Quelle prestation souhaitez-vous commander ?
Une mission de test d’intrusion dans le secteur de la santé utile commence par une décision métier : quel accès ou quelle opération un attaquant ne doit-il pas pouvoir obtenir ? Définissez les dossiers synthétiques des patients, les relations de soins et les sessions des fournisseurs, puis convenez de la manière dont le test démontrera le résultat. La proposition doit préciser séparément le périmètre, les exclusions, les responsabilités de réalisation, le contenu du rapport et tout éventuel retest.
Commencez par la décision de sécurité
Repérez les situations où une interaction numérique pourrait donner accès au dossier d’un autre patient, à un compte de service trop privilégié ou à un réseau d’assistance insuffisamment cloisonné.
L’écosystème de santé dépasse le cadre d’un seul hôpital. Nous intégrons les identités, les orientations, les soins à distance et les intégrations tierces dans un périmètre qui suit le parcours des données des patients.
Un portail patient peut être bien protégé au niveau de l’écran de connexion, alors qu’une intégration de laboratoire accepte un identifiant de dossier sans vérifier l’organisation à l’origine de la demande. Un test utile suit ces transmissions, y compris les processus d’assistance qui se situent en dehors de l’application principale.
Un périmètre convenu, pas un scan sans limites
Nous définissons les systèmes, identités, processus et interfaces nécessaires pour répondre aux objectifs de l’évaluation. L’autorisation écrite, l’accord des tiers, les comptes de test et un jeu de données convenu doivent être en place avant toute activité opérationnelle. Une proposition consigne les éléments inclus, les exclusions et les dépendances.
- Tests des portails patients et des API de santé — Examinez les autorisations qui sous-tendent le parcours du patient, de la récupération du compte au partage des dossiers médicaux.
- Tests des réseaux et des identités dans le secteur de la santé — Suivez les chemins d’accès entre les sites répartis, les services d’identité et les systèmes sensibles.
- Tests des accès fournisseurs et des intégrations dans le secteur de la santé — Examinez les autorisations que des tiers conservent une fois l’intégration mise en service.
Questions auxquelles le test peut répondre
- Un compte du portail peut-il récupérer le document d’un autre patient synthétique ?
- Une intégration partenaire peut-elle modifier une orientation en dehors de l’organisation autorisée ?
- Une identité d’assistance du fournisseur peut-elle accéder à un rôle interne d’exportation des données ou de reprise ?
Il s’agit d’exemples destinés à définir le périmètre, et non d’affirmer que chaque mission inclut toutes les méthodes ou tous les systèmes. Le plan de test final consigne les actions autorisées, les résultats attendus et les observations nécessaires pour étayer chaque conclusion.
Les mesures de protection opérationnelles font partie de la méthode
Utilisez des identités de patients synthétiques et des cohortes de données convenues. Désignez un contact pour l’escalade clinique, fixez des limites de requêtes et excluez les actions ayant un effet sur les soins, sauf autorisation distincte. Arrêtez immédiatement les tests si des données cliniques réelles inattendues sont rencontrées ou si un parcours de soins est menacé.
Les tests peuvent présenter des risques. Convenez des personnes habilitées à suspendre les activités, des conditions déclenchant une escalade et des moyens de distinguer les incidents réels des activités de l’exercice. L’envoi d’une demande par ce site web n’autorise aucun test.
Des constats aux actions vérifiées
Vous recevrez une synthèse à l’intention de la direction, un compte rendu technique au périmètre défini, des constats reproductibles et un registre des mesures correctives. Chaque constat doit expliquer le résultat observé, l’accès ou l’opération démontrés, leurs limites et un test de recette pratique. Le périmètre et le calendrier du nouveau test sont convenus dans le cahier des charges.
Consultez l’exemple de Healthcare AG ou examinez les livrables avant de discuter de vos besoins.
Préparez un brief avant l’appel de cadrage
Décrivez le service de soins et le périmètre informationnel à évaluer. Distinguez les accès côté patient, les rôles cliniques et les intégrations des fournisseurs afin que le test puisse répondre à une question précise.
Utilisez le générateur gratuit de documents de définition du périmètre pour les tests d’intrusion dans le secteur de la santé afin de consigner les objectifs, les domaines d’évaluation, les contraintes et vos préférences concernant le NDA. Examinez le périmètre proposé, puis envoyez-le directement à Atlant Security via le formulaire de contact.
