Quelle prestation souhaitez-vous commander ?
Une mission de test d’intrusion hospitalière utile commence par une décision métier : quel accès ou quelle opération un attaquant ne doit-il pas pouvoir obtenir ? Définissez les parcours réseau approuvés, les flux cliniques synthétiques et les dépendances de reprise, puis convenez de la manière dont le test démontrera le résultat. La proposition doit préciser séparément le périmètre, les exclusions, les responsabilités de réalisation, le contenu du rapport et tout éventuel retest.
Commencez par la décision de sécurité
Comprenez quelles voies d’accès peuvent atteindre les services d’assistance clinique, comment réagissent les équipes de défense et où la reprise dépend de systèmes extérieurs à la plateforme de sauvegarde.
Les tests en milieu hospitalier nécessitent un plan opérationnel : responsables cliniques, exclusions d’appareils, autorisations des fournisseurs, procédures d’escalade et réponse réaliste en cas d’évolution de l’environnement pendant le test.
Une session d’assistance administrative peut aller du courtier d’accès d’un fournisseur jusqu’à la gestion de la reprise. Une sauvegarde opérationnelle peut néanmoins dépendre d’un fournisseur d’identité indisponible avant qu’une application clinique restaurée puisse être utilisée. Nous relions ces détails techniques à un périmètre de service convenu.
Un périmètre convenu, pas un scan sans limites
Nous définissons les systèmes, identités, processus et interfaces nécessaires pour répondre aux objectifs de l’évaluation. L’autorisation écrite, l’accord des tiers, les comptes de test et un jeu de données convenu doivent être en place avant toute activité opérationnelle. Une proposition consigne les éléments inclus, les exclusions et les dépendances.
- Tests de segmentation des réseaux cliniques — Validez les frontières entre les réseaux administratifs, cliniques, des dispositifs et de gestion.
- Tests des intégrations DME, PACS et cliniques — Évaluez les relations de confiance autour des applications cliniques et des services qui les prennent en charge.
- Tests des voies d’attaque par rançongiciel et de la reprise hospitalière — Examinez l’accès aux contrôles de reprise et les dépendances nécessaires au rétablissement d’un service clinique.
Questions auxquelles le test peut répondre
- Une session de fournisseur peut-elle passer de l’assistance à distance à l’infrastructure clinique ?
- Un compte non clinique peut-il modifier un parcours d’orientation préconfiguré ?
- Un service clinique isolé peut-il être rétabli avec ses dépendances d’identité et d’intégration ?
Il s’agit d’exemples destinés à définir le périmètre, et non d’affirmer que chaque mission inclut toutes les méthodes ou tous les systèmes. Le plan de test final consigne les actions autorisées, les résultats attendus et les observations nécessaires pour étayer chaque conclusion.
Les mesures de protection opérationnelles font partie de la méthode
Convenir des conditions d’arrêt avec les opérations cliniques et l’ingénierie biomédicale. Exclure les modifications des traitements et l’interrogation active des dispositifs sensibles, sauf autorisation expresse. Pour chaque fenêtre de test, utiliser un flux de travail clinique canari, des cadences contrôlées et désigner nommément une personne d’astreinte habilitée à prendre des décisions.
Les tests peuvent présenter des risques. Convenez des personnes habilitées à suspendre les activités, des conditions déclenchant une escalade et des moyens de distinguer les incidents réels des activités de l’exercice. L’envoi d’une demande par ce site web n’autorise aucun test.
Des constats aux actions vérifiées
Vous recevrez une synthèse à l’intention de la direction, un compte rendu technique au périmètre défini, des constats reproductibles et un registre des mesures correctives. Chaque constat doit expliquer le résultat observé, l’accès ou l’opération démontrés, leurs limites et un test de recette pratique. Le périmètre et le calendrier du nouveau test sont convenus dans le cahier des charges.
Consultez l’exemple de Hospital AG ou examinez les livrables avant de discuter de vos besoins.
Préparez un brief avant l’appel de cadrage
Commencez par les services hospitaliers qui doivent rester disponibles et les limites que vous souhaitez évaluer. Rendez visibles les exclusions, les dépendances aux fournisseurs et le pouvoir d’arrêt clinique avant d’élargir le périmètre technique.
Utilisez le générateur gratuit de documents de définition du périmètre pour les tests d’intrusion hospitaliers afin de consigner les objectifs, les domaines d’évaluation, les contraintes et vos préférences concernant le NDA. Examinez le périmètre proposé, puis envoyez-le directement à Atlant Security via le formulaire de contact.
