En klinik, en praksis eller et behandlingssted opbevarer oplysninger om patienters helbred, og de oplysninger skal være til rådighed, når behandlingen foregår. En penetrationstest kan belyse, om adgangen til patientdata er afgrænset som tiltænkt, men den skal planlægges, så den ikke forstyrrer den daglige behandling.
To forhold præger opgaven. Det ene er, at oplysningerne er følsomme. Det andet er, at de systemer, der rummer dem, kan være leveret og drevet af andre. Testen bygger derfor på en klar opdeling af, hvad klinikken selv råder over, og hvad der hører til leverandørerne.
Helbredsoplysninger er en særlig kategori
Databeskyttelsesforordningen nævner helbredsoplysninger blandt de særlige kategorier af personoplysninger, som er underlagt strengere regler for behandling. Forordningen kræver desuden, at den dataansvarlige har passende sikkerhedsforanstaltninger, og nævner regelmæssig afprøvning og vurdering af foranstaltningernes effektivitet som et af elementerne. Ordlyden står i forordningens artikel 9 og 32.
En penetrationstest kan være en del af en sådan afprøvning. Den er ikke et krav i sig selv efter forordningen, og den afgør ikke, om reglerne er overholdt. Det er klinikkens egen vurdering, eventuelt med rådgivning. Teksten her er ikke juridisk rådgivning.
Sundhedsområdet kan desuden have egne regler for journalføring og adgang til patientoplysninger. De skal afklares i den relevante sammenhæng, før testens spørgsmål formuleres.
Hvem ejer systemerne?
Journalsystem, booking, recepter, laboratoriesvar og kommunikation med patienter kan komme fra forskellige leverandører. Nogle er installeret lokalt, andre drives i skyen. Klinikken ejer som udgangspunkt sine brugere, sin opsætning og sine data, mens leverandøren ejer produktet og platformen.
For bestillingen betyder det, at hver løsning skal placeres. Hvad må testes, hvem skal give tilladelse, og hvem skal kontaktes, hvis noget ikke virker under testen? En liste over løsningerne med leverandør, kontaktperson og ansvarsgrænse er et godt udgangspunkt.
Listen afslører også, om nogle løsninger er glemt. Et ældre system, der kun bruges til opslag i gamle journaler, eller en tjeneste til sikker kommunikation med patienter kan rumme lige så følsomme oplysninger som journalsystemet. Hvis de ikke står på listen, indgår de hverken i testen eller i en bevidst beslutning om at udelade dem. → Kontroller leverandørens sikkerhed
Leverandørernes egen adgang til at yde support er et selvstændigt spørgsmål. Hvordan logger de ind, og hvornår lukkes adgangen igen? → Leverandørers adgang
Hvad klinikken selv kan få testet
Selv når de store systemer drives af andre, er der dele, klinikken selv har ansvar for. Det kan være kontornettet, de computere, personalet bruger, adgangen udefra for behandlere, der arbejder hjemmefra, og klinikkens egen hjemmeside med booking eller kontaktformular.
Adskillelsen mellem net er ofte et relevant spørgsmål. Tilbyder klinikken trådløst net i venteværelset, bør det være adskilt fra det net, personalet arbejder på, og det kan afprøves. → Gæstenet
Inden for klinikken kan adgangen til patientdata også være et spørgsmål. Har alle medarbejdere adgang til alle journaler, eller er adgangen begrænset efter rolle? Hvis klinikken har valgt en begrænsning, kan en test belyse, om den virker i de systemer, klinikken selv administrerer.
Delte computere i behandlingsrum og ved skranken er et særligt forhold. Hvis flere medarbejdere bruger samme maskine, er det relevant at vide, hvordan der logges ind og ud, og om en medarbejder kan komme til at arbejde videre i en anden medarbejders session. Det er et spørgsmål om opsætning, som klinikken selv kan få belyst og rette.
Apparater og udstyr på nettet
Klinikker kan have udstyr, der er forbundet til nettet: apparater til undersøgelse, printere, skærme, adgangskontrol og andre enheder. Noget af det er medicinsk udstyr, som leverandøren har ansvar for og kan have særlige vilkår for.
Udstyr af den type skal behandles forsigtigt. Det er ikke nødvendigvis bygget til at tåle en test, og en forstyrrelse kan få betydning for patienter. Det sikreste udgangspunkt er at holde medicinsk udstyr uden for testen, medmindre leverandøren har godkendt andet, og i stedet få belyst, om det er adskilt fra resten af nettet. → IoT og printere
Testen må ikke forstyrre behandlingen
En klinik har åbningstider, akutte situationer og patienter, der venter. Testen bør planlægges, så den ikke falder i et tidsrum, hvor journalsystemet eller bookingen er nødvendig, og så alle ved, hvem der kan stoppe den. → Testvinduet
Overvej også, om testen kan gennemføres i et testmiljø. Nogle leverandører kan stille en kopi til rådighed, andre kan ikke. Hvis testen sker i produktionen, skal det aftales, hvilke handlinger der er tilladt, og at testeren ikke må ændre eller slette rigtige patientoplysninger.
Planen bør også sige, hvad der sker, hvis et system bliver utilgængeligt. Hvem kontaktes hos leverandøren, og hvordan arbejder klinikken videre i mellemtiden?
Testkonti skal oprettes med testpatienter, der tydeligt kan skelnes fra rigtige. Det beskytter patienterne og gør det lettere at rydde op bagefter. → Testkonti og testdata
Rapporten og patientoplysninger
En pentestrapport kan beskrive, hvilke oplysninger testeren kunne se. Hvis det omfatter patientdata, skal eksempler anonymiseres, og testeren skal på forhånd have aftalt, hvordan sådanne oplysninger håndteres, hvis de bliver synlige.
Rapporten selv beskriver svagheder og skal behandles fortroligt. I en lille klinik kan det være ejeren eller den praktiserende læge, der modtager den, mens den eksterne IT-leverandør får de tekniske afsnit. Den bør kun gå til dem, der skal handle på den, og fund i leverandørernes løsninger skal sendes til den rette leverandør på en sikker måde.
Det skal I lade være med
- At teste medicinsk udstyr uden leverandørens godkendelse · Det kan påvirke patienter og være uden for jeres ret.
- At bruge rigtige patienter som testdata · Testpatienter skal kunne skelnes fra virkelige.
- At lægge testen i åbningstiden uden aftale · Journal og booking skal være til rådighed for behandlingen.
- At antage, at leverandøren har testet for jer · Jeres opsætning, brugere og net er jeres ansvar.
- At bruge rapporten som juridisk dokumentation · Den viser tekniske forhold og ikke overholdelse af regler.
Hvad kan og ikke kan konkluderes
En test kan vise, hvordan de dele, klinikken selv råder over, holdt under testen. Den kan belyse adskillelsen mellem gæstenet og kontornet og adgangen til patientdata i de systemer, der indgik.
Den kan ikke dokumentere sikkerheden i leverandørernes egne platforme eller i udstyr, der var holdt uden for. Den kan heller ikke afgøre, om klinikken overholder databeskyttelsesreglerne eller sundhedslovgivningen.
Tjekliste før testen
- ☐ Er alle systemer med patientdata opført med leverandør og ansvarsgrænse?
- ☐ Har leverandørerne givet tilladelse, hvor det er nødvendigt?
- ☐ Er medicinsk udstyr holdt uden for eller godkendt af leverandøren?
- ☐ Ligger testen uden for de tidsrum, hvor behandlingen er afhængig af systemerne?
- ☐ Er der testpatienter, og må rigtige data ikke ændres?
- ☐ Er håndteringen af patientoplysninger i rapporten aftalt?
Kilder
- Databeskyttelsesforordningen (EU) 2016/679, artikel 9 og 32: særlige kategorier af personoplysninger og behandlingssikkerhed.
- Datatilsynet: vejledning om behandling og sikkerhed af personoplysninger.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Nedbrud under testen · Opbevaring af rapporten
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
