La société de cybersécurité FireEye se penchait cet été sur le coût des données de santé sur le dark web : des bases de données liées à la santé se vendent pour des sommes comprises entre 480 et 5 500 $. Les données de santé semblent donc attiser la convoitise des cybercriminels. Parmi les prérequis des établissements de santé publics pour le programme Hop’En, la direction générale de l’offre de soins a par ailleurs inclue la sécurité des systèmes d’information. Une importance accrue est accordée à la protection des données de santé et les tests d’intrusion informatique font partie des leviers de cybersécurité.
1 – Comprendre l’utilité d’un test d’intrusion :
“Un test d’intrusion sert à garantir le niveau de sécurité du système d’information, au sens d’une capacité à résister à un attaquant, explique Cédric Cartau, responsable sécurité des systèmes d’information (RSSI) et data protection officer (DPO) au CHU de Nantes. Il consiste de demander à un humain ou à un programme de pénétrer un site d’information plus ou moins sensible et avec des moyens techniques assez limités, et peut être effectué de l’intérieur ou de l’extérieur”.
Pour Loïc Chabanier, associé chez EY, le but des tests d’intrusion est de “protéger la sécurité des données et d’assurer l’intégrité et la confidentialité de la donnée sur toute la chaîne de valeur” : “les tests d’intrusions sont réalisés de manière préventive ou en réaction à une situation. Cela consiste à valider en temps réel que ce qui a été mis en place l’a été correctement et fonctionne. Ou de tester la sécurité en situation de crise. Aussi, quand des vulnérabilités importantes sont suspectées, il faut les corroborer ou en évaluer les profondeurs via un test d’intrusion”. Collaborateur chez Intrinsec, Quentin Lemaire compare un test d’intrusion (communément appelé pentest, pour penetration test, en anglais) à “la prise d’une photo à un instant t” du niveau de sécurité du périmètre audité (application, site web, système d’information, etc.) : “La logique est de faire régulièrement des campagnes globales de tests d’intrusion afin de suivre les évolutions et la bonne application des correctifs de sécurité. C’est aussi d’en réaliser dans les nouveaux environnements : quand l’établissement se dote d’une nouvelle application, quand un site web est construit ou un groupement racheté.