Pentesty systemów medycznych
Systemy medyczne projektowano dla sieci odciętych od internetu — DICOM bez uwierzytelniania, HL7 bez szyfrowania, niezałatane od lat serwery PACS. Dziś są online. Znajdziemy luki kontrolowanymi metodami, bez zatrzymywania pracy placówki. Dostajesz raport z priorytetami i roadmapę naprawy.
Czym są testy penetracyjne systemów medycznych?
Testy penetracyjne systemów medycznych to kontrolowane, świadome bezpieczeństwa pacjenta testy bezpieczeństwa kluczowych systemów placówki ochrony zdrowia — HIS, PACS, LIS — oraz protokołów medycznych DICOM, HL7 i FHIR, prowadzone metodami dostosowanymi do pracy w trybie 24/7, bez ryzyka przestoju opieki. nFlo stosuje podejście trójpoziomowe: od pasywnego rekonesansu, przez kontrolowane testy aktywne, po weryfikację eksploatacji poza systemami produkcyjnymi, dostarczając raport z priorytetyzowaną roadmapą naprawczą i opcjonalnym retestem.
Systemy medyczne projektowano dla sieci offline - dziś są w internecie
Testy penetracyjne dostosowane do specyfiki ochrony zdrowia
Pasywny rekonesans
Mapujemy systemy bez ingerencji w pracę
Bezpieczne testy
Metody dostosowane do pracy 24/7
Roadmapa naprawy
Priorytetyzacja luk i plan działań
Czym są Pentesty systemów medycznych?
Pentesty systemów medycznych to kontrolowane testy penetracyjne kluczowych systemów placówki ochrony zdrowia — HIS, PACS, LIS — oraz protokołów medycznych (DICOM, HL7, FHIR), przeprowadzane z uwzględnieniem ciągłości opieki nad pacjentem i bezpieczeństwa aparatury diagnostycznej.
| Atrybut | Wartość |
|---|---|
| Zakres | HIS, PACS, LIS, IoMT, integracje (DICOM, HL7, FHIR) |
| Dla kogo | Szpitale, przychodnie, laboratoria, sieci medyczne |
| Podejście | Nieinwazyjne, świadome bezpieczeństwa pacjenta |
| Standardy | OWASP Top 10, OWASP API Security, PTES, OSSTMM |
| Czas realizacji | 10-20 dni roboczych |
| Cena | od 30 000 PLN (stan na 2026) |
Obraz medyczny pacjenta dostępny z przeglądarki — bez hasła
Protokół DICOM, na którym opierają się szpitalne systemy obrazowania, zaprojektowano w czasach, gdy sieć radiologii była fizycznie odcięta od świata. Nie przewidziano uwierzytelniania ani szyfrowania — bo „wszyscy w sieci byli zaufani”. Cyfryzacja, teleradiologia i chmura zmieniły to bezpowrotnie: dziś badania 1,19 miliarda pacjentów są publicznie dostępne w internecie przez źle skonfigurowane serwery PACS. Wystarczy przeglądarka i adres IP.
Bez testów penetracyjnych systemów medycznych:
- Krytyczne luki pozostają nieznane do momentu wycieku danych lub ataku ransomware
- Standardowy pentest IT pomija protokoły medyczne, IoMT i specyfikę pracy 24/7
- Nie wiesz, czy systemy HIS, PACS i LIS są realnie odseparowane od internetu
- Brak priorytetyzacji — nie wiesz, którą lukę załatać najpierw
- Nie spełniasz wymogu NIS2 i ustawy o KSC w zakresie regularnych testów bezpieczeństwa
Pentesty bez ryzyka dla opieki nad pacjentem
Stosujemy metodologię dostosowaną do realiów ochrony zdrowia. Wiemy, które testy są bezpieczne dla systemu HIS w trakcie pracy oddziału, a które wymagają okna serwisowego lub środowiska testowego. Nie zatrzymujemy placówki.
Co dostajesz:
- Inwentaryzację systemów medycznych i protokołów integracyjnych (DICOM, HL7v2, FHIR)
- Testy bezpieczeństwa systemu HIS — uwierzytelnianie, kontrola dostępu, logika aplikacji
- Weryfikację ekspozycji serwerów PACS i bezpieczeństwa protokołu DICOM
- Testy systemów laboratoryjnych (LIS) i interfejsów wymiany danych
- Analizę bezpieczeństwa API FHIR i integracji HL7
- Weryfikację segmentacji sieci medycznej i izolacji urządzeń IoMT
- Raport z oceną ryzyka, priorytetyzacją i mapowaniem na wymogi NIS2
- Wsparcie przy wdrażaniu poprawek
- Opcjonalny retest po remediacji
Dla kogo?
Ta usługa jest dla Ciebie, jeśli jesteś:
- Szpitalem publicznym lub prywatnym (powiatowym, wojewódzkim, wielospecjalistycznym)
- Przychodnią lub centrum medycznym z systemem HIS
- Laboratorium diagnostycznym lub zakładem radiologii
- Siecią placówek medycznych lub podmiotem leczniczym objętym NIS2
- Dostawcą oprogramowania medycznego, który chce zweryfikować swój produkt przed wdrożeniem
Co testujemy w środowisku medycznym
HIS — Hospital Information System
Centralny system placówki — „mózg” całej operacji. Testujemy:
- Uwierzytelnianie i kontrolę dostępu opartą na rolach (RBAC)
- Logikę biznesową i podatności aplikacji webowej (OWASP Top 10)
- Bezpieczeństwo sesji i mechanizmów logowania
- Eskalację uprawnień między rolami (lekarz, pielęgniarka, administracja)
- Bezpieczeństwo bazy danych i dostęp do dokumentacji medycznej (EHR)
PACS i protokół DICOM
Systemy obrazowania to najczęściej wystawiony do internetu element infrastruktury medycznej. Testujemy:
- Ekspozycję serwerów PACS i węzłów DICOM (porty 104, 11112)
- Brak uwierzytelniania i transmisję danych w postaci jawnej
- Podatności znanych implementacji (DCMTK, Orthanc, Sante PACS)
- Możliwość pobrania badań i danych PII z tagów DICOM
- Ryzyko plików dual-personality (DICOM + plik wykonywalny)
LIS i protokoły HL7 / FHIR
Systemy laboratoryjne i interfejsy wymiany danych medycznych. Testujemy:
- Bezpieczeństwo transmisji HL7v2 over MLLP (brak uwierzytelniania i szyfrowania)
- Integralność wyników badań i odporność na manipulację
- API FHIR — kontrola dostępu, autoryzacja na poziomie obiektu (BOLA/IDOR)
- Implementację OAuth 2.0 i zakres tokenów (scope)
- Segregację danych między rekordami pacjentów
Urządzenia medyczne (IoMT)
Pompy infuzyjne, kardiomonitory, aparatura diagnostyczna. Testujemy nieinwazyjnie:
- Realną ekspozycję i izolację w sieci (VLAN, segmentacja)
- Domyślne hasła i niezabezpieczone usługi
- Niezaszyfrowaną komunikację i ryzyko podsłuchu
- Skuteczność mechanizmów kompensujących (NAC, monitoring anomalii)
Integracje i segmentacja
- Routing i firewalle między siecią administracyjną, medyczną i IoMT
- Magistrale integracyjne i silniki HL7 (interface engine)
- Dostęp zdalny i teleradiologia (VPN, RDP)
- Powierzchnia ataku po stronie dostawców (vendor access)
Nasza metodyka
Bezpieczeństwo pacjenta to priorytet
Pentesty systemów medycznych różnią się od testów IT — placówka pracuje bez przerwy, a aparatura diagnostyczna jest wrażliwa na nietypowy ruch sieciowy. Stosujemy podejście trójpoziomowe:
1. Pre-engagement
- Szczegółowe omówienie zakresu i ograniczeń
- Definiowanie „red lines” — systemów i urządzeń, których NIE testujemy aktywnie
- Plan komunikacji z zespołem IT i kierownictwem placówki
- Okno serwisowe i procedury alarmowe
2. Pasywny rekonesans (Tier 1)
- Inwentaryzacja systemów, protokołów i powierzchni ataku
- Analiza ruchu sieciowego bez wysyłania pakietów
- Przegląd dokumentacji i konfiguracji
- Bezpieczne dla pracy placówki: TAK
3. Kontrolowane testy aktywne (Tier 2)
- Skanowanie i weryfikacja podatności (CVE)
- Testy uwierzytelniania, autoryzacji i logiki aplikacji
- Analiza protokołów DICOM, HL7 i API FHIR
- Wymaga: koordynacji z zespołem IT, okna serwisowego
4. Weryfikacja eksploatacji (Tier 3)
- Kontrolowane potwierdzenie wybranych podatności
- Realizacja na środowisku testowym lub kopii systemu
- Wymaga: izolacji lub środowiska nieprodukcyjnego
5. Raport i remediation
- Szczegółowy raport z oceną ryzyka i priorytetyzacją
- Mapowanie wyników na wymogi NIS2 i ustawy o KSC
- Warsztat z zespołem placówki
- Opcjonalny retest po wdrożeniu poprawek
Powiązane pojęcia
Dowiedz się więcej o kluczowych pojęciach związanych z tą usługą:
Skontaktuj się z opiekunem
Porozmawiaj o Pentesty systemów medycznych z dedykowanym opiekunem handlowym.
Jak pracujemy
Sprawdzony proces realizacji usługi.
Kick-off
Definiujemy zakres, systemy krytyczne i zasady bezpieczeństwa
Pasywny rekonesans
Inwentaryzacja systemów i protokołów medycznych bez ingerencji
Kontrolowane testy
Bezpieczna weryfikacja podatności HIS, PACS, LIS
Raport
Szczegółowy raport z oceną ryzyka i priorytetami
Retest
Weryfikacja wdrożonych poprawek
Korzyści dla Twojej firmy
Co zyskujesz wybierając tę usługę.
Znajdź luki pierwszy
Zanim zrobi to atakujący lub ransomware
Zgodność z NIS2 i KSC
Spełniasz wymóg corocznych testów bezpieczeństwa
Ochrona pacjentów
Chronisz dane medyczne i ciągłość opieki
Niższe ryzyko kar
Unikasz kar RODO za wyciek danych medycznych
Powiązane artykuły
Pogłęb swoją wiedzę z naszej bazy wiedzy.
Bezpieczeństwo OT/ICS w energetyce — dlaczego podejście znane z IT tu nie działa
Sieci sterowania w energetyce rządzą się inną logiką niż systemy biurowe — tu liczy się ciągłość procesu, a nie poufność danych. Pokazujemy, dlaczego narzędzia i odruchy przeniesione z IT zawodzą w środowisku OT i jak budować ochronę zgodną z IEC 62443 oraz wymaganiami KSC/NIS2.
Czytaj więcej →NIS2 w energetyce: od „audytu na papierze" do realnej odporności opartej na ryzyku
Spełnienie wymagań NIS2 to nie wypełniona checklista, lecz żywy program zarządzania ryzykiem. Wyjaśniamy, czym różni się zgodność „na papierze" od realnej odporności i jak operator energetyczny ma ustalać priorytety, gdy nie da się zabezpieczyć wszystkiego naraz.
Czytaj więcej →Podmiot kluczowy w energetyce — checklista obowiązków KSC/NIS2 i kluczowe terminy
Sektor energetyczny należy do podmiotów kluczowych w rozumieniu KSC/NIS2 — z najwyższym poziomem nadzoru i wymagań. Zebraliśmy obowiązki organizacyjne, techniczne i raportowe w jedną praktyczną checklistę wraz z kluczowymi terminami, od których warto zaplanować działania.
Czytaj więcej →Najczęściej zadawane pytania
Odpowiedzi na pytania dotyczące Pentesty systemów medycznych.
Ile kosztują pentesty systemów medycznych?
Mała przychodnia (HIS i podstawowa infrastruktura): 30 000-50 000 PLN. Szpital powiatowy (HIS, PACS, LIS, integracje): 60 000-110 000 PLN. Duży szpital wielospecjalistyczny lub sieć placówek: 140 000+ PLN. Cena obejmuje testy, raport oraz prezentację wyników.
Czy testy mogą zakłócić pracę szpitala?
Nie. Rekonesans i analiza pasywna nie ingerują w systemy. Testy aktywne uzgadniamy z zespołem IT placówki - w oknie serwisowym lub na środowisku testowym. Eksploatację potwierdzającą podatność prowadzimy poza systemami produkcyjnymi. Masz pełną kontrolę nad zakresem.
Czym pentest systemów medycznych różni się od zwykłego pentestu aplikacji?
Standardowy pentest aplikacji webowej nie obejmuje protokołów medycznych (DICOM, HL7, FHIR), urządzeń IoMT ani specyfiki pracy 24/7. Testujemy je metodami świadomymi bezpieczeństwa pacjenta - nie generujemy ruchu, który mógłby zaburzyć pracę aparatury diagnostycznej.
Co z urządzeniami medycznymi, których nie można aktualizować?
Testujemy je nieinwazyjnie i weryfikujemy realną ekspozycję - czy są odseparowane w osobnej sieci VLAN, jakie usługi wystawiają, czy mają domyślne hasła. Tam gdzie nie da się załatać podatności, rekomendujemy mechanizmy kompensujące: segmentację, kontrolę dostępu NAC i monitoring anomalii.
Jak często powtarzać pentesty systemów medycznych?
Zalecamy co 12 miesięcy oraz po istotnych zmianach (nowy system HIS, integracja, migracja danych). NIS2 i znowelizowana ustawa o KSC wymagają od szpitali regularnych testów bezpieczeństwa - minimum raz w roku.