Besoin d’aide ? Toutes les réponses et ressources utiles pour les ENS

Pour les sociétés de Téléconsultation proposant des mises en relation avec un médecin sans rendez-vous, le principe de la territorialité s’applique selon les scénarios établis par le référentiel. 

Pour les sociétés de Téléconsultation proposant des mises en relation avec un médecin avec rendez-vous, le principe de territorialité s’applique également selon les scénarios établis par le référentiel. 

Pour le cas où la société de téléconsultation propose les 2 cas d’usage de mise en relation avec un médecin avec et sans rendez-vous, et dans le cas spécifique où le « sans rendez-vous » n’est proposé au patient qu’après lui avoir proposé des rendez-vous, alors il est possible que seuls les scénarios de prise de rendez-vous soient conformes au principe de territorialité. En effet, dans ce cas particulier, un médecin du territoire aura été proposé au patient suivant l’algorithme proposé dans l’exigence ETHT.02. 

A noter que, dans tous les cas, si le patient décide de ne pas saisir sa localité (ayant comme conséquence le non applicabilité du principe de territorialité), il doit avoir été préalablement informé des conséquences sur la prise en charge de l’acte via l’affichage du message d’information (ETHT.01).

Le parcours téléphonique ne rentre pas dans le périmètre du référentiel d’interopérabilité, de sécurité et d’éthique des SI de téléconsultation. 

Néanmoins, si le parcours téléphonique peut se transformer en téléconsultation avec flux vidéo et audio (par exemple, envoi d’un lien de connexion à l’issu de l’échange téléphonique), alors le système d’information incluant le parcours téléphonique doit respecter le principe de territorialité suivant :

• ETHT 01 : en rappelant le principe de territorialité à l'usager en informant les messages de territorialité :
  "Votre localisation vous est demandée afin de vous mettre prioritairement en relation avec un médecin proche de chez vous. Cette proximité doit permettre d’optimiser la qualité de votre prise en charge. Dans tous les cas, le médecin évaluera et facilitera le renvoi vers une consultation en présentiel si votre état de santé le nécessite. Pour en savoir plus sur les conditions de prise en charge des téléconsultations l’Assurance Maladie : https://www.ameli.fr/assure/remboursements/rembourse/consultations-telemedecine/telemedecine/teleconsultation".
• ETHT 02 : le patient doit pouvoir renseigner sa localisation afin que le principe de territorialité s’applique, comme énoncé dans l’ETHT.02.

Le test doit être daté de moins d'un an.

Le mode d'hébergement est pris en compte au niveau des exigences SSI ainsi que des points de contrôle du test d'intrusion dans le cas où un industriel ou un tiers sous sa responsabilité assure l'hébergement de tout ou partie des composants du système, ou fournit tout ou partie du système sous forme de service (SaaS).
En revanche, les OS ne sont pas pris en compte dans les exigences SSI.

Le choix du responsable de la sécurité dépend de la structure de l'éditeur. Cela implique d'identifier les personnes qui ont les compétences et l'expertise pour prendre en charge la sécurité de la solution. Il peut s'agir de responsables sécurité, de développeurs sécurité expérimentés, d'architectes sécurité, etc.

La désignation des personnes responsables de la sécurité des produits nécessite les étapes suivantes :
- Identifier les exigences spécifiques de votre produit en matière de sécurité ;
- Évaluer les compétences et l'expérience des membres de votre équipe ;
- Désigner les responsabilités en matière de sécurité en fonction des compétences des membres de l'équipe ;
- Formaliser ces responsabilités dans les rôles et responsabilités de l'équipe.

Des recommandations sur la désignation des responsabilités en matière de sécurité sont fournies dans diverses ressources, notamment le guide d'hygiène de l'ANSSI, la PGSSI-S de l'ANS et la norme ISO 27002. 

La désignation d'acteurs responsables de la sécurité apporte plusieurs avantages, notamment :

• Une meilleure gestion des risques de sécurité ;
• Une responsabilité claire pour les problèmes de sécurité ;
• Une amélioration de la coordination des activités de sécurité ;
• Une sensibilisation accrue à la sécurité au sein de l'équipe de développement ;
• Une conformité aux normes de sécurité.

La négligence dans la désignation des responsables de la sécurité peut entraîner un certain nombre de risques, notamment :

• Des failles de sécurité non détectées ;
• Des retards dans la réponse aux incidents de sécurité ;
• Un manque de coordination dans la gestion des risques ;
• Une faible sensibilisation à la sécurité au sein de l'équipe.

L'exigence a pour objectif de vérifier si une sensibilisation générale aux enjeux et aux risques à la SSI est menée auprès des équipes du système (équipes de conception, de développement, d'installation, d'exploitation, d'administration, de maintenance, de support, etc.). Il est préconisé d'effectuer cette sensibilisation à minima annuellement pour l'ensemble des équipes et pour chaque nouvel arrivant. Cette sensibilisation peut être effectuée par des équipes de l'éditeur ou des prestataires qu'il choisit librement.
Dans le cas où le système est destiné à traiter des données à caractère personnel, alors la sensibilisation doit intégrer des obligations légales (en particulier le règlement général sur la protection des données) ainsi que des réglementations applicables.