Penetration Testing ve zdravotnictví: Co musí vědět každá organizace spravující ePHI

Tato čísla nejsou abstrakce. Reprezentují pacienty, jejichž zdravotní historie, čísla sociálního zabezpečení, údaje o pojištění a záznamy o léčbě jsou nyní v rukou zločineckých organizací. Reprezentují nemocnice, které odkláněly sanitky, odkládaly operace a na týdny se vrátily k papírové dokumentaci. A reprezentují regulační prostředí, které – s konečnou platností – rozhodlo, že éra dobrovolných osvědčených postupů v oblasti kybernetické bezpečnosti ve zdravotnictví skončila.

Navrhovaná aktualizace pravidla HIPAA Security Rule pro rok 2026 poprvé zavede povinnost provádět roční Penetration Testing pro každý subjekt a obchodního partnera, který zpracovává elektronicky chráněné zdravotní informace. Pravidlo je v regulační agendě HHS a jeho finalizace se plánuje na květen 2026. Ať už jste nemocniční systém, zdravotní pojišťovna, HealthTech SaaS společnost nebo obchodní partner zpracovávající ePHI, otázkou už není, zda Penetration Testing provádět – ale jak to udělat tak, aby to skutečně chránilo data pacientů, uspokojilo OCR a zapadalo do vaší provozní reality.

Tento průvodce se věnuje všemu.

---

Proč rok 2026 všechno mění

Zdravotnictví je nejdražším odvětvím z hlediska úniku dat již čtrnáct let po sobě. V roce 2026 se však sbíhají tři vlivy, díky nimž se Penetration Testing stává nejen důležitým, ale i nevyhnutelným.

Navrhovaná revize HIPAA Security Rule odstraňuje rozdíl mezi "požadovanými" a "adresovatelnými" zárukami – což znamená, že všechny specifikace implementace se stávají povinnými. Pravidlo by vyžadovalo skenování zranitelností alespoň každých šest měsíců, Penetration Testing alespoň jednou ročně, povinné šifrování ePHI uložených i přenášených, inventář technologického majetku a síťovou mapu aktualizovanou každý rok a analýzy rizik, které jsou písemné, podrobné a vázané na tyto inventáře. HHS uznalo dopady na náklady pro malé a venkovské poskytovatele, ale trvá na tom, že požadavek platí bez ohledu na velikost organizace.

Vymáhání ze strany OCR se zintenzivňuje. V roce 2025 zahájila OCR třetí fázi svých auditů souladu s HIPAA, která se zpočátku zaměřuje na 50 subjektů a obchodních partnerů se zaměřením na analýzu a řízení rizik. Sankce za nesplnění požadavků na analýzu rizik pravidelně dosahují stovek tisíců až milionů dolarů. Zpráva je jasná: nedostatečné testování zabezpečení bude považováno za porušení souladu, nikoli pouze za technický nedostatek.

Hrozby se staly existenčními. Ransomwarové útoky na zdravotnictví nekradou jen data – zastavují klinický provoz. Nemocnice odkláněly pacienty v ohrožení života. Operace byly odloženy. Lékařské záznamy byly po týdny nedostupné. Když útok na zdravotnickou organizaci může přímo ohrozit bezpečnost pacientů, Penetration Testing není pouhá položka v seznamu – je to povinnost péče.

Prostředí hrozeb: Na co se útočníci ve zdravotnictví zaměřují

Pochopení toho, na co se útočníci zaměřují, vám pomůže zaměřit testování tam, kde je to nejdůležitější.

Externí dodavatelé a obchodní partneři jsou zodpovědní za drtivou většinu narušených záznamů. Více než 80 % odcizených zdravotnických záznamů v posledních letech pocházelo od externích dodavatelů, softwarových služeb a obchodních partnerů – nikoli přímo z nemocnic. Útok na Change Healthcare ukázal, jak se jediný kompromitovaný dodavatel může kaskádovitě šířit celým systémem zdravotní péče.

Ransomware s dvojitým vydíráním je dominantní model útoku. Útočníci šifrují systémy, aby narušili provoz, a současně exfiltrují data, aby je mohli využít k dalším požadavkům na výkupné. Zdravotnické organizace čelí nemožné volbě: zaplatit výkupné za obnovení péče o pacienty, nebo odmítnout a čelit dlouhodobému narušení provozu a možnému zveřejnění dat.

Phishing zůstává nejčastějším vektorem prvotního přístupu a představuje největší podíl narušení ve zdravotnictví. Zdravotničtí pracovníci pracují pod časovým tlakem, zvládají složité pracovní postupy a často přistupují k systémům z více zařízení – vytvářejí tak ideální podmínky pro úspěšný phishing.

Připojená zdravotnická zařízení představují rozšiřující se a nedostatečně testovaný prostor pro útoky. S průměrem 6,2 známých zranitelností na zařízení a 60 % zařízení s koncem životnosti softwaru jsou zařízení IoMT (Internet of Medical Things) stále častěji cílem jako vstupní body do nemocničních sítí.

HIPAA Penetration Testing: Současná pravidla a co se chystá

Co vyžaduje současné pravidlo

Stávající pravidlo HIPAA Security Rule (45 CFR § 164.308) vyžaduje, aby subjekty a obchodní partneři prováděli "přesné a důkladné posouzení potenciálních rizik a zranitelností v oblasti důvěrnosti, integrity a dostupnosti ePHI." Rovněž vyžaduje pravidelné technické i netechnické hodnocení toho, jak dobře bezpečnostní opatření splňují požadavky bezpečnostního pravidla.

Současné pravidlo nepoužívá slova "Penetration Testing". Nicméně NIST SP 800-66 – standardní reference pro implementaci HIPAA – uvádí Penetration Testing jako kritické opatření pro dosažení ochrany dle Security Rule. A OCR důsledně uvádí nedostatečnou analýzu rizik jako nejčastější selhání v oblasti shody při donucovacích akcích.

Co by vyžadovalo navrhované pravidlo pro rok 2026

Požadavek	Současné pravidlo	Navrhované pravidlo pro rok 2026
Penetration Testing	Není výslovně nařízeno	Alespoň každých 12 měsíců, kvalifikovanými osobami
Skenování zranitelností	Implikováno povinností analýzy rizik	Alespoň každých 6 měsíců
Analýza rizik	Požadováno, bez definované frekvence/formátu	Písemná, roční, vázaná na inventář majetku
Inventář majetku	Není výslovně požadován	Povinný, aktualizovaný ročně
Síťová mapa	Není výslovně požadována	Povinná, ilustrující pohyb ePHI
Šifrování	Adresovatelné (lze zdokumentovat, proč ne)	Požadováno pro ePHI uložené i přenášené
Adresovatelné záruky	Lze implementovat, nahradit nebo zdokumentovat	Odstraněny – vyžadovány všechny specifikace

Směr je nezaměnitelný: testování zabezpečení ve zdravotnictví se posouvá od flexibilního a interpretačního k preskriptivnímu a povinnému. Organizace, které začnou budovat své testovací programy již nyní, budou připraveny, až bude finální pravidlo zavedeno.

Prostor pro útoky ve zdravotnictví

Zdravotnická prostředí patří k nejsložitějším a nejheterogennějším v jakémkoli odvětví. Váš Penetration Testing musí pokrýt prostor pro útoky, který zahrnuje klinické systémy, aplikace pro pacienty, cloudovou infrastrukturu, připojená zařízení a rozsáhlou síť vztahů s třetími stranami.

Elektronické zdravotní záznamy a klinické systémy

Platformy EHR jsou centrální nervovou soustavou zdravotnického IT. Obsahují nejcitlivější údaje o pacientech – diagnózy, léčebné historie, léky, laboratorní výsledky – a integrují se prakticky s každým dalším systémem v prostředí. Testování by mělo pokrývat řízení přístupu mezi klinickými rolemi (může sestra přistupovat k záznamům mimo svůj tým péče?), auditní protokoly a detekci neoprávněné manipulace, integrační body s laboratorními, lékárenskými a zobrazovacími systémy a zabezpečení všech vlastních modulů nebo rozšíření, které vaše organizace vytvořila.

Pacientské portály, telemedicína a API

Aplikace pro pacienty se od roku 2020 dramaticky rozšířily. Portály, kde si pacienti prohlížejí záznamy, plánují schůzky a posílají zprávy poskytovatelům, jsou internetové aplikace, které přímo zpracovávají ePHI. Platformy telemedicíny zpracovávají klinická data v reálném čase. API připojují tyto aplikace k backendovým systémům EHR, fakturačním platformám a službám třetích stran.

Testování by mělo pokrývat kompletní OWASP Top 10 a navíc scénáře specifické pro zdravotnictví: řízení přístupu k záznamům pacientů (může pacient A zobrazit záznamy pacienta B manipulací s parametry?), ověřování a správu relací, zabezpečení koncových bodů API napříč všemi integračními body a odhalení dat prostřednictvím chybových zpráv, odpovědí API nebo uloženého obsahu.

V této vrstvě přináší Penetrify zdravotnickým organizacím nejbezprostřednější hodnotu. Hybridní přístup platformy – automatizované skenování pro široké pokrytí zranitelností v kombinaci s ručním odborným testováním logických chyb, obcházení autorizace a scénářů vystavení ePHI – zachytí běžné problémy webových aplikací i selhání řízení přístupu specifická pro zdravotnictví, která ohrožují data pacientů.

Cloudová infrastruktura

Adopce cloudu ve zdravotnictví se zrychlila, systémy EHR, datové sklady, analytické platformy a nástroje pro zapojení pacientů jsou stále častěji hostovány na AWS, Azure nebo GCP. Chybná konfigurace cloudu – příliš benevolentní role IAM, odhalené úložné kontejnery, nezabezpečené servisní účty – patří k nejčastějším a nejvíce dopadajícím zjištěním v Penetration Testing ve zdravotnictví.

Požadavek navrhovaného pravidla HIPAA na povinnou síťovou mapu podtrhuje potřebu přesně porozumět tomu, jak ePHI proudí cloudovými službami. Penetration Testing, který pokrývá vaši cloudovou vrstvu, by měl vyhodnotit zásady IAM a cesty k eskalaci privilegií, oprávnění k úložným bucketům a blobům, skupiny zabezpečení sítě a odhalené služby, správu tajemství a ukládání pověření a řetězce útoků mezi účty nebo mezi službami.

Nativní cloudové testování Penetrify pokrývá AWS, Azure a GCP s testery, kteří rozumí cloudovým vzorcům specifickým pro zdravotnictví – včetně konfigurací služeb vyhovujících HIPAA, segregace úložiště PHI a architektonických vzorů běžných v platformách HealthTech SaaS.

Připojená zdravotnická zařízení a IoMT

Síťově připojené infuzní pumpy, zobrazovací systémy, monitory pacientů a další zařízení IoMT vytvářejí prostor pro útoky, který tradiční testování webových aplikací neřeší. Mnoho z těchto zařízení používá zastaralé operační systémy, komunikuje prostřednictvím nešifrovaných protokolů a používá výchozí pověření, která nebyla nikdy změněna.

Zatímco kompletní Penetration Testing zařízení IoMT vyžaduje specializovaný hardware a odborné znalosti firmwaru, váš Penetration Testing by měl minimálně posoudit, zda jsou zdravotnická zařízení řádně segmentována od klinických systémů, které zpracovávají ePHI, zda jsou rozhraní pro správu zařízení přístupná z nedůvěryhodných sítí a zda by kompromitace zařízení mohla poskytnout boční pohyb do systémů obsahujících data pacientů.

Obchodní partneři a riziko třetích stran

Vzhledem k tomu, že většina narušení ve zdravotnictví pochází od dodavatelů třetích stran, měl by váš Penetration Testing zahrnovat integrační body mezi vašimi systémy a systémy vašich obchodních partnerů. Otestujte, jak jsou uložena pověření API pro služby třetích stran, zda jsou datové výměny s obchodními partnery šifrované, zda koncové body webhook ověřují autenticitu zpráv a zda by kompromitace integrace třetí strany mohla poskytnout přístup k ePHI ve vašem prostředí.

Podle navrhovaného pravidla pro rok 2026 by subjekty musely získat roční písemné ověření od obchodních partnerů potvrzující, že jsou zavedeny požadované technické záruky. Penetration Testing vašich integračních bodů je proaktivní krok k splnění tohoto požadavku.

Stanovení rozsahu Penetration Testing ve zdravotnictví

Stanovení rozsahu je místo, kde Penetration Testing ve zdravotnictví buď přináší hodnotu, nebo plýtvá rozpočtem. Klíčový princip je jednoduchý: každý systém, který vytváří, přijímá, udržuje nebo přenáší ePHI, je v rozsahu.

V praxi to znamená, že by váš rozsah měl pokrývat webové aplikace a portály pro pacienty, API, která je propojují s backendovými systémy, platformu EHR a jakékoli vlastní integrace, cloudovou infrastrukturu hostující pracovní zátěže ePHI, administrativní a interní nástroje používané klinickým a podpůrným personálem, síťové segmenty, kde ePHI sídlí nebo se přenáší, a integrační body se systémy obchodních partnerů.

Povinný inventář technologického majetku a síťová mapa podle navrhovaného pravidla výrazně usnadní stanovení rozsahu pro organizace, které se připravují již nyní. Zmapujte, kde ePHI žije, jak se pohybuje a kterých systémů se dotýká. Tato mapa se stane definicí rozsahu vašeho Penetration Testing a samostatným dodáním pro účely shody.

Sdílejte svou dokumentaci rozsahu s poskytovatelem Penetration Testing před zahájením zakázky. Dobrý poskytovatel ověří rozsah podle požadavků HIPAA a označí případné mezery. Penetrify spolupracuje se zdravotnickými organizacemi, aby rozsah Penetration Testing přímo sladil s požadavky HIPAA Security Rule a zajistil, že zakázka pokryje to, co OCR očekává – bez testování systémů, které nezpracovávají ePHI a nemusí být v rozsahu.

Jak často by měly zdravotnické organizace testovat

Navrhované pravidlo nařizuje Penetration Testing alespoň každých 12 měsíců a skenování zranitelností alespoň každých 6 měsíců. Jedná se však o minima a dynamické prostředí hrozeb ve zdravotnictví často vyžaduje více.

Praktická kadence pro organizaci ve zdravotnictví se zralým souladem kombinuje tři aktivity:

Nepřetržité automatizované skenování probíhá proti vaší síti a aplikacím průběžně a zachycuje nové CVE, posuny konfigurace a běžné zranitelnosti, jakmile jsou zavedeny. To splňuje navrhovaný požadavek pololetního skenování a poskytuje včasné varování mezi ručními testy.

Roční komplexní Penetration Testing pokrývá celé vaše prostředí ePHI – aplikace, API, cloud, síť – s hloubkou potřebnou k nalezení selhání řízení přístupu, logických chyb a zřetězených cest zneužití, které automatizace zmešká. To je váš primární důkaz o souladu a vaše nejhlubší posouzení reálného rizika.

Cílené testování po významných změnách – spuštění nového pacientského portálu, migrace do cloudu, velká aktualizace EHR, nová integrace obchodního partnera – řeší konkrétní prostor pro útoky zavedený změnou. Zde modely testování na vyžádání poskytují provozní výhodu: testujete, co se změnilo, kdy se to změnilo, aniž byste čekali na další roční cyklus.

Transparentní ceny Penetrify za test činí tento vrstvený přístup finančně dostupným. Místo závazku k roční podnikové smlouvě spouštíte testy, jak se vaše prostředí vyvíjí – komplexní roční posouzení pro zajištění souladu, cílený test portálu po vydání, kontrola konfigurace cloudu po migraci. Předvídatelné náklady na každou zakázku, bez nevyužitých kreditů nebo sankčních cen za úpravy rozsahu.

Výběr poskytovatele Penetration Testing pro zdravotnictví

Penetration Testing ve zdravotnictví vyžaduje více než technické dovednosti – vyžaduje pochopení provozního kontextu, regulačních požadavků a citlivosti prostředí.

Povědomí o HIPAA je nevyjednatelné. Váš poskytovatel by měl chápat, co OCR očekává od analýzy rizik, jak nálezy z Penetration Testing odpovídají zárukám HIPAA Security Rule a jak strukturovat zprávu, která slouží jako důkaz o souladu. Obecná zpráva z Penetration Testing, která neodkazuje na kontroly HIPAA, vyžaduje, aby váš tým pro zajištění souladu ručně přemapoval každé zjištění – což plýtvá časem a vytváří mezery v dokumentaci.

Zkušenosti s prostředím ve zdravotnictví jsou důležité. Integrace EHR, klinické pracovní postupy, zasílání zpráv HL7/FHIR, sítě zdravotnických zařízení, platformy HealthTech pro více nájemníků – to nejsou standardní vzory webových aplikací. Váš poskytovatel potřebuje testery, kteří rozumí tomu, jak jsou zdravotnické systémy architektonicky řešeny a kde se nacházejí specifická rizika ve zdravotnictví.

Minimální narušení je zásadní. Zdravotnické systémy podporují péči o pacienty. Penetration Testing, který spouští výstrahy, snižuje výkon nebo způsobuje výpadky v klinickém systému, může mít skutečné dopady na bezpečnost pacientů. Váš poskytovatel by měl mít protokoly pro testování citlivých prostředí – pečlivé plánování, nepřetržitou komunikaci s vaším IT týmem, monitorování v reálném čase a možnost okamžitě pozastavit testování, pokud vznikne jakýkoli provozní problém.

Zprávy mapované do shody ušetří týdny. Výstup vašeho Penetration Testing bude zkontrolován vyšetřovateli OCR, auditory souladu a případně i právními zástupci. Zprávy, které mapují zjištění do sekcí HIPAA Security Rule – s pokyny pro nápravu sladěnými se specifickými požadavky na záruky a důkazy o opětovném testování dokumentujícími kompletní životní cyklus zjištění – jsou nesmírně cennější než obecný PDF soubor CVE. Zprávy Penetrify jsou takto strukturovány ve výchozím nastavení a mapují každé zjištění na příslušné kontroly HIPAA spolu s mapováním SOC 2 a HITRUST tam, kde je to možné.

Běžné chyby při Penetration Testing ve zdravotnictví

Testování pouze perimetru

Penetration Testing, který proskenuje vaše externě orientované systémy a prohlásí, že je hotovo, zmešká interní cesty útoku, které ransomware využívá. Jakmile útočník získá oporu – obvykle prostřednictvím phishingu – pohybuje se bočně prostřednictvím interní sítě směrem k systémům obsahujícím ePHI. Váš test by měl zahrnovat externí i interní pohledy, aby se vyhodnotilo, zda vaše segmentace, řízení přístupu a detekční mechanismy zabraňují tomuto bočnímu pohybu.

Ignorování integračních bodů obchodních partnerů

Více než 80 % narušených zdravotnických záznamů pochází od dodavatelů třetích stran. Pokud váš Penetration Testing nevyhodnocuje propojení mezi vašimi systémy a systémy vašich obchodních partnerů, ignorujete vektor útoku zodpovědný za většinu narušení ve zdravotnictví.

Zacházení se zdravotnickými zařízeními jako s položkami mimo rozsah

Síťově připojená zdravotnická zařízení jsou vstupními body do vaší klinické sítě. I když váš Penetration Testing nezahrnuje testování zařízení na úrovni firmwaru, měl by vyhodnotit, zda jsou zařízení správně segmentována a zda kompromitace zařízení poskytuje přístup k systémům obsahujícím ePHI.

Provádění jednodenního "expresního" testu

Zdravotnická prostředí jsou složitá. Smysluplný Penetration Testing i pro organizaci střední velikosti trvá minimálně jeden až dva týdny. Testy dokončené za jeden až tři dny jsou téměř jistě automatizované skeny s minimální ruční analýzou – vytvoří zprávu, ale nenajdou selhání řízení přístupu, které umožňuje jednomu pacientovi prohlížet si záznamy druhého pacienta, nebo chybně nakonfigurovaný cloudový úložný bucket obsahující nešifrované ePHI.

Žádné sledování nápravy

OCR očekává, že uvidí celý životní cyklus: co bylo nalezeno, co bylo opraveno a jak byla oprava ověřena. Penetration Testing, který generuje zjištění, ale nikdy se nepřipojí k pracovnímu postupu nápravy, vytváří zdokumentované důkazy o známých, neřešených zranitelnostech – přesně ten druh důkazů, které promění vyšetřování OCR v sedmimístnou pokutu.

Budování vašeho programu Penetration Testing ve zdravotnictví

Krok 1: Sestavte si inventář ePHI. Zmapujte každý systém, který vytváří, přijímá, udržuje nebo přenáší ePHI. Zahrňte aplikace, databáze, cloudové služby, zdravotnická zařízení a integrace třetích stran. Tento inventář se stane jak rozsahem vašeho Penetration Testing, tak samostatným požadavkem na zajištění souladu podle navrhovaného pravidla.

Krok 2: Implementujte pololetní skenování zranitelností. Nasaďte automatizované skenování v celém vašem prostředí ePHI. Spouštějte skeny alespoň každých šest měsíců. Vkládejte výsledky do analýzy rizik a používejte je k informování rozsahu vašich ručních Penetration Testing.

Krok 3: Proveďte roční komplexní Penetration Testing. Zapojte kvalifikovaného poskytovatele – jako je Penetrify – k testování celého vašeho prostředí ePHI s hloubkou a mapováním souladu, které uspokojí OCR. Zajistěte, aby rozsah pokrýval aplikace, API, cloudovou infrastrukturu, interní sítě a integrační body obchodních partnerů.

Krok 4: Zaveďte smyčku nápravy. Každé zjištění potřebuje vlastníka, časový plán založený na závažnosti a ověření. Kritická zjištění ovlivňující důvěrnost ePHI by měla být napravena během několika dní. Sledujte všechno. Zahrňte důkazy o opětovném testování do své dokumentace souladu.

Krok 5: Integrujte zjištění do vaší analýzy rizik. Výsledky vašeho Penetration Testing by měly přímo vstupovat do vaší roční analýzy rizik HIPAA. Každé zjištění představuje konkrétní datový bod založený na důkazech o riziku pro ePHI. Tato integrace transformuje vaši analýzu rizik z administrativní cvičení na skutečné posouzení vašeho zabezpečení.