Comparer les propositions de manière équitable
Demandez à chaque prestataire de chiffrer les mêmes réseaux cliniques, intégrations DPI/PACS et accès de maintenance à distance, et d’expliquer ses hypothèses concernant les rôles, les accès, les environnements et les fenêtres de test. Demandez des éléments pertinents sur l’expérience de l’équipe chargée de la mission ainsi qu’un exemple de rapport. Comparez les tests et contre-tests proposés avant de comparer les tarifs journaliers ; le montant le plus bas peut correspondre à une mission différente.
Évaluez les travaux proposés et l’équipe
Demandez les noms des personnes affectées aux rôles de prestation, leur expérience pertinente, leurs disponibilités et les éléments étayant toute affirmation professionnelle. Vérifiez si des sous-traitants interviennent et comment sont gérés l’indépendance et les conflits d’intérêts. Ce site ne formule aucune affirmation non vérifiée concernant des certifications ou accréditations.
Les tests en milieu hospitalier nécessitent un plan opérationnel : responsables cliniques, exclusions d’appareils, autorisations des fournisseurs, procédures d’escalade et réponse réaliste en cas d’évolution de l’environnement pendant le test.
Précisez la proposition
- Objectifs, systèmes, rôles, scénarios et exclusions explicites.
- Fenêtres opérationnelles, contrôles de sécurité, données de test et autorisations des prestataires.
- Responsabilités désignées pour l’escalade des incidents et les décisions d’arrêt.
- Transfert sécurisé, conservation, confidentialité et traitement des éléments probants.
- Rapports, échanges sur les corrections, contre-tests inclus et gestion des changements.
Examiner le fond d’un exemple
Recherchez des observations concrètes et des critères d’acceptation vérifiables. Un constat d’analyse sans validation ou un récit d’attaque sans limites de périmètre est difficile à exploiter. Comparez le niveau de détail technique de l’exemple aux livrables prévus dans la proposition.
Notre exemple de Hospital AG est explicitement fictif et disponible pour cette évaluation.
Comprenez les critères qui déterminent la durée et les frais
Les systèmes, l’ampleur, les rôles, la logique métier, les tiers et les fenêtres opérationnelles déterminent les travaux. Aucun forfait public à prix fixe ni délai d’achèvement garanti n’est proposé. L’énoncé des travaux convenu doit préciser les hypothèses, les prestations incluses, la marge prévue pour les nouveaux tests et l’incidence des changements sur le calendrier.
Confirmer le plan opérationnel
Convenir des conditions d’arrêt avec les opérations cliniques et l’ingénierie biomédicale. Exclure les modifications des traitements et l’interrogation active des dispositifs sensibles, sauf autorisation expresse. Pour chaque fenêtre de test, utiliser un flux de travail clinique canari, des cadences contrôlées et désigner nommément une personne d’astreinte habilitée à prendre des décisions.
Préparez un brief avant l’appel de cadrage
Commencez par les services hospitaliers qui doivent rester disponibles et les limites que vous souhaitez évaluer. Rendez visibles les exclusions, les dépendances aux fournisseurs et le pouvoir d’arrêt clinique avant d’élargir le périmètre technique.
Utilisez le générateur gratuit de documents de définition du périmètre pour les tests d’intrusion hospitaliers afin de consigner les objectifs, les domaines d’évaluation, les contraintes et vos préférences concernant le NDA. Examinez le périmètre proposé, puis envoyez-le directement à Atlant Security via le formulaire de contact.
