Liste de préparation aux tests d’intrusion dans le secteur de la santé : avant le début des tests

Éliminez les retards évitables avant le test

Avant de tester les portails patients, les API de santé et les accès des fournisseurs, confirmez les responsables nommément désignés, les environnements autorisés, les accès représentatifs et les contacts à joindre pour arrêter les tests. Des accès manquants ou des autorisations ambiguës peuvent limiter la couverture utile. Passez la liste de contrôle avec les responsables techniques et opérationnels avant de convenir de la date de démarrage.

Définir l’objectif

• Repérez les situations où une interaction numérique pourrait donner accès au dossier d’un autre patient, à un compte de service trop privilégié ou à un réseau d’assistance insuffisamment cloisonné.
• Indiquez les responsables du service et la décision que le test doit éclairer.
• Sélectionnez les applications, les réseaux, les identités et les intégrations inclus dans le périmètre.

Établir l’autorisation

• Obtenez une autorisation écrite pour chaque environnement dont vous êtes propriétaire.
• Confirmez les limites entre fournisseurs et plateformes partagées.
• Consigner les méthodes interdites et les systèmes hors périmètre.

Préparez le plan opérationnel

• Utilisez des identités de patients synthétiques et des cohortes de données convenues. Désignez un contact pour l’escalade clinique, fixez des limites de requêtes et excluez les actions ayant un effet sur les soins, sauf autorisation distincte. Arrêtez immédiatement les tests si des données cliniques réelles inattendues sont rencontrées ou si un parcours de soins est menacé.
• Désigner une personne principale et une personne suppléante habilitées à interrompre l’activité.
• Convenir des communications, des fenêtres d’intervention, des limites de requêtes et de l’escalade des incidents.

Préparez des accès représentatifs

• Créez des dossiers synthétiques et des rôles de test dédiés.
• Documentez les décisions attendues concernant les accès inter-locataires et les accès à privilèges élevés.
• Mettez en place un canal confidentiel pour les informations techniques.

Planifier la livraison et la clôture

• Convenir des exigences en matière de périmètre, d’éléments probants, de rapports et de conservation.
• Attribuez les mesures correctives à des responsables et incluez les critères de nouveau test.
• Rapprochez les comptes, les sessions et les objets canari introduits.