Périmètre des tests d’intrusion dans le secteur de la santé : parcours des patients, API et accès

La décision que ce guide vous aide à prendre

Suivez le parcours des données des patients, de l’inscription à l’orientation, aux résultats et aux accès délégués. Ajoutez les processus du personnel et des prestataires, puis identifiez les systèmes et les décisions relatives aux autorisations à chaque transfert. Convenez de l’utilisation de données synthétiques et des contraintes cliniques avant de transformer cette cartographie en cas de test.

Commencez par le parcours

Cartographiez un parcours d’information clinique comprenant l’enregistrement d’un patient, la réception d’une orientation, la consultation d’un résultat et la délégation d’un accès. Pour chaque étape, consignez l’application, l’identité, la frontière organisationnelle et le sous-traitant en aval. Cela fait apparaître les relais qui disparaissent dans une simple liste d’adresses web. Incluez les flux de travail du personnel et des fournisseurs, ainsi que l’interface destinée aux patients.

Préparer les identités et les données

Créez des patients synthétiques, une relation de délégation, des rôles cliniques et au moins deux organisations si le service est multi-tenant. Attribuez les autorisations attendues avant le test. Le testeur a besoin de cas positifs et négatifs : la lecture autorisée d’un dossier et le refus d’accès à l’objet d’un autre patient.

Transformer la cartographie en autorisation

Répertoriez les systèmes que l’organisation peut autoriser, ceux qui nécessitent le consentement du fournisseur, les plages de test et les opérations interdites. Définissez qui peut interrompre l’activité si un parcours de soins ralentit ou si des informations de santé inattendues apparaissent. Prévoyez une voie d’escalade clinique urgente qui fonctionne indépendamment des systèmes testés.

Demandez un relevé de couverture

Le rapport final devrait préciser les rôles, les flux de travail et les interfaces effectivement testés, ainsi que les exclusions et les chemins bloqués. Comparez-les au périmètre initial. Les intégrations non testées et les comptes de test incomplets constituent des lacunes de couverture résiduelles, et non des validations tacites. Une proposition utile rend ces dépendances visibles avant le début des travaux.

Transformer le parcours d’un patient en périmètre testable

Considérez un parcours d’orientation à titre d’exemple : un patient transmet des informations via un portail, un service de planification crée un rendez-vous et un professionnel de santé récupère l’orientation par le biais d’une intégration. Le périmètre doit préciser qui peut créer, lire, modifier et exporter chaque enregistrement synthétique à chaque étape. Incluez l’identité de service qui transfère l’orientation entre les services. Un test limité à la connexion au portail renseignerait peu sur un message envoyé à la mauvaise organisation ou sur un export conservé après la modification des droits d’accès de l’utilisateur.

Organisez un atelier rapide avec les équipes des opérations cliniques, les responsables des applications et le personnel chargé de l’infrastructure afin de rapprocher le diagramme du fonctionnement réel du service. Demandez quelles actions déclenchent des notifications externes ou modifient une file d’attente clinique. Ces effets secondaires permettent de déterminer si un environnement de test représentatif suffit ou si une vérification strictement délimitée en production est nécessaire.

Distinguez les vérifications des accès des tests d’interruption

Consignez les preuves nécessaires avant de choisir une technique. La lecture d’une orientation synthétique désignée peut établir un défaut d’autorisation sans interroger de vrais dossiers de patients. Une connexion contrôlée à un point de terminaison convenu peut démontrer un chemin réseau sans analyser tous les dispositifs médicaux de ce segment. Excluez expressément la génération de charge, les modifications destructrices et les interactions avec des dispositifs cliniques, sauf évaluation et autorisation distinctes. Précisez qui peut interrompre l’activité et comment les testeurs vérifieront que l’instruction d’arrêt est parvenue à l’équipe chargée de la prestation.

Les hôpitaux présentent des dépendances supplémentaires : les services hospitaliers, les services d’imagerie et l’ingénierie biomédicale peuvent être responsables de différentes parties d’un même parcours. Le guide des règles d’engagement pour les tests en milieu hospitalier explique comment rendre ces autorisations opérationnelles pendant l’exécution.

Rendez visible la décision finale concernant la couverture

Avant la date de début, établissez un tableau de couverture indiquant le parcours, le système, le principal, la décision attendue, le responsable des autorisations et la méthode de collecte des éléments probants. Signalez les comptes manquants ou les autorisations fournisseur absentes comme des lacunes, et non comme de simples notes administratives. Dans le rapport, distinguez les tests terminés, bloqués et exclus ; ni le silence ni une liste de constats vide ne prouvent que le périmètre a fonctionné. Lorsqu’une plateforme de santé sert plusieurs organisations, appliquez l’approche de comparaison contrôlée décrite dans notre guide sur les tests d’isolation des tenants d’API : gardez l’opération constante et ne changez que la relation de propriété autorisée.

L’équipe mandante peut alors décider si l’incertitude restante est acceptable, nécessite une période de suivi ou appelle une revue compensatoire. Le résultat de l’achat est bien plus solide qu’un nombre inexpliqué d’adresses IP testées.

Mettez les recommandations en pratique

Utilisez la liste de préparation pour consigner les hypothèses, ou consultez le rapport fictif de Healthcare AG pour des exemples d’éléments probants et de plans de traitement. Contactez Atlant Security en fournissant une description non sensible du périmètre.