Les questions à trancher avant de demander un devis
Le coût et la durée des tests d’intrusion dans le secteur de la santé dépendent des systèmes ciblés, des rôles, des processus métier, des modalités d’accès et des exigences de reporting. Le seul nombre de systèmes ne permet pas d’évaluer la charge de travail. Utilisez les questions ci-dessous pour préparer le périmètre et repérer les hypothèses auxquelles une proposition doit répondre.
Avant une mission
Que couvre le test d’intrusion dans le secteur de la santé ?
Tests des portails patients et des API de santé ; tests des réseaux et des identités dans le secteur de la santé ; tests des fournisseurs et des intégrations dans le secteur de la santé. Le périmètre convenu définit les actifs, les rôles, les interfaces et les exclusions spécifiques.
Pouvez-vous tester des systèmes de production ?
Utilisez des identités de patients synthétiques et des cohortes de données convenues. Désignez un contact pour l’escalade clinique, fixez des limites de requêtes et excluez les actions ayant un effet sur les soins, sauf autorisation distincte. Arrêtez immédiatement les tests si des données cliniques réelles inattendues sont rencontrées ou si un parcours de soins est menacé. Les tests en production nécessitent un accord explicite ; les résultats de préproduction et de production ne doivent pas être présentés comme interchangeables.
Est-ce la même chose qu’un scan de vulnérabilités ?
Non. Un scan peut contribuer à la découverte, mais un test d’intrusion valide des faiblesses sélectionnées et leurs conséquences dans l’environnement autorisé. Le rapport doit distinguer les observations non vérifiées des constats démontrés.
Un test d’intrusion établit-il la conformité ?
Les exigences de sécurité dans le secteur de la santé dépendent de l’entité, de sa localisation et des traitements. Les organisations de l’UE doivent évaluer le champ d’application de NIS2 et sa transposition nationale ainsi que les obligations de sécurité du RGPD. Les entités couvertes et leurs partenaires commerciaux aux États-Unis doivent examiner séparément HIPAA. Un pentest apporte des éléments probants techniques ; il ne détermine pas l’applicabilité juridique et ne certifie pas la conformité.
Combien de temps dure une mission et quel en est le coût ?
La durée et les tarifs dépendent du périmètre, des rôles, des flux de travail, des conditions d’accès, de l’intervention de tiers et des besoins en matière de rapport et de nouveaux tests. Ces éléments sont convenus dans une proposition et ne sont pas déduits d’une offre générique.
Que recevrons-nous ?
Un relevé de couverture convenu, des constats techniques, des preuves, les limites d’impact et un plan de remédiation. Les contre-tests et les exercices opérationnels supplémentaires sont précisés dans le cahier des charges.
L’exemple est-il un véritable rapport client ?
Non. Healthcare AG ainsi que tous les systèmes, participants et résultats sont fictifs. Cet exemple illustre le compte rendu technique sans divulguer d’informations sur des clients.
Que deviennent les informations fournies pour obtenir un exemple ?
Atlant Security reçoit votre demande via sa messagerie professionnelle, met le téléchargement depuis le navigateur à votre disposition et peut vous recontacter au sujet de votre demande. Vous ne serez pas inscrit à des communications marketing. Consultez les avis de confidentialité et sur les cookies.
Que devons-nous inclure dans une demande ?
Votre organisation, votre rôle, une description générale des systèmes ou des flux de travail, votre objectif et le calendrier envisagé. N’envoyez pas de dossiers de patients, de données de paiement, d’identifiants ni d’informations de sécurité confidentielles via le formulaire public.
