62 résultats
62 résultats
Il peut sembler inutile d'envoyer une notification sur une coordonnée (adresse email, numéro de téléphone) que le professionnel veut justement abandonner. Ceci permet toutefois, en cas d'usurpation d'identité, de prévenir le professionnel légitime qu'une coordonnée a été modifiée à son insu (il pourra alors demander une fermeture des accès et une nouvelle modification).
De plus, dans tous les cas, le professionnel retrouvera de manière précise sur cette ancienne coordonnée, utilisée sur une période donnée, la date de bascule vers sa nouvelle coordonnée.
Cette réponse vous a-t-elle été utile ?
Lorsqu'une nouvelle instance d'un logiciel ou d'un service est déployée, il faut que les mesures de restriction relatives à l'authentification par mot de passe seul soient en place sans nécessiter de configuration spécifique. Cela n'interdit pas de pouvoir modifier cette configuration, par exemple là où le référentiel d'identification électronique ne s'applique pas. Cependant, ceci évite les non-conformités lorsqu'aucune action de configuration n'est effectuée après installation / restauration d'une solution.
Cette réponse vous a-t-elle été utile ?
La solution doit permettre de respecter les exigences en termes de robustesse des mots de passe attendues dans les exigences et cela doit être paramétré ainsi dans la configuration par défaut.
En revanche, il n’est pas interdit qu’un paramétrage plus permissif soit possible (par exemple le produit n’est pas nécessairement commercialisé qu’en France). C’est alors de la responsabilité de l’établissement de santé si celui-ci fait volontairement baisser la robustesse du mot de passe. L’éditeur ne saurait être tenu pour responsable dans ce cas.
Cette réponse vous a-t-elle été utile ?
Lorsque le moyen d'authentification comprend deux facteurs, l'exigence ne s'applique pas mais ceci ne dispense pas pour autant de mettre en place des mesures contre les attaques par force brute. Par exemple, si le second facteur a été compromis (l'attaquant reçoit par exemple les OTP d'authentification), il ne faut pas permettre des tentatives répétées de soumission de mot de passe sans limite. Le responsable du moyen d'authentification doit alors mettre en œuvre des mesures identiques ou alternatives à celles prévues par l'exigence pour le cas de l'authentification par mot de passe seul.
Cette réponse vous a-t-elle été utile ?
Le délai est à définir au cas par cas par le responsable du service numérique. Il doit être assez court pour limiter les possibilités d'accès au système par un tiers mais assez long pour ne pas forcer inutilement des authentifications intempestives.
Le compromis doit être établi en fonction des risques et des contraintes opérationnelles propres au service. La durée d'inactivité provoquant la déconnexion automatique ne devrait pas pouvoir dépasser quelques dizaines de minutes dans tous les cas.
Cette réponse vous a-t-elle été utile ?
Les preuves requises consistent en des captures d'écran ou des séquences vidéo illustrant les mesures de gestion des comptes d'utilisateurs, la connexion et la déconnexion au système.
Cette réponse vous a-t-elle été utile ?
Les exigences découlent du référentiel d’identification électronique qui a été rendu opposable par arrêté ministériel conformément au code de la santé publique, Art. L. 1470-1. à Art. L. 1470-6 (arrêté du 28 mars 2022). Il fait partie de la Politique Générale de Sécurité des Systèmes d’Information en Santé (PGSSI-S).
Le respect du référentiel d'identification électronique engage dès lors la responsabilité des responsables de traitement assujettis à ce référentiel. En particulier, la Commission Nationale de l'Informatique et des Libertés (CNIL) peut diligenter des audits et sanctionner les établissements pour un défaut d'application du référentiel d'identification électronique.
Les différents volets du référentiel d'identification électronique peuvent être récupérés sur le site de publication de la PGSSI-S par l'ANS.
Cette réponse vous a-t-elle été utile ?
Le référentiel d'identification électronique annule et remplace au 1er juin 2022 trois référentiels de la PGSSI-S :
- Le référentiel d’identification des acteurs sanitaires et médico-sociaux v1.0 ;
- Le référentiel d’authentification des acteurs de santé v2.0;
- Le référentiel des autorités de certification éligibles pour l’authentification publique dans le secteur de la santé v2.0.
Cette réponse vous a-t-elle été utile ?
La vague 2 du Ségur n'exige qu'une compatibilité générique avec le standard OIDC et le flux Authentication Code Flow. Les éditeurs sont libres de faire les choix de paramétrage qui leur conviennent du moment qu'ils s'inscrivent dans le cadre du standard. Le financement de connecteurs OIDC spécifiques à certains établissements n'est pas compris dans le Ségur. Il fera l'objet d'une contractualisation directement avec les établissements en ayant besoin.
Cette réponse vous a-t-elle été utile ?
Tous les éléments externes s'interfaçant avec les services numériques et nécessaires aux scénarios de preuve seront fournis par l'ANS avec un guide de raccordement/configuration.
Cette réponse vous a-t-elle été utile ?