Que doit comprendre le périmètre ?
Deux devis ne sont comparables que s’ils couvrent le même travail. Pour un test d’intrusion en milieu hospitalier, énumérez les réseaux cliniques, les intégrations EHR/PACS et la maintenance à distance, et définissez également les rôles, les environnements et les opérations métier à tester. Précisez les preuves attendues, les actions interdites et si la demande inclut un nouveau test.
Associer les services à leurs dépendances
Une session d’assistance administrative peut aller du courtier d’accès d’un fournisseur jusqu’à la gestion de la reprise. Une sauvegarde opérationnelle peut néanmoins dépendre d’un fournisseur d’identité indisponible avant qu’une application clinique restaurée puisse être utilisée. Nous relions ces détails techniques à un périmètre de service convenu.
Répertoriez d’abord les services métier ou de soins, puis cartographiez les applications, les systèmes d’identité, les réseaux et les fournisseurs qui les prennent en charge. Consignez le responsable habilité à autoriser chaque composant. Le seul nombre de domaines ne permet de décrire ni les limites d’autorisation ni les conséquences opérationnelles.
Préparez les rôles et les données représentatives
Fournissez des identités dédiées, avec des rôles documentés et des autorisations attendues connues. Utilisez plusieurs locataires, clients ou unités organisationnelles lorsque les limites font partie de l’objectif. Étiquetez les objets leurres afin que les personnes chargées des tests et les responsables puissent les distinguer des enregistrements réels.
Sélectionnez les domaines d’évaluation
- Tests de segmentation des réseaux cliniques : Un schéma réseau consigne l’architecture prévue. Les environnements hospitaliers ont besoin d’éléments probants sur les chemins réels entre source et destination, y compris les exceptions héritées et les services partagés nécessaires aux opérations cliniques.
- Tests des intégrations DME, PACS et cliniques : Les interfaces utilisateur, les moteurs d’intégration et les services d’archivage peuvent appliquer des autorisations différentes. Le périmètre doit préciser si le test couvre l’application, l’infrastructure, une intégration ou les trois.
- Tests des voies d’attaque par rançongiciel et de la reprise hospitalière : La préparation face aux rançongiciels ne se limite pas à vérifier qu’une tâche de sauvegarde a abouti. Des rôles de reprise trop étendus, des sessions d’assistance persistantes et des dépendances d’identité manquantes peuvent compromettre une stratégie de reprise par ailleurs solide.
Convenir des conditions de test
Convenir des conditions d’arrêt avec les opérations cliniques et l’ingénierie biomédicale. Exclure les modifications des traitements et l’interrogation active des dispositifs sensibles, sauf autorisation expresse. Pour chaque fenêtre de test, utiliser un flux de travail clinique canari, des cadences contrôlées et désigner nommément une personne d’astreinte habilitée à prendre des décisions.
- Sources de test, destinations et interfaces autorisées désignées.
- Créneaux horaires, limites de débit et méthodes exclues approuvés.
- Consentement des tiers, contacts de contrôle et autorité habilitée à interrompre les tests.
- Responsabilités relatives à la gestion des éléments probants, au nettoyage, au reporting et aux tests de retest.
Rendre les changements visibles
Consignez les mises en production, les nouveaux parcours et les changements d’autorisations intervenus pendant le test. Si un parcours inattendu atteint un système situé hors du périmètre autorisé, suspendez le test et clarifiez le périmètre avec le décideur désigné. Mentionnez les dépendances non testées dans la déclaration finale de couverture.
Préparez un brief avant l’appel de cadrage
Commencez par les services hospitaliers qui doivent rester disponibles et les limites que vous souhaitez évaluer. Rendez visibles les exclusions, les dépendances aux fournisseurs et le pouvoir d’arrêt clinique avant d’élargir le périmètre technique.
Utilisez le générateur gratuit de documents de définition du périmètre pour les tests d’intrusion hospitaliers afin de consigner les objectifs, les domaines d’évaluation, les contraintes et vos préférences concernant le NDA. Examinez le périmètre proposé, puis envoyez-le directement à Atlant Security via le formulaire de contact.
