FAQ de l'offre : Ségur du numérique en santé

Un certificat délivré par l'ANS a une durée de validité de 3 ans à compter de son obtention.

Son renouvellement n'est pas automatique. Une notification automatique est envoyée à l'administrateur technique 60 jours avant la fin de validité du certificat qui devra effectuer un renouvellement avant la fin de validité.

Les alertes relatives aux péremptions de certificats sont envoyées automatiquement aux administrateurs techniques depuis l'adresse : noreply@pfc.eservices.esante.gouv.fr.

Si l'adresse associée au certificat n'est plus valide ou consultée, la notification rappelant la fin du certificat n'est jamais reçue, il est donc important de renseigner une ou plusieurs adresses pérennes  : une adresse mail partagée ou générique sans CAPTCHA.

Le renouvellement d'un certificat ne peut se faire que si le certificat actuel est encore actif. S'il est arrivé à échéance, l'administrateur devra générer un nouveau certificat.

Pour effectuer le renouvellement de votre certificat, vous devez vous connecter sur IGC Santé, puis sélectionner la demande de produit "le certificat" et valider son renouvellement. Il vous suffit ensuite de télécharger le nouveau certificat et de l'installer à la place de l'ancien. 

Pour plus d'informations, vous pouvez vous référer au replay du webinaire "Anticipez le renouvellement des certificats IGC-Santé"

Oui, en cas de changement ou de renouvellement de la carte CPA les habilitations de l'administrateur technique sont automatiquement reportées sur la nouvelle carte.

Consultez l'annuaire santé et vérifiez quelle est la structure de vos clients. Selon la structure indiquée dans l'annuaire, vous pourrez déterminer à quelle procédure de commande de certificats se fier. Pour plus d'informations, nous vous invitons à consulter le guide suivant : 
https://esante.gouv.fr/sites/default/files/media_entity/documents/segur-numerique-radiologie-guide-certificats.pdf

Par ailleurs, le formulaire 413 n'est pas uniquement pour les SCM et les sociétés d'exercice. 

Les sociétés d’exercice doivent commander un certificat avec le numéro de SIRET. Il s’agit du numéro sur lequel la société facture ses feuilles de soins électroniques.
Les cabinets individuels et les cabinets de groupe  doivent commander un certificat sur le numéro RPPS RANG.

Le guide ci-après propose aux éditeurs et acteurs territoriaux les prérequis et les procédures nécessaires à l'obtention des certificats :  https://esante.gouv.fr/sites/default/files/media_entity/documents/segur-numerique-radiologie-guide-certificats.pdf

La transmission de données patient à un autre professionnel via MSSanté n'implique pas de disposer d'une identité INS qualifié. Dans le cas où l'INS du patient n'est pas qualifiée, le document transmis ne doit pas contenir l'INS et l'OID.

Un TSP est un fournisseur de services de confiance qui fournit des certificats numériques utilisés pour authentifier et sécuriser les signatures électroniques.

La procédure de sauvegarde et de restauration doit contenir des informations détaillées sur la manière de réaliser des sauvegardes efficaces, ainsi que sur la manière de restaurer les données en cas de besoin. Cela peut inclure :

• Les acteurs de la procédure de sauvegarde et de restauration et leurs rôles (RACI) ;
• La fréquence de sauvegarde ;
• Le plan de sauvegarde mis en place par l'éditeur ;
• Le champ d'application (périmètre de la sauvegarde) ;
• Le lieu de stockage des sauvegardes ;
• Les méthodes de sauvegarde (ex: sauvegardes complètes, incrémentielles ou différentielles)
• Les règles de sécurité : les mesures de sécurité sont mises en place pour protéger les sauvegardes (ex: chiffrement des données, l'accès restreint aux sauvegardes,etc.) ;
• Les tests de récupération (champ des tests, fréquence, etc.) 

Cette exigence permet à la fois de s'assurer que le professionnel sera effectivement en mesure de s'authentifier (ou de récupérer son compte) le moment venu, et de renforcer la sécurité de l'authentification.
En effet :

• Si par exemple le professionnel commet une erreur à la saisie de son numéro de téléphone portable et que ce numéro est utilisé pour lui envoyer un code OTP par SMS comme second facteur d'authentification, alors le professionnel ne recevra pas cet OTP au moment de son authentification et ne pourra pas se connecter. Le professionnel va demander une modification de cette coordonnée, mais à ce moment-là, il faudra s'assurer de son identité de manière fiable, avec deux facteurs d'authentification. Ceci peut devenir contraignant et constituer une très mauvaise expérience pour un nouvel utilisateur ;
• Si le professionnel commet une erreur à la saisie d'une adresse email utilisée comme second facteur d'authentification en cas d'oubli de son mot de passe par exemple, alors il découvrira ce problème le jour où il a besoin de récupérer son compte. Déjà en situation exceptionnelle et de perte de temps, le professionnel ne pourra pas récupérer son compte facilement et devra alors passer par une vérification fiable mais contraignante de son identité.
  La vérification permet de s'assurer que la coordonnée est bien exacte et sous la maîtrise du professionnel. De plus, ceci évite la tentation de demander le contournement des mesures de sécurité pour répondre à des situations problématiques et urgentes, prétextes justement utilisés par des attaquants pour prendre possession illégalement d'un compte. 

Le formulaire du test d'intrusion Ségur peut être complété a posteriori par un auditeur PASSI sur la base d'un test d'intrusion réalisé précédemment, à condition que la preuve soit datée de moins d'un an à date de dépôt sur Convergence.