FAQ des industriels

La période de contrôle dure à minima deux mois. Lorsque les résultats des contrôles vous sont envoyés, nous vous indiquerons l'étape de contrôle où nous nous situons et les délais pour fournir les éléments justificatifs.

Rappel de l'exigence : Lors de la visualisation d’un document au format HL7 CDA R2, le Système DOIT le rendre lisible par un humain (l'entête et le corps) avec la feuille de style envoyée par le producteur si elle existe, sinon avec la feuille de style du consommateur (un lien pour obtenir une feuille de style d'exemple est fournie dans le scénario).

Scénario - Vérifier la lisibilité par l'utilisateur des données d'un document au format HL7 CDA R2 N1
Prérequis : Un document au format HL7 CDA R2 N1 est reçu par le système.
Etapes du scénario : 

• intégrer un document H7 CDA R2 niv 1 ;
• afficher les données de l'en-tête d'un document au format CDA R2 N1.

Il est recommandé au consommateur de vérifier et de nettoyer la feuille de style du producteur afin de se prémunir des attaques de type injection, Cross Site Scripting, déni de service...etc. Si la feuille de style du producteur présente un quelconque risque de sécurité, le système doit utiliser sa propre feuille de style pour afficher le document.

La version v15 apporte des clarifications et un point de contrôle en moins qui est la vérification antivirus lors de upload de fichier. Selon le cas il est possible :

• soit l'ENS a déjà réalisé le test d’intrusion sur la base d’une version plus ancienne du formulaire alors l'ENS peut poursuivre sur cette base ; il n'est donc pas nécessaire de relancer un audit complet sur le nouveau formulaire. Si l'ENS a une non conformité sur le point de contrôle qui a été retiré de la nouvelle version du formulaire test d'intrusion v15, ce point n'est pas considéré comme bloquant.
• soit l' ENS n'a pas encore réalisé le test d’intrusion et il faut alors obligatoirement partir sur la nouvelle version du formulaire v15.

Il est nécessaire de :

• préciser les standards d'authentification sécurisés utilisés pour l'authentification des utilisateurs (exemple : OAuth2, SAML etc.…) ; 
• préciser les mécanismes mis en place pour authentifier les parties communicantes (exemple : certificats numériques x.509) ; 
• préciser les noms et les versions des protocoles de communication utilisés pour la transmission des flux vidéo (webRTC, RTP etc.…) et les mécanismes de protection de ces protocoles le cas échéant ; 
• préciser les mécanismes mis en place pour assurer l'intégrité des données transmises (algorithmes SHA-256, HMAC etc.…) ; 
• éventuellement, fournir un schéma d'architecture montrant comment les flux vidéo sont protégés de bout en bout, pour appuyer les éléments précédents ; 
• préciser les protocoles ne pouvant être chiffrés, le cas échéant.

La plateforme interop.esante.gouv.fr permet de visualiser les preuves en avance de phase, mais pour le référencement vous devez utiliser la plateforme interopsegur.esante.gouv.fr.

Ces preuves avaient été mises en place dans le cadre d'une certification pour le 31/12/2023. Elles n'ont plus lieu d'être. Pour rappel, pour être conforme aux exigences pentest, il faut :

• qu’il n’y ait plus aucune non-conformité pour les points de contrôle de gravité haute,
• qu’il y ait moins de 10 non-conformités pour les points de contrôle de gravité moyenne. 

Dans ce cas, pas besoin de lettre d'engagement à effectuer les démarches correctives.

Non, il est simplement nécessaire de fournir un lien permanent vers le test "CI-SIS-CR-CDA-N1-Create_doc-Sc1" pour un type de document géré par la solution.