Nasze usługi składają się z trzech obszarów: testów penetracyjnych systemów EHR, sieci urządzeń medycznych i portali pacjentów; testów red team symulujących atakujących; projekty purple team łączące testy ofensywne z weryfikacją wykrywania. Skupiamy się wyłącznie na bezpieczeństwie ofensywnym - przeprowadzamy testy najwyższej jakości zamiast rozmywać kompetencje na usługi defensywne. Każdy projekt dostosowujemy do twojej infrastruktury medycznej, profilu ryzyka i celów bezpieczeństwa.

Otrzymasz raport techniczny dokumentujący wszystkie luki wraz z opisem exploitów, oceną CVSS i proof-of-concept pokazującymi zagrożone systemy i dane pacjentów. Raport zawiera executive summary dla zarządu, szczegółowe opisy techniczne każdej luki oraz klasyfikację według ryzyka dla operacji medycznych i danych PHI. W przypadku red teamu dodatkowo dokumentujemy czas wykrywania przez SOC, ocenę reakcji na incydent oraz rekomendacje wzmocnienia monitoringu.

Określamy precyzyjnie zasady zaangażowania przed startem testów- zakres, metody, plan awaryjny. Wszystko w koordynacji z zespołem odpowiedzialnym za bezpieczeństwo. Testujemy przede wszystkim na środowiskach odtworzonych, działania na produkcji przeprowadzamy jedynie w razie konieczności lub prośby zamawiającego, stosując metody minimalizujące ryzyko dla danych PHI i operacji.

Odkryliśmy i opublikowaliśmy ponad 150 podatności (CVE) w oprogramowaniu korporacyjnym, w tym w systemach wdrożonych w sektorze medycznym. Przeprowadzamy inżynierię wsteczną platform EHR i systemów medycznych. Szukamy błędów logicznych w przetwarzaniu danych pacjentów oraz luk w mechanizmach uwierzytelniania. Identyfikujemy też podatności wykorzystywane przez grupy ransomware. Rozumiemy architekturę systemów medycznych, protokoły wymiany danych klinicznych i sposoby, w jakie atakujący celują w organizacje ochrony zdrowia.

Tak. AFINE posiada certyfikat ISO 27001 w zakresie zarządzania bezpieczeństwem informacji. Oznacza to, że nasze wewnętrzne procesy bezpieczeństwa, przetwarzanie danych i ochrona informacji klientów spełniają międzynarodowe standardy. Kiedy udostępniasz nam wrażliwe szczegóły infrastruktury, diagramy sieci lub dane o lukach podczas operacji red teamu, te informacje są chronione.