Accès des prestataires de santé : la révocation met-elle fin à la session ?

La décision que ce guide vous aide à prendre

Commencez par la tâche de maintenance concrète et les systèmes dont elle a besoin. Testez séparément l’approbation, l’accès à la passerelle, les autorisations sur les destinations et la clôture de session. Vérifiez que la révocation supprime l’accès concerné, y compris les sessions déjà établies lorsque celles-ci entrent dans le périmètre.

Commencez par la tâche de maintenance

Répertoriez les activités de maintenance réellement effectuées par le fournisseur : appliquer une mise à jour d’application, diagnostiquer un défaut d’interface ou assurer le support d’un portail hébergé. Pour chaque activité, identifiez la personne ou l’identité de service, le point d’entrée, le système cible et le responsable qui autorise l’accès. Un contrat mentionnant une « assistance technique » ne constitue pas un modèle d’autorisations suffisant. Deux fournisseurs utilisant la même passerelle peuvent nécessiter des niveaux d’accès très différents aux applications cliniques et à l’infrastructure.

Organisez l’évaluation autour d’un compte de test dédié et d’un scénario de maintenance convenu. Confirmez si la passerelle, le terminal et le service d’identité appartiennent à l’organisation de santé ou à une autre partie. L’autorisation de test doit couvrir chaque volet de l’activité proposée.

Définir le cycle de vie prévu de la session

Décrivez comment l’accès commence, combien de temps il dure et ce qui doit se passer à l’expiration de l’autorisation. Incluez dans le périmètre convenu les sessions existantes, les sessions du navigateur, les identifiants mis en cache et les jetons des services en aval. Désactiver un compte de connexion et mettre fin à une session déjà établie sont deux actions différentes. Consignez le comportement attendu avant le test afin de comparer le résultat à une exigence réelle.

Prévoyez un responsable capable d’appliquer et d’annuler la modification des accès pendant la fenêtre convenue. Utilisez un objet synthétique sans danger pour observer la persistance de l’accès ; évitez de consulter de vrais dossiers de patients pour simplement démontrer qu’une session reste utilisable. Le test doit laisser une trace de preuves courte et intelligible.

Vérifiez l’accessibilité au-delà de la passerelle

Une passerelle peut authentifier correctement un utilisateur tout en autorisant, au-delà, un chemin d’accès inutilement large. Comparez la destination de support approuvée à une destination canari explicitement interdite. Choisissez une méthode qui démontre la portée sans modifier le système cible. Vérifiez si le prestataire peut choisir une autre destination, hériter d’un rôle involontaire ou utiliser une identité partagée qui empêche l’attribution. Toute activité supplémentaire nécessite une autorisation spécifique.

Le guide sur l’accès à distance pour la maintenance hospitalière précise cette limite dans les environnements cliniques où le génie biomédical et l’informatique peuvent contrôler différentes parties du parcours d’accès. Les interlocuteurs opérationnels doivent pouvoir agir de concert.

Observer la révocation avec les équipes de défense

Convenez d’une séquence courte : ouvrez la session de test approuvée, consignez son identifiant, révoquez l’autorisation concernée et tentez à nouveau la même opération inoffensive. Consignez le temps écoulé et la réponse du service sans supposer que chaque produit garantit une terminaison immédiate. Demandez aux responsables de la passerelle et de l’application de localiser les événements correspondants. L’impossibilité de les corréler peut poser un problème de traçabilité, même si la décision d’accès est correcte.

Lorsqu’une session traverse plusieurs systèmes, indiquez quel composant a mis fin à l’accès. La déconnexion d’une passerelle ne démontre pas qu’un jeton d’application émis indépendamment a été révoqué ; ce jeton doit faire l’objet de sa propre vérification approuvée.

Traduisez le résultat en un plan de traitement

Une recommandation doit identifier la limite de sécurité défaillante. Les mesures possibles comprennent des règles de destination plus restrictives, des comptes individuels, des autorisations de durée réduite, la révocation explicite des autorisations en aval ou une meilleure corrélation entre les sessions et les tickets. Précisez les conséquences pour les opérations de support et désignez le responsable de la mise en œuvre. Ne supposez pas qu’un nouveau produit de sécurité résoudra simultanément un problème d’identité, de réseau et de processus.

Pour une autre perspective sur l’accès par niveaux, notre guide sur les accès privilégiés et la segmentation dans les banques distingue l’accès authentifié de l’autorisation à atteindre un service protégé et à y effectuer des opérations. Le principe de contrôle est transposable ; les contraintes opérationnelles cliniques restent propres au secteur de la santé.

Fournir un dossier de preuves reproductible

Conservez la référence d’approbation, l’identité de test, l’identifiant de session, la cible autorisée, la comparaison interdite, les horodatages et les résultats observés. Masquez les secrets et les informations sur les patients. Consignez le nettoyage, y compris la suppression des comptes temporaires et la confirmation qu’aucune session de test ne reste active. Le dossier doit permettre au responsable du service de répéter la vérification après une modification de la passerelle sans reconstituer l’intégralité de la mission.

Utilisez la liste de préparation aux tests d’intrusion dans le secteur de la santé pour désigner les responsables des autorisations et préparer les données de test. Si une partie du cycle de vie ne peut pas être testée en toute sécurité, consignez-la comme une limite précise de couverture, avec un responsable et une prochaine étape proposée.