Image
84 questions / réponses
84 questions / réponses
[ Date de mise à jour :
]
Ségur Vague 1, Ségur Vague 2
Après certification, le CNDA remet à l’éditeur :
- L'attestation de conformité ;
- La lettre de référencement.
L’éditeur utilise ensuite l’attestation de conformité comme preuve de certification auprès de l’ANS.
Vous trouverez ci-dessous un exemple d'attestation de conformité :
Cette réponse vous a-t-elle été utile ?
[ Date de mise à jour :
]
Ségur Vague 2
Le contenu des traces fonctionnelles attendues est défini par l’exigence SC.MSS/CONF.18.
L’objectif est de permettre un suivi des actions significatives réalisées sur les boîtes aux lettres MSSanté, sans conserver l’intégralité des échanges IMAP/SMTP ni le contenu des messages.
Ainsi, pour chaque boîte aux lettres, il est attendu a minima que les traces permettent de connaître :
- l’identifiant de l’auteur de l’action, dûment authentifié ;
- l’horodatage local du poste au moment de l’action ;
- le type d’action réalisée (consultation, envoi, suppression, etc.) ;
- la demande effectuée sur le serveur de messagerie MSSanté ;
- la réponse fournie par le serveur (y compris en cas d’échec).
Le contenu des messages ne doit en aucun cas être tracé. Le choix du niveau de détail des traces et des traitements suivis est laissé à l’appréciation de l’éditeur, dans la mesure où ces traces visent avant tout à le protéger, notamment en cas de requête judiciaire ou d’incident de sécurité. Il est toutefois attendu a minima que les actions d’envoi et de suppression de messages soient tracées.
Concernant la durée de conservation :
- Comme indiqué au §5 du référentiel #2 MSSanté, une durée de conservation de 6 mois est recommandée pour ces traces fonctionnelles.
- Le responsable de traitement (LPS) reste libre de définir la durée exacte de conservation, en fonction de son analyse de risques et de son cadre réglementaire.
- Les traces doivent être soumises aux mêmes mesures de sécurité et de confidentialité que les données MSSanté auxquelles elles se rattachent (mesures organisationnelles, techniques, etc.).
Cette réponse vous a-t-elle été utile ?
[ Date de mise à jour :
]
Ségur Vague 2
Le CIBA est prévu dans la vague 2 du Ségur en tant que profil optionnel. En cas de client lourd, l'éditeur doit proposer les deux solutions (code flow et CIBA) => SC.PSC.01 et SC.PSC.13. Le profil est obligatoire lorsque l’éditeur a choisi d’implémenter dans sa solution logicielle l’authentification ProSanté Connect par le protocole CIBA (§3.1 du DSR DPI).
Cette réponse vous a-t-elle été utile ?
[ Date de mise à jour :
]
Ségur Vague 1
Il n'entre pas dans le rôle de la PFI de générer les documents, d'en contrôler le contenu, ou de les modifier, mais bien de les transmettre.
Cette réponse vous a-t-elle été utile ?
[ Date de mise à jour :
]
Ségur Vague 2
Les durées de conservation sont une responsabilité du responsable de traitement.
En tant qu'éditeur, vos logiciels doivent être capables de gérer deux durées de conservation distinctes :
- Les traces techniques (ex. logs d'erreurs, événements système) pour le support et la maintenance du logiciel, conservées sur une courte période de 6 mois à 1 an (recommandations CNIL).
- Les traces applicatives (ex. journaux d'accès aux dossiers patients) pour des raisons légales et de traçabilité, conservées sur une longue période de 20 ans, conformément à la durée de conservation des dossiers médicaux (article R.1112-7 du code de la santé publique).
Ces traces constituent des données à caractère personnel et il faut donc prévoir des mesures de sécurité adaptées à cette longue durée de conservation, ainsi qu’une information adaptée (par exemple, via les conditions générales d'utilisation (CGU) ou la politique de confidentialité) du responsable de traitement, voire une capacité d’adaptation des durées par ce dernier.
Cette réponse vous a-t-elle été utile ?
[ Date de mise à jour :
]
Ségur Vague 1, Ségur Vague 2
Oui, il doit être possible d'envoyer le courriel MDN à une ou plusieurs BAL organisationnelles ou personnelles en fonction de la BAL destinataire du mail initial.
Cette réponse vous a-t-elle été utile ?
[ Date de mise à jour :
]
Ségur Vague 1, Ségur Vague 2
Non, cela n'est pas interdit. Toutefois dans le cadre des échanges automatisés décrits dans les exigences, seuls sont concernés les CDA.
Cette réponse vous a-t-elle été utile ?
[ Date de mise à jour :
]
Ségur Vague 2
La réalisation d’un audit PASSI (conditions de réalisation spécifiques et auditeur certifié PASSI) n’est pas requise. La seule obligation est de faire réaliser le test d'intrusion par un organisme qualifié PASSI.
La liste des prestataires de services qualifiés peut être retrouvée ici : https://cyber.gouv.fr/decouvrir-les-solutions-qualifiees
NB : Le lien ci-dessus est susceptible de changer si l'ANSSI y apporte des modifications a posteriori.
Cette réponse vous a-t-elle été utile ?
[ Date de mise à jour :
]
Ségur Vague 1, Ségur Vague 2
Vous devrez redéposer vos preuves sur chaque DSR sur lesquels vous candidatez.
Cette réponse vous a-t-elle été utile ?
[ Date de mise à jour :
]
Ségur Vague 1, Ségur Vague 2
S'agissant des montées de version Ségur, le logiciel utilisé pour produire les preuves de conformité aux exigences du Ségur doit être disponible à la commercialisation. La convention de référencement Ségur stipule que l’éditeur doit pouvoir commercialiser les montées de version logiciel référencé au plus tard dans les 2 mois à compter de l’entrée en vigueur de la Convention. La montée de version de ce logiciel étant engagée suite au référencement.
Cette réponse vous a-t-elle été utile ?
Vous ne trouvez pas la réponse à votre question ?
Posez nous votre question !
Besoin d'une mise en relation avec nos experts dédiés ?
Déjà inscrit ?
