Délégation à un fournisseur d'identité local

Pro Santé Connect

Présentation de la fonctionnalité

Objectif 

Cette fonctionnalité vise à optimiser les interactions numériques dans le secteur de la santé. Elle permet désormais aux utilisateurs de se connecter à Pro Santé Connect en utilisant l'identité numérique fournie par leur établissement d'origine.

Bénéficiaires 

Ce service est accessible à tous les établissements de santé qui gèrent leurs comptes utilisateurs via un fournisseur d'identité (FI) compatible. Ces établissements de santé peuvent offrir à leurs utilisateurs la possibilité de se connecter à Pro Santé Connect avec leurs identifiants locaux pour une durée prédéterminée.

Impact et Évolution

La mise en œuvre de cette fonctionnalité a nécessité une évolution significative de la plateforme Pro Santé Connect. Elle aura un impact direct sur les établissements de santé, les éditeurs de logiciels et les utilisateurs finaux. Une collaboration étroite entre notre équipe PSC et le support et l'expertise de l'éditeur de la solution de gestion des identités est nécessaire, ainsi que la participation active des établissements de santé intéressés.

Gouvernance et Collaboration 

Une gouvernance de projet sera mise en place pour chaque fournisseur d'identités afin d'assurer le bon déroulement des travaux, la prise de décisions efficace et la gestion des différents intervenants. Cette gouvernance sera détaillée dans la documentation technique fournie par l'ANS, l'éditeur de la solution de gestion des identités, et sera communiquée aux établissements candidats.

Prérequis Techniques et Contractuels 

Les établissements souhaitant utiliser cette fonctionnalité doivent satisfaire à certains prérequis techniques et contractuels. Ces prérequis seront détaillés sur cette page et mis à jour régulièrement pour refléter l'évolution de la fonctionnalité et les retours des participants.

Accès en 1 clic

Le processus d'authentification cible pour les ES

Participez au projet en tant qu'éditeur de solution de gestion des identités

Nous vous donnons la possibilité de proposer à vos établissements clients  la délégation de l'authentification Pro Santé Connec à leurs identités locales. 

  1. Pour cela votre solution doit être compatible avec les exigences de Pro Santé Connect à propos des fournisseurs d'identités tiers ;
  2. Vous devez constituer un panel d'établissements candidats afin de pouvoir pleinement tester la solution dans la plus grande partie des usages quotidiens du terrain ;
  3. Vous devez founir un ensemble documentaire technique à destination des établissements de santé ;
  4. Vous devez respecter le référentiel d'exigences dédié à la délégation des authentifications à un FI local.

Si vous souhaitez commencer les travaux d'intégration, transmettez nous votre demande :

Contactez l'équipe Pro Santé Connect

Participez au projet en tant qu'établissement de santé

Nous permettons aux DSI des établissements de santé de déléguer à leurs comptes utilisateurs locaux l'authentification Pro Santé Connect.

  1. Pour cela vous devez être utilisateur d'une solution de gestion des identités déjà intégrées dans Pro Santé Connect ;
  2. Vous devez respecter le référentiel d'exigences dédié à la délégation des authentifications à un FI local.

Consultez la liste des fournisseurs d'identités déjà supportés par Pro Santé Connect

Si la solution de gestion d'identités que vous utilisez n'est pas dans la liste des solutions supportées nous vous invitons à prendre contact avec votre éditeur et lui proposer d'intégrer sa solution dans Pro Santé Connect en prenant contact avec l'équipe Pro Santé Connect.

Contactez l'équipe Pro Santé Connect

Prérequis techniques

La solution de gestion des identités doit être pleinement compatible avec la norme OpenID Connect et prévoir d'être compatible avec  OpenID for Verifiable Presentations.

Techniques

  • Etre compatible OpenID Connect ;
  • Définir conjointement avec l'ANS les valeurs AMR qui seront autorisées pour indiquer la force d'authentification dans le claim AMR (RFC8176) ;
  • Indiquer dans les requêtes l'établissement source de la demande ;
  • Sécurisation des échanges par TLS (Transport Layer Security) ;
  • Implémentation de mécanismes de consentement utilisateur conformes aux réglementations ;
  • Support des protocoles de cryptographie recommandés pour garantir la confidentialité et l'intégrité des données.

Fonctionnels

  • Capacité d'audit de configuration ;
  • Gestion des identités et des accès (IAM) avec prise en charge des rôles multiples, sans possibilité pour les utilisateurs de modifier eux-mêmes la force d'authentification ;
  • Mécanismes de gestion des erreurs et des exceptions.

Organisationnels

  • Panel d'établissements diversifiés pour valider la solution ;
  • Documentation technique à destination des établissements ;
  • Accompagnement et support des établissements ;
  • Planification de la gestion de crise et des incidents.

Soumettez votre solution de gestion des identités

Vous êtes éditeur d'une solution de gestion des identités et des accès et vous intervenez dans le secteur de la santé ? 

Contactez l'équipe Pro Santé Connect

Le référentiel d'exigences pour les FI tiers

VersionStatutEvolutionsDate d'application
1.0En constructionCréation30 mars 2024

Gestion de la sécurité et prévention des risques

N°DescriptionEntités concernées
EXI FI 01Le Fournisseur d’Identité et l'Établissement de Santé DOIVENT identifier les responsables de la sécurité au sein de leurs équipes respectives.Fournisseur d’identité
Etablissement de santé
EXI FI 02Le Fournisseur d’identité et l'Établissement de Santé DOIVENT définir les responsabilités des responsables de la sécurité en termes de : conception, développement, d'installation, d'exploitation, d'administration, de maintenance et de support.Fournisseur d’identité
Etablissement de santé
EXI FI 03Si l'Établissement de Santé, le Fournisseur d’identité ou un tiers sous sa responsabilité assure l'hébergement de tout ou partie des composants du système, ou fournit tout ou partie du système sous forme de service (SaaS), ALORS il DOIT intégrer dans le plan d'assurance sécurité du système les mesures de sécurité et les engagements entre l'hébergeur et la structure utilisatrice pour l'environnement de mise en œuvre du système.Fournisseur d’identité
Etablissement de santé
EXI FI 04L'Établissement de Santé DOIT s'assurer que les postes de travail utilisant la solution disposent d'un antivirus à jour afin de se prémunir contre les attaques informatiques.Etablissement de santé
EXI FI 05Le Fournisseur d’identité DOIT transmettre un standard ou guide de bonnes pratiques concernant l’installation et l’administration de la solution à l'Établissement de Santé qui s’engage à la respecter.Fournisseur d’identité
Etablissement de santé
EXI FI 06Le Fournisseur d’identité DOIT avoir fait l'objet d'un test d'intrusion réalisé par un prestataire d'audit de la sécurité des systèmes d'information (PASSI) qualifié.Fournisseur d’identité
EXI FI 07Un processus de veille sur les vulnérabilités des composants du Fournisseur d’identité DOIT être défini et appliqué.Fournisseur d’identité
Etablissement de santé
EXI FI 08Un processus de patch management ou de distribution des patchs DOIT être mis en œuvre dans le cas d'une solution hébergée par une structure utilisatrice, Le processus de patch management est mis en place pour les solutions hébergées.Fournisseur d’identité
Etablissement de santé

Exigences concernant la conformité légale et éthique

N°DescriptionEntités concernées
EXI FI 09Le Fournisseur d’identité DOIT être une personne morale (entreprise, association, groupement d’intérêt économique, etc.) de droit privé ou public, immatriculée dans l’Union Européenne.Fournisseur d’identité
EXI FI 10Le Fournisseur d’identité DOIT s'engager à ne pas utiliser ou permettre l'utilisation d'identités ou de contenus contrevenant aux droits d'autrui, ou à caractère diffamatoire, injurieux, obscène, offensant, violent ou incitant à la violence, politique, raciste ou xénophobe, ainsi que tous propos ou contenus contraires aux lois, règlements en vigueur, droits des personnes ou aux bonnes mœurs.Fournisseur d’identité
EXI FI 11Le service DOIT être proposé en langue françaiseFournisseur d’identité
EXI FI 12Le Fournisseur d’Identité DOIT respecter la loi du 6 janvier 1978, dite « Informatique et Libertés », ainsi que le Règlement Général sur la Protection des Données (RGPD), en particulier en ce qui concerne l'information des utilisateurs.Fournisseur d’identité
EXI FI 13Le Fournisseur d’Identité DOIT, lorsqu’il traite des données de santé collectées à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, assurer leur confidentialité et leur intégrité. Ces données DOIVENT être hébergées par un hébergeur certifié Hébergeur de Données de Santé (HDS).Fournisseur d’identité
Etablissement de santé
EXI FI 14Le Fournisseur d’Identité DOIT prévenir l'ANS dans le cas où le service ne serait plus conforme à l'une des exigences du présent référentiel et/ou en cas de changement dans les informations déclarées lors de la candidature au raccordement à Pro Santé Connect.Fournisseur d’identité

Exigences techniques d'authentification et de gestion des identités

N°DescriptionEntités concernées
EXI FI 15Le Fournisseur d’Identité DOIT être client OpenID Connect.Fournisseur d’identité
EXI FI 16Le fournisseur d’identités DOIT supporter le flux Authorization Code FlowFournisseur d’identité
EXI FI 17Le fournisseur d’identités DOIT permettre à PSC de s’authentifier à son service en tant que client en utilisant un couple client ID / client secretFournisseur d’identité
EXI FI 18Le fournisseur d’identités DOIT permettre à PSC de s’authentifier à son service en tant que client en utilisant un certificat électroniqueEtablissement de santé
EXI FI 19Le Fournisseur d’Identité DOIT transmettre à Pro Santé Connect (PSC) le timestamp indiquant la dernière authentification explicite du professionnel de santé (PS) à son service. Cette information DOIT être contenue dans le claim auth_time de l'ID token transmis à PSC.Fournisseur d’identité
EXI FI 20Le Fournisseur d’Identité DOIT transmettre à Pro Santé Connect (PSC) le moyen d'identification électronique utilisé par le professionnel de santé (PS) pour s'authentifier à son service, via les jetons OIDC.Fournisseur d’identité
EXI FI 21Le Fournisseur d’Identité DOIT transmettre à Pro Santé Connect (PSC) un identifiant unique et immuable permettant d’identifier l’utilisateur souhaitant s'authentifier à PSC via l'ID token.
Si le Fournisseur d’Identité dispose d’une architecture multi-instances, il DOIT s'assurer que l'identifiant transmis à PSC est unique et immuable parmi toutes les instances existantes.		Fournisseur d’identité
EXI FI 22Le Fournisseur d’Identité DOIT transmettre à Pro Santé Connect (PSC) un identifiant unique et immuable permettant d’identifier l'Etablissement de santé auquel appartient le compte du professionnel de santé (PS) souhaitant s'authentifier à PSC. Par défaut, cette information est contenue dans le claim "iss" de l'ID token.Fournisseur d’identité
EXI FI 23

Le fournisseur d’identités DOIT transmettre les informations suivantes à PSC concernant le PS souhaitant s’authentifier à PSC :

  • Nom
  • Prénom
  • Adresse email
Fournisseur d’identité
RECO FI 01Le fournisseur d’identités DEVRAIT supporter le paramètre MAX_AGE permettant à PSC de lui spécifier une durée de session utilisateur maximaleFournisseur d’identité
RECO FI 02Le fournisseur d’identités DEVRAIT proposer un endpoint de déconnexion globale des utilisateursFournisseur d’identité

Sécurité, gestion des sessions et qualité des identités

N°DescriptionEntités concernées
EXI FI 24Le Fournisseur d’Identité DOIT supporter des moyens d'identification électronique (MIE) autorisés et compatibles avec Pro Santé Connect (PSC), le mot de passe seul étant interdit.Fournisseur d’identité
EXI FI 25Le Fournisseur d’Identité DOIT permettre de définir des règles pour restreindre l'accès à PSC à certains MIE et à certains niveaux d'authentification (par exemple, exiger une authentification multi-facteurs (MFA)).Fournisseur d’identité
EXI FI 26Le Fournisseur d’Identité DOIT mettre ces capacités de contrôle à disposition des établissements de santé utilisant son service.Fournisseur d’identité
EXI FI 27Lorsqu’un utilisateur est déjà authentifié auprès du Fournisseur d’identité lors de la fédération avec Pro Santé Connect (PSC), le Fournisseur d’identité DOIT s’assurer que la dernière authentification explicite de l’utilisateur a eu lieu il y a moins de 4 heures. Lorsqu’un utilisateur est déjà authentifié auprès du Fournisseur d’identité au moment de réaliser la fédération d’identités avec Pro Santé Connect (PSC), le Fournisseur d’identité DOIT s’assurer que la dernière authentification explicite de l’utilisateur a eu lieu il y a moins de 4 heures.
Si cette durée est dépassée, le Fournisseur d’identité DOIT exiger une réauthentification de l’utilisateur.
 		Fournisseur d’identitéEtablissement de santé
EXI FI 28Si la dernière authentification de l’utilisateur a eu lieu il y a plus de 4 heures, le Fournisseur d’identité DOIT exiger une réauthentification de l’utilisateur,Fournisseur d’identitéEtablissement de santé
EXI FI 29Lorsqu’un utilisateur est déjà authentifié auprès du Fournisseur d’identité, au moment de réaliser la fédération d’identités avec Pro Santé Connect (PSC), le Fournisseur d’Identité et l’Etablissement de santé DOIVENT vérifier que la force d'authentification utilisée lors de la dernière authentification correspond au niveau requis par PSC.

Fournisseur d’identité

Etablissement de santé

EXI FI 30Si la force d'authentification n'est pas suffisante, le Fournisseur d'Identité et l’Etablissement de Santé DOIVENT exiger une réauthentification de l’utilisateur avec un niveau de sécurité plus élevé.Fournisseur d’identitéEtablissement de santé
RECO FI 03Le fournisseur d’identités DEVRAIT proposer un mécanisme permettant à son service d’hériter de la session de l’utilisateur sur son poste de travailFournisseur d’identité
EXI FI 31L'Établissement de Santé DOIT garantir une gestion rigoureuse des données d'identité des professionnels de santé (PS) avant toute fédération avec Pro Santé Connect (PSC). Cette gestion inclut la validation d'une adresse email professionnelle sur un domaine appartenant à l'établissement, ainsi que la conformité des noms et prénoms. Cette liste de critères pourra être complétée lors de l'intégration de l'Établissement de Santé.Etablissement de santé
EXI FI 32L'Établissement de Santé DOIT mettre en place les mesures de sécurité nécessaires et suffisantes permettant de garantir l'identité véhiculée à Pro Santé Connect (PSC), telles que la gestion de l'inactivité des sessions, entre autres.Etablissement de santé

Capacités de contrôle et audit

N°DescriptionEntités concernées
EXI FI 33Le Fournisseur d’Identité et l'Établissement de Santé DOIVENT mettre à disposition de l'ANS un moyen de récupérer des indicateurs présentant les politiques d'accès à l'application Pro Santé Connect (PSC), telles que la durée de session, les moyens d'identification électronique (MIE) et la force d'authentification autorisés, etc…Fournisseur d’identité
Etablissement de santé
RECO FI 04Le fournisseur d’identités DEVRAIT mettre à disposition de l’ANS une API lui permettant de requêter des relevés d’indicateurs de façon autonome sans avoir à faire de demande à l’établissement dans lequel le service est implémentéFournisseur d’identité

Environnements de test et validation des services

N°DescriptionEntités concernées
EXI FI 34Le Fournisseur d’Identité DOIT avoir testé avec succès son service avec les endpoints de Pro Santé Connect Bac à Sable, avant toute connexion à l'environnement de production.Fournisseur d’identité
EXI FI 35Le Fournisseur d’Identité DOIT s’assurer que les tests de son service incluent un panel représentatif d’Établissements de Santé, prenant en compte la diversité des types d'établissements, des configurations techniques et des flux de travail, afin de valider la solution dans des conditions variées avant son déploiement en production.Fournisseur d’identité
EXI FI 36Le Fournisseur d’Identité DOIT donner accès à l'ANS à son service de test, en considérant l'ANS comme un Établissement de Santé testeur.Fournisseur d’identité

Gouvernance des identités, gestion des accès et sécurité

N°DescriptionEntités concernées
EXI FI 37Au sein d'un Établissement de Santé, le Fournisseur d’Identité DOIT être intégré à un processus IAM (Identity and Access Management) mature, comprenant un répertoire d'identité local, un processus de gestion du cycle de vie des identités, et la synchronisation des données, entre autres.Etablissement de santé
EXI FI 38La gestion des comptes à privilèges au sein du Fournisseur d’Identité DOIT suivre les Recommandations relatives à l'administration sécurisée des systèmes d'information publiées par l’ANSSI. Etablissement de santé
EXI FI 39L’Établissements de Santé DOIT disposer de processus robustes et sécurisés pour l'acquisition, l'enrôlement et la distribution des MIE. Ces processus doivent garantir que seuls les utilisateurs autorisés obtiennent les MIE et que l’ensemble des étapes respectent les exigences de sécurité, afin de prévenir les risques de compromission ou de mauvaise gestion des identités.Fournisseur d’identité
EXI FI 40Les parties prenantes DOIVENT prévenir l'ANS dans un délai de 12 heures en cas de détection d'un incident de sécurité ou d'une violation de données à caractère personnel au sein de son infrastructure ou de ses services.Fournisseur d’identité
Etablissement de santé
EXI FI 41La solution du Fournisseur d’identités DOIT disposer de capacités suffisantes de suivi des traces permettant de remonter les événements ayant mené à une identification fédérée auprès de PSC en cas de demande de l’ANS (investigation, réquisition juridique, etc.).Fournisseur d’identité
EXI FI 42Le Fournisseur d’Identité et/ou l'Établissement de Santé DOIT conserver les traces des événements sur une durée minimale de 3 mois.Fournisseur d’identité
Etablissement de santé

Cette page vous a-t-elle été utile ?

Les informations recueillies dans le questionnaire sont enregistrées dans un fichier informatisé par l'ANS afin d’optimiser le site et satisfaire à vos attentes.

Les informations enregistrées sont destinées à l’usage de l’ANS et ne sont rendues accessibles qu’à ses services, personnels, prestataires externes ou partenaires habilités à en prendre connaissance.

Dans le respect de la réglementation applicable en matière de protection des données personnelles, vous disposez notamment d’un droit d’accès, de rectification et d’effacement de vos données.
Vous pouvez exercer ces droits en contactant le délégué à la protection des données de l’ANS, dans les conditions décrites sur la page dédiée Politique de protection des données personnelles du site de l’ANS.

CAPTCHA
Cette question sert à vérifier si vous êtes un visiteur humain ou non afin d'éviter les soumissions de pourriel (spam) automatisées.