Règles d’engagement des tests d’intrusion hospitaliers : liste de contrôle de sécurité

La décision que ce guide vous aide à prendre

Désignez les personnes habilitées à interrompre le test et le canal de communication de secours si un service testé devient indisponible. Définissez les cibles et opérations autorisées, les exclusions cliniques et les conditions de reprise des activités. Une autorisation générale ne constitue pas un plan de sécurité opérationnelle.

Faites transiter les décisions cliniques par le canal de contrôle

Désignez une personne responsable de la sécurité, un représentant des opérations cliniques et les responsables techniques concernés. Déterminez qui peut suspendre l’activité sans attendre une réunion hebdomadaire. La voie d’escalade doit rester utilisable même si le service d’identité ou de communication testé est indisponible.

Remplacer l'autorisation générale par un périmètre opérationnel

Répertoriez les hôtes sources, les destinations, les comptes de test et les plages horaires autorisés. Consignez les dispositifs médicaux, les parcours de soins et les systèmes fournisseurs partagés exclus des tests actifs. Une autorisation générale de l’hôpital ne définit ni les limites contractuelles de chaque fournisseur ni la tolérance de chaque dispositif aux requêtes actives.

Définir des conditions d’arrêt observables

Convenir des seuils de dégradation du service, d’accès inattendu aux données, d’alertes cliniques et d’incertitude quant au périmètre. L’équipe de test doit s’arrêter à la limite, conserver un minimum d’éléments de preuve et demander une décision par le canal de contrôle. Consigner la décision avant de reprendre, sans interpréter le silence comme une approbation.

Planifier le nettoyage et la passation

Rapprochez les comptes canari, les fichiers, les règles et les sessions à la fin de chaque phase convenue. L’équipe opérationnelle d’un hôpital a besoin d’une liste précise des éléments introduits et de ceux qui subsistent. Prévoyez un canal de signalement des incidents réels détectés pendant les tests, distinct du scénario simulé.

Répéter une décision difficile avant le test

Examinez une situation concrète avec l’équipe hospitalière : un contrôle autorisé d’une application entraîne une latence inattendue alors qu’un service clinique est fortement sollicité. Qui reçoit l’appel, qui peut interrompre l’activité et qui décide de sa reprise ? Consignez les contacts principal et suppléant, le canal de communication et l’accusé de réception attendu des testeurs. Un numéro d’urgence générique ne suffit pas si personne au bout du fil ne peut identifier le test ou joindre le responsable du service concerné.

L’exercice devrait inclure un incident réel survenant pendant la même période. Les activités de test ne doivent pas amener les défenseurs à écarter une alerte sans rapport avec l’évaluation en la considérant comme faisant partie de celle-ci. Convenez de la manière dont l’équipe de coordination à accès restreint distinguera ces situations et les fera remonter sans diffuser inutilement des détails sensibles de l’exercice.

Formuler les restrictions sous forme d’instructions opérationnelles

Remplacez « éviter les perturbations » par des consignes applicables par les testeurs. Identifiez les appareils et méthodes interdits, les comptes autorisés, les limites de requêtes, les fenêtres de maintenance, les effets secondaires des notifications et les éléments probants autorisés. Précisez si une écriture en base de données, l'envoi d'un message ou un test de verrouillage de compte nécessite une décision distincte. Ces conditions doivent suivre les dépendances du service, et pas seulement sa plage d'adresses IP. Prévoyez une solution de remplacement sûre lorsqu'un contrôle peut être évalué par une revue de configuration ou au moyen d'une destination canari.

Pour les points d’accès des fournisseurs, le guide sur le cycle de vie des sessions des fournisseurs de santé aide à définir l’approbation, le périmètre autorisé et la révocation comme des contrôles distincts. La présence d’un responsable opérationnel différent peut être nécessaire pour chacun d’eux.

Définir explicitement la reprise et le nettoyage

Une activité suspendue ne doit reprendre qu’après confirmation par le responsable convenu que la situation est comprise et que les mesures de protection nécessaires sont en place. Consignez dans le registre des preuves le motif de la suspension et toute modification du périmètre qui en découle. À la fin de chaque créneau, rapprochez les comptes temporaires, les sessions, les fichiers téléversés et les objets synthétiques d’un inventaire convenu. Demandez au responsable du service de confirmer que le flux de travail habituel concerné fonctionne toujours.

Les institutions financières appliquent différents modèles de gouvernance aux tests avancés fondés sur les menaces, mais la discipline pratique d’escalade présentée dans le guide de l’équipe de contrôle DORA TLPT est utile pour concevoir une coordination à accès restreint. Appliquer cette recommandation ne transforme pas un test d’intrusion hospitalier en DORA TLPT et ne crée pas de processus réglementaire équivalent.

Mettez les recommandations en pratique

Utilisez la liste de préparation pour consigner les hypothèses, ou consultez le rapport fictif de Hospital AG pour des exemples d’éléments probants et de plans de traitement. Contactez Atlant Security en fournissant une description non sensible du périmètre.