det gør øvelsen anderledes end i en kontorvirksomhed, men det gør den ikke umulig. En modstander, der går efter et hospital, vil også gå efter administrationen, leverandørerne og de systemer, der binder det hele sammen.

Patientsikkerhed går forud for realisme

I en almindelig red team-øvelse accepterer bestilleren en vis risiko for forstyrrelse til gengæld for et realistisk billede. På et hospital er den byttehandel ikke den samme. En forsinket blodprøve, en utilgængelig medicinliste eller en alarm, der ikke når frem, kan få følger for en patient, og ingen øvelse er det værd.

Derfor skal den kliniske ledelse være med i beslutningen, ikke kun IT og sikkerhed. Den, der godkender øvelsen, skal forstå, hvilke afdelinger og funktioner der er i spil, og white team skal have en kliniker med erfaring fra driften, som kan vurdere, om en planlagt handling er forsvarlig. → Risikovurdering af selve øvelsen

Det, der fredes

Fredede områder på et hospital går ud over de systemer, der holdes ude i en øvelse i en kontorvirksomhed. De kan omfatte:

Medicinsk udstyr på netværket · infusionspumper, monitorer, scannere og laboratorieudstyr.
Kliniske systemer i brug · journalsystem, medicinmodul og systemer til prøvesvar, når de bruges i behandlingen.
Akutte funktioner · akutmodtagelse, operationsgang, intensiv og de telefonlinjer og kaldesystemer, der hører til.
Bygningsdrift · medicinske gasser, nødstrøm og adgangskontrol til områder med patienter.

Det betyder ikke, at holdet ikke må vise, at det kunne nå frem. Et flag kan godt være, at holdet har fået en konto, der har adgang til et klinisk system, uden at kontoen bruges. → Systemer, der ikke må røres

Journaler og helbredsoplysninger

Sundhedsloven giver patienten krav på, at sundhedspersoner tier om helbredsforhold, og lovens regler om opslag i elektroniske systemer knytter adgangen til behandling og andre bestemte formål. Helbredsoplysninger er desuden en særlig kategori af personoplysninger efter artikel 9 i databeskyttelsesforordningen. Et red team har ikke et behandlingsformål.

Planlæg derfor øvelsen, så holdet kan bevise adgang uden at åbne en journal. Beviset kan være et skærmbillede af en loginside, en liste over rettigheder eller en kontrolleret testpatient, som white team har oprettet. Aftal, hvad holdet gør, hvis det alligevel ser patientoplysninger: stopper, noterer det uden at gemme oplysningerne og melder det. Afklar med databeskyttelsesrådgiveren, hvordan øvelsen passer ind i jeres behandling af personoplysninger. → Persondata i øvelsen

Social engineering i et miljø, der skal hjælpe

Sundhedspersonalets opgave er at hjælpe og at handle hurtigt. Det kan gøre personalet sårbart over for en henvendelse, der lyder akut, og det er netop derfor, øvelsen skal være forsigtig. En opringning, der foregiver at handle om en patient i fare, kan trække en sygeplejerske væk fra en anden patient.

Gode rammer for den del af øvelsen kan være:

Ingen påskud om patienter · henvendelser må ikke bruge akutte patientsituationer som dække.
Ingen patienter eller pårørende som mål · de står helt uden for øvelsen. → Personer, der ikke må være mål
Administrative roller frem for kliniske · servicedesk, sekretariater og lønfunktion kan afprøves uden at forstyrre behandlingen.
Fysisk adgang uden for patientområder · kontorgange, serverrum og lagre frem for sengeafsnit.

Det giver et mindre realistisk billede af de kliniske afdelinger. Skriv det i rapporten som et bevidst valg. → Social engineering i en red team-øvelse

Døgndrift og stopregler

Et hospital har ikke en stille periode, hvor en øvelse kan køre uden at nogen er på arbejde. Om natten er bemandingen mindre, og en forstyrrelse kan være sværere at håndtere. Det taler for at lægge de mest risikable dele af øvelsen i dagtimerne på hverdage, hvor IT-vagten og den kliniske kontakt i white team er til stede.

Stopreglerne skal være skrevet, så både IT og klinikere kan bruge dem. Ethvert tegn på, at behandlingen kan være påvirket, er en grund til at stoppe straks og spørge bagefter. White team skal kunne nås hele døgnet, så længe holdet har adgang. → Stopregler

Hospitalets IT kan desuden blive drevet af en fælles organisation, der også betjener andre hospitaler. En stopregel, der kun gælder ét hospital, hjælper ikke, hvis holdet befinder sig i et system, som andre også bruger. Afgrænsningen skal derfor tage stilling til fælles systemer, og den fælles driftsorganisation skal vide, hvem i white team den kan ringe til.

Hvis øvelsen alligevel rammer driften

Efter sundhedslovens § 198 skal en sundhedsperson rapportere en utilsigtet hændelse, og begrebet omfatter hændelser, der kunne have været skadevoldende. Rammer øvelsen et system, som behandlingen afhænger af, kan det derfor ende som en rapport, der behandles i patientsikkerhedssystemet. Det skal ikke undgås ved at skjule øvelsen, men white team skal vide, hvordan forløbet håndteres.

Hospitaler kan også have pligt til at underrette om væsentlige hændelser efter NIS 2-loven, hvor sundhedstjenesteydere står i bilag 1, og offentlige og private sundhedstjenesteydere kan blive identificeret som kritiske enheder efter CER-loven. Aftal, hvordan white team hurtigt kan bekræfte, at en aktivitet er øvelsen. Hvordan en almindelig penetrationstest i en klinik planlægges, er beskrevet på penetrationtest.dk.

Det skal I lade være med

At planlægge øvelsen uden den kliniske ledelse · den bærer ansvaret for patienterne.
At bruge patienter i påskud · det kan forstyrre behandlingen og skade tilliden.
At lade holdet åbne journaler som bevis · adgang kan vises på andre måder.
At køre den risikable del om natten · bemandingen er mindst, når der skal reageres.
At kalde de kliniske afdelinger testet · hvis de var fredet, siger øvelsen ikke noget om dem.

Hvad kan og ikke kan konkluderes

Øvelsen kan vise, om en modstander kunne nå frem til systemer, som behandlingen afhænger af, og om IT, servicedesk og sikkerhedsfunktion opdagede det. Den kan ikke vise, hvordan medicinsk udstyr eller kliniske afdelinger ville reagere på et angreb, når de var fredet, og den siger ikke noget om, hvordan hospitalet lever op til sundhedsloven eller databeskyttelsesreglerne.

Tjekliste før en øvelse på et hospital

☐ Har den kliniske ledelse godkendt øvelsen?
☐ Er der en kliniker med driftserfaring i white team?
☐ Er medicinsk udstyr, akutte funktioner og bygningsdrift fredet?
☐ Kan holdet bevise adgang uden at åbne patientoplysninger?
☐ Er påskud om patienter og henvendelser til patienter og pårørende udelukket?
☐ Er de risikable dele lagt i tidsrum med fuld bemanding?
☐ Ved white team, hvordan en utilsigtet hændelse eller en underretning håndteres?