Que doit comprendre le périmètre ?
Deux devis ne sont comparables que s’ils couvrent le même travail. Pour un test d’intrusion dans le secteur de la santé, énumérez les portails patients, les API de santé et les accès fournisseurs, et définissez également les rôles, les environnements et les opérations métier à tester. Précisez les preuves attendues, les actions interdites et si la demande inclut un nouveau test.
Associer les services à leurs dépendances
Un portail patient peut être bien protégé au niveau de l’écran de connexion, alors qu’une intégration de laboratoire accepte un identifiant de dossier sans vérifier l’organisation à l’origine de la demande. Un test utile suit ces transmissions, y compris les processus d’assistance qui se situent en dehors de l’application principale.
Répertoriez d’abord les services métier ou de soins, puis cartographiez les applications, les systèmes d’identité, les réseaux et les fournisseurs qui les prennent en charge. Consignez le responsable habilité à autoriser chaque composant. Le seul nombre de domaines ne permet de décrire ni les limites d’autorisation ni les conséquences opérationnelles.
Préparez les rôles et les données représentatives
Fournissez des identités dédiées, avec des rôles documentés et des autorisations attendues connues. Utilisez plusieurs locataires, clients ou unités organisationnelles lorsque les limites font partie de l’objectif. Étiquetez les objets leurres afin que les personnes chargées des tests et les responsables puissent les distinguer des enregistrements réels.
Sélectionnez les domaines d’évaluation
- Tests des portails patients et des API de santé : Les contrôles d’accès au niveau des objets, les relations entre patients et mandataires, l’isolation des environnements des prestataires et les exports en masse nécessitent des tests ciblés avec différentes identités. Une connexion valide n’est que le début du modèle d’autorisation.
- Tests des réseaux et des identités dans le secteur de la santé : Les réseaux des cliniques, l’identité centralisée et l’assistance externalisée relèvent souvent de responsables différents. Un accès d’administration temporaire ou un groupe d’assistance partagé peut devenir discrètement une voie permanente vers des accès privilégiés.
- Tests des accès fournisseurs et des intégrations dans le secteur de la santé : Les laboratoires, les fournisseurs de gestion des rendez-vous et les équipes d’assistance peuvent chacun détenir des identifiants dont la portée dépasse les besoins de leur tâche immédiate. Les environnements mutualisés et l’infrastructure des fournisseurs nécessitent des limites d’autorisation clairement définies avant les tests.
Convenir des conditions de test
Utilisez des identités de patients synthétiques et des cohortes de données convenues. Désignez un contact pour l’escalade clinique, fixez des limites de requêtes et excluez les actions ayant un effet sur les soins, sauf autorisation distincte. Arrêtez immédiatement les tests si des données cliniques réelles inattendues sont rencontrées ou si un parcours de soins est menacé.
- Sources de test, destinations et interfaces autorisées désignées.
- Créneaux horaires, limites de débit et méthodes exclues approuvés.
- Consentement des tiers, contacts de contrôle et autorité habilitée à interrompre les tests.
- Responsabilités relatives à la gestion des éléments probants, au nettoyage, au reporting et aux tests de retest.
Rendre les changements visibles
Consignez les mises en production, les nouveaux parcours et les changements d’autorisations intervenus pendant le test. Si un parcours inattendu atteint un système situé hors du périmètre autorisé, suspendez le test et clarifiez le périmètre avec le décideur désigné. Mentionnez les dépendances non testées dans la déclaration finale de couverture.
Préparez un brief avant l’appel de cadrage
Décrivez le service de soins et le périmètre informationnel à évaluer. Distinguez les accès côté patient, les rôles cliniques et les intégrations des fournisseurs afin que le test puisse répondre à une question précise.
Utilisez le générateur gratuit de documents de définition du périmètre pour les tests d’intrusion dans le secteur de la santé afin de consigner les objectifs, les domaines d’évaluation, les contraintes et vos préférences concernant le NDA. Examinez le périmètre proposé, puis envoyez-le directement à Atlant Security via le formulaire de contact.
