Sécurité des portails patients : tester les accès au-delà de la connexion

La décision que ce guide vous aide à prendre

La connexion confirme une identité ; elle n’établit pas le droit d’accéder à un dossier précis ou de l’exporter. Comparez les rôles des patients, de leurs représentants et des cliniciens pour les relations de soins actives ou révoquées. Observez l’opération précise et l’accès qui en résulte, au lieu de vous fier au résultat de la connexion.

Définissez clairement le modèle d’autorisations

Les accès des patients, les mandataires familiaux, les cliniciens traitants, le personnel d’assistance et les administrateurs obéissent souvent à des règles différentes. Décrivez ces relations en précisant l’acteur, l’objet et l’action avant d’examiner les charges utiles. Incluez les accès de mandataire expirés et les membres du personnel transférés entre organisations prestataires ; ces états du cycle de vie révèlent souvent des lacunes que les tests du parcours nominal ne détectent pas.

Comparer les décisions concernant le même objet

Gardez l’objet constant tout en changeant le principal, puis gardez le principal constant tout en changeant le propriétaire de l’objet. Vérifiez la réponse du serveur et l’événement d’audit en aval. Un bouton masqué ne constitue pas un contrôle d’accès, et un identifiant d’enregistrement imprévisible ne remplace pas une décision d’autorisation.

Examiner les interfaces secondaires

Le téléchargement d’un document, une tâche d’exportation ou l’API mobile d’un portail peuvent appliquer des contrôles différents de ceux de la page principale de l’enregistrement. Testez chaque parcours autorisé avec la même matrice synthétique des rôles. La création, la consultation du statut et la récupération d’une exportation sont des opérations distinctes et peuvent nécessiter des contrôles d’autorisation séparés.

Rendez la correction vérifiable

Recommandez une politique côté serveur à la frontière entre l’objet et l’opération, puis retestez les accès autorisés comme les accès interdits. Consignez l’identité, l’enregistrement de test, l’identifiant de requête et le résultat. L’objectif est d’obtenir une décision d’accès claire sans perturber l’accès légitime aux soins, plutôt que de simplement masquer un message d’erreur.

Utilisez des paires de comptes et d’enregistrements

Préparez deux patients avec des rendez-vous, des messages et des documents synthétiques distincts. Établissez la référence légitime pour chaque compte, puis répétez une seule opération convenue sur l’objet canari de l’autre compte. Maintenez le type de requête et l’état de l’objet comparables. Cela permet d’isoler la décision de propriété des échecs de validation sans rapport. N’incluez un compte délégué que si le portail le prend en charge, en documentant clairement la relation et sa date d’expiration. Ne supposez pas qu’un accès familial à un type de dossier donne accès à tous les dossiers.

La même comparaison est utile aux professionnels de santé qui interviennent dans plusieurs cabinets : un compte peut légitimement consulter des dossiers dans deux contextes, tandis qu’un autre ne peut accéder qu’à un seul. Le résultat attendu doit être défini par le responsable du service et ne doit pas reposer sur une supposition du testeur quant à la relation de soins prévue.

Tester le cycle de vie d’une autorisation existante

Un accès peut être correct lors de sa création et ne plus l’être après une évolution de la relation. Convenez de vérifications portant sur la révocation, le transfert entre organisations et l’expiration d’un rôle délégué. Examinez si un lien vers un document émis auparavant, un export en file d’attente ou une session active expose toujours le contenu synthétique. Utilisez un petit nombre d’objets préparés et consignez le moment auquel le changement de politique devrait prendre effet. Ne concluez pas à la défaillance d’un contrôle au seul motif que la documentation du produit prévoit un délai intentionnel et approuvé ; comparez l’observation à l’exigence réelle.

Notre guide sur l’isolation des tenants explique pourquoi il faut examiner à la fois le rejet de la requête et l’état qui en résulte. Cette méthode s’applique également aux portails qui génèrent des documents de manière asynchrone.

Rédiger un constat que l’équipe produit peut corriger

Les éléments probants doivent identifier le rôle à l’origine de la demande, le responsable prévu, l’opération et l’autorisation précise qui aurait dû l’empêcher. Capturez une requête et une réponse expurgées, ainsi que l’identifiant synthétique de l’objet et, lorsqu’elle est disponible, une référence d’audit côté serveur. Indiquez si l’observation démontre un accès en lecture, une modification ou simplement la découverte de l’objet. Il s’agit d’impacts différents. Une capture d’écran d’une page patient sans contexte d’identité constitue un élément probant faible et peut exposer inutilement des informations sensibles.

Les nouveaux tests doivent reprendre la comparaison ayant échoué, confirmer que l’accès légitime fonctionne toujours et vérifier le point de terminaison équivalent le plus proche. Si le problème concerne une intégration utilisée par un hôpital, notre guide sur les tests des intégrations de DSE et d’imagerie médicale aide à identifier les identités de service supplémentaires à examiner.

Mettez les recommandations en pratique

Utilisez la liste de préparation pour consigner les hypothèses, ou consultez le rapport fictif de Healthcare AG pour des exemples d’éléments probants et de plans de traitement. Contactez Atlant Security en fournissant une description non sensible du périmètre.