FAQ de l'offre : Ségur du numérique en santé

Consultez l'annuaire santé et vérifiez quelle est la structure de vos clients. Selon la structure indiquée dans l'annuaire, vous pourrez déterminer à quelle procédure de commande de certificats se fier. Pour plus d'informations, nous vous invitons à consulter le guide suivant : 
https://esante.gouv.fr/sites/default/files/media_entity/documents/segur-numerique-radiologie-guide-certificats.pdf

Par ailleurs, le formulaire 413 n'est pas uniquement pour les SCM et les sociétés d'exercice. 

Les sociétés d’exercice doivent commander un certificat avec le numéro de SIRET. Il s’agit du numéro sur lequel la société facture ses feuilles de soins électroniques.
Les cabinets individuels et les cabinets de groupe  doivent commander un certificat sur le numéro RPPS RANG.

Le guide ci-après propose aux éditeurs et acteurs territoriaux les prérequis et les procédures nécessaires à l'obtention des certificats :  https://esante.gouv.fr/sites/default/files/media_entity/documents/segur-numerique-radiologie-guide-certificats.pdf

Le blocage de l’alimentation du DMP doit être unitaire et choisi par l’utilisateur.
L’utilisateur DOIT effectuer une action pour NE PAS ENVOYER dans le DMP (ex : case à cocher, bouton-radio…).
Cette action DOIT être effectuée pour CHAQUE document qu’il souhaite retenir.
Ce comportement DOIT être par défaut et DOIT être immuable : il NE DOIT PAS être configurable ou débrayable par l’utilisateur.

En vertu du RGPD vous devez déjà tracer l’accès aux données de santé à caractère personnel. Le fait de rajouter l’INS à ces données de santé à caractère personnel ne change rien. Il sera simplement vérifié que cette traçabilité est faite. Cette exigence sera vérifiée en s'assurant que lorsqu'un acteur accède au dossier d'un usager - doté ou non d'une INS (ouvre le dossier de cet usager) - cet accès est tracé dans la solution.

Non, l’ordre d’affichage des traits n’est pas une exigence. Néanmoins, il convient de respecter l’exigence SI 11 du RNIV : « Les traits d’identités affichés conformément à la réglementation doivent pouvoir être facilement distingués, sans risque d’équivoque, par les acteurs concernés ». 

La transmission de données patient à un autre professionnel via MSSanté n'implique pas de disposer d'une identité INS qualifié. Dans le cas où l'INS du patient n'est pas qualifiée, le document transmis ne doit pas contenir l'INS et l'OID.

Un TSP est un fournisseur de services de confiance qui fournit des certificats numériques utilisés pour authentifier et sécuriser les signatures électroniques.

La procédure de sauvegarde et de restauration doit contenir des informations détaillées sur la manière de réaliser des sauvegardes efficaces, ainsi que sur la manière de restaurer les données en cas de besoin. Cela peut inclure :

• Les acteurs de la procédure de sauvegarde et de restauration et leurs rôles (RACI) ;
• La fréquence de sauvegarde ;
• Le plan de sauvegarde mis en place par l'éditeur ;
• Le champ d'application (périmètre de la sauvegarde) ;
• Le lieu de stockage des sauvegardes ;
• Les méthodes de sauvegarde (ex: sauvegardes complètes, incrémentielles ou différentielles)
• Les règles de sécurité : les mesures de sécurité sont mises en place pour protéger les sauvegardes (ex: chiffrement des données, l'accès restreint aux sauvegardes,etc.) ;
• Les tests de récupération (champ des tests, fréquence, etc.) 

Cette exigence permet à la fois de s'assurer que le professionnel sera effectivement en mesure de s'authentifier (ou de récupérer son compte) le moment venu, et de renforcer la sécurité de l'authentification.
En effet :

• Si par exemple le professionnel commet une erreur à la saisie de son numéro de téléphone portable et que ce numéro est utilisé pour lui envoyer un code OTP par SMS comme second facteur d'authentification, alors le professionnel ne recevra pas cet OTP au moment de son authentification et ne pourra pas se connecter. Le professionnel va demander une modification de cette coordonnée, mais à ce moment-là, il faudra s'assurer de son identité de manière fiable, avec deux facteurs d'authentification. Ceci peut devenir contraignant et constituer une très mauvaise expérience pour un nouvel utilisateur ;
• Si le professionnel commet une erreur à la saisie d'une adresse email utilisée comme second facteur d'authentification en cas d'oubli de son mot de passe par exemple, alors il découvrira ce problème le jour où il a besoin de récupérer son compte. Déjà en situation exceptionnelle et de perte de temps, le professionnel ne pourra pas récupérer son compte facilement et devra alors passer par une vérification fiable mais contraignante de son identité.
  La vérification permet de s'assurer que la coordonnée est bien exacte et sous la maîtrise du professionnel. De plus, ceci évite la tentation de demander le contournement des mesures de sécurité pour répondre à des situations problématiques et urgentes, prétextes justement utilisés par des attaquants pour prendre possession illégalement d'un compte. 

Le formulaire du test d'intrusion Ségur peut être complété a posteriori par un auditeur PASSI sur la base d'un test d'intrusion réalisé précédemment, à condition que la preuve soit datée de moins d'un an à date de dépôt sur Convergence.