Secteurs · Santé
Pour les établissements de santé
Un établissement ne peut pas s'arrêter le temps d'une investigation. Savoir ce qui circulait déjà, et depuis quand, décide de ce qui est urgent.
La chaîne d'un établissement
Le risque entre rarement par la porte principale
Dossier patient, imagerie, biologie, logistique, maintenance biomédicale : autant de tiers qui accèdent au système d'information, et dont l'exposition devient la vôtre.
La chaîne d'un établissement de santé
- Dossier patient
- Imagerie
- Biologie
- Logistique et repas
- Maintenance biomédicale
11/2023extraction d'une base de comptes soignants mise en vente, bien avant toute notification
Un établissement ne peut pas s'arrêter le temps d'une investigation. Savoir ce qui circulait déjà, et depuis quand, permet de trier ce qui relève de l'urgence et ce qui relève de la remédiation planifiée.
Schéma de principe. Les dates sont illustratives et ne décrivent aucun établissement réel.
Ce que ça change
Trier, prouver, prévenir
Trier sans arrêter les soins
Une exposition ancienne et déjà largement diffusée n'appelle pas la même réponse qu'une mise en vente d'hier.
Documenter la notification
Ce qui est sorti, où, et depuis quelle date : c'est ce qu'on vous demandera d'établir, pas ce que vous supposez.
Protéger les personnels
Comptes soignants, coordonnées personnelles, plannings : ce qui expose une équipe autant qu'un système.
Le cadre
Une entité essentielle au sens de NIS2
Le secteur de la santé figure parmi les secteurs hautement critiques de la directive (UE) 2022/2555. Les obligations de gestion du risque, de suivi de la chaîne d'approvisionnement et de notification s'appliquent donc, et elles se documentent.
Nous n'intervenons pas dans votre système d'information : nous regardons ce qui en est sorti, depuis l'extérieur, sur des sources publiquement accessibles. C'est ce qui rend le constat opposable sans rien ajouter à votre surface d'attaque.
Commencer par un état des lieux
Un périmètre d'établissement suffit pour voir ce qui circule déjà, et depuis quand.