NIS2 dans le secteur de la santé : ce que les preuves d’un test d’intrusion peuvent démontrer

La décision que ce guide vous aide à prendre

Déterminez l’entité, les services et la transposition nationale qui conditionnent l’applicabilité. Reliez ensuite chaque contrôle testé à une affirmation, une observation et une décision de traitement. Un test d’intrusion fournit des éléments techniques dans un périmètre défini ; il ne constitue pas une évaluation complète de la conformité à NIS2.

Établir d’abord l’applicabilité

NIS2 inclut le secteur de la santé, mais les obligations d’une organisation dépendent des règles de champ d’application et de la transposition nationale. Consignez l’entité juridique, les services, la taille et la juridiction avant d’affirmer l’existence d’une obligation. Consultez le texte officiel et l’autorité nationale compétente au lieu de supposer que toutes les applications de santé sont soumises aux mêmes exigences.

Choisissez des éléments probants que le responsable du risque peut utiliser

Un parcours fournisseur testé, une défaillance du contrôle d’accès documentée et une dépendance de reprise vérifiée peuvent étayer les décisions de gestion des risques. Conservez avec ces preuves le périmètre, la date, les services concernés et les limites. Sans ces éléments de délimitation, il est difficile de comparer un constat à l’exposition réelle de l’organisation.

Étendre le programme au-delà du test

La gouvernance, la gestion des incidents, la continuité, la gestion des fournisseurs et les mesures relatives au personnel ne peuvent pas être évaluées intégralement au moyen d’une évaluation technique. Suivez séparément les éléments probants associés. Le rapport peut relever une faiblesse de contrôle et recommander des mesures ; il ne remplace ni la responsabilité de la direction ni le programme de conformité dans son ensemble.

Clore les actions au moyen d’un test observable

Attribuez un responsable et une échéance à chaque mesure corrective. Pour une session fournisseur révoquée, validez à la fois la nouvelle authentification et une session déjà active. Consignez la condition modifiée et le délai d’application. Des preuves de clôture reproductibles sont plus utiles qu’une simple déclaration indiquant qu’un paramètre a été activé.

Créer un registre reliant les affirmations aux éléments de preuve

Commencez par une affirmation relative à un contrôle qui peut être évalué. Par exemple : le compte d’assistance d’un fournisseur ne peut pas récupérer de dossiers cliniques en dehors du périmètre de maintenance approuvé. Consignez le responsable de cette affirmation, les systèmes concernés et le test envisagé. Le résultat pourra la confirmer, la contredire ou laisser la question sans réponse. Cette démarche est plus utile que de classer un rapport dans un dossier de conformité sans préciser quelle décision il éclaire. Évaluez séparément l’applicabilité juridique, notamment l’entité, la juridiction et la mise en œuvre nationale pertinente.

Évitez d’attribuer un statut de conformité général à un résultat technique limité. Démontrer l’efficacité d’une seule frontière d’accès ne prouve pas que tous les fournisseurs, systèmes ou processus opérationnels respectent les obligations de l’organisation.

Distinguer la preuve technique des éléments probants opérationnels

Un pentest peut montrer qu’un chemin convenu permet une action inattendue. Il ne permet pas nécessairement de savoir si l’organisation révise régulièrement les comptes des fournisseurs, forme les équipes de réponse aux incidents ou maintient un programme de continuité efficace. Ces questions nécessitent d’autres preuves. Complétez le résultat technique par les registres de responsabilité pertinents, les procédures examinées et les observations issues des exercices, en conservant la provenance de chaque élément. Si une vérification requise n’a pas pu être effectuée parce qu’un fournisseur a refusé l’autorisation, consignez explicitement cette limite.

La continuité des soins rend cette distinction particulièrement importante. Le guide sur les preuves de reprise hospitalière explique pourquoi la restauration d’une machine ne constitue qu’un élément démontrant qu’un service peut être rétabli.

Bouclez la démarche sans exagérer le niveau d’assurance

Attribuez à chaque constat important un responsable de traitement, une échéance cible et un critère d’acceptation. Consignez les mesures de contrôle provisoires et la personne habilitée à accepter l’exposition résiduelle. Un nouveau test doit décrire la version, l’environnement et les scénarios effectivement vérifiés, sans transformer un ticket de correction en déclaration d’assurance. Maintenez les chemins non résolus visibles pour l’équipe de direction responsable du service. Archivez l’observation initiale avec le résultat ultérieur afin que la chaîne de preuves reste compréhensible en cas de changement de personnel.

Les tests du secteur financier relèvent d’un cadre réglementaire différent, mais la démarche pratique de notre guide de remédiation des tests d’intrusion bancaire est transposable : une décision de clôture exige un résultat reproductible, un périmètre clair et un responsable identifié. Cela ne transforme pas une évaluation du secteur de la santé en mission DORA.

Mettez les recommandations en pratique

Utilisez la liste de préparation pour consigner les hypothèses, ou consultez le rapport fictif de Healthcare AG pour des exemples d’éléments probants et de plans de traitement. Contactez Atlant Security en fournissant une description non sensible du périmètre.