Présentation de la fonctionnalité
Objectif
La délégation de l’authentification Pro Santé Connect (PSC) permet aux établissements de santé de confier la gestion des identités numériques de leurs utilisateurs à un Fournisseur d’Identité (FI) tiers compatible. Grâce à cette fonctionnalité, les professionnels de santé peuvent accéder à PSC en utilisant leurs identifiants locaux, simplifiant ainsi leur expérience utilisateur tout en maintenant un haut niveau de sécurité.
Une approche en co-construction
Cette fonctionnalité est actuellement en cours de co-construction avec les lauréats du programme HospiConnect, identifiés à travers l’appel à projets alpha. Ce cadre expérimental nous permet de développer et de valider les processus techniques, organisationnels et documentaires nécessaires.
➡️ À terme, cette démarche évoluera vers un processus industrialisé, ouvert à tous les fournisseurs d’identité et établissements de santé répondant aux exigences définies.
Bénéficiaires
Ce service est accessible à tous les établissements de santé qui gèrent leurs comptes utilisateurs via un fournisseur d'identité (FI) compatible. Ces établissements de santé peuvent offrir à leurs utilisateurs la possibilité de se connecter à Pro Santé Connect avec leurs identifiants locaux pour une durée prédéterminée.
Impact et Évolution
La mise en œuvre de cette fonctionnalité implique :
- Une évolution significative de la plateforme PSC pour intégrer des technologies tierces tout en garantissant leur interopérabilité.
- Un impact direct pour les établissements de santé, les éditeurs de logiciels et les utilisateurs finaux, avec un objectif d’amélioration continue basé sur les retours de l’expérimentation HospiConnect.
- Une collaboration étroite entre l’ANS, les éditeurs des solutions d’identité, et les établissements pour assurer la réussite du projet.
➡️ Prochaines étapes :
- Finaliser la co-construction avec les lauréats HospiConnect.
- Préparer la transition vers un processus généralisé pour intégrer des FI tiers supplémentaires.
Gouvernance et Collaboration
Une gouvernance de projet sera mise en place pour chaque fournisseur d'identités afin d'assurer le bon déroulement des travaux, la prise de décisions efficace et la gestion des différents intervenants.
L'intégration d'un FI s'accompagne systématiquement de la production d'un ensemble de guides de configuration, élaborés par le FI en collaboration avec les établissements de santé participants aux tests d'intégration, afin de faciliter le déploiement et l’utilisation de la solution par d’autres établissements.
Prérequis Techniques et Contractuels
- Les établissements souhaitant adopter cette fonctionnalité doivent respecter des prérequis techniques et contractuels :
- Conformité avec les normes d’interopérabilité définies.
- Mise en œuvre des mécanismes d’authentification forte selon le règlement eIDAS.
- Capacité à gérer et transmettre le paramètre KC_IDP_HINT si nécessaire.
- Ces prérequis sont régulièrement mis à jour et disponibles sur cette page pour garantir une information claire et précise.
Accès en 1 clic
- Présentation de la fonctionnalité
- Le processus d'authentification cible pour les ES
- Architecture des solutions FI
- Proposer la délégation à vos utilisateurs
- Consulter les prérequis
- Consulter les solutions d'identités compatibles
- Soumettre votre solution
- Le référentiel d'exigences
- Gestion de la sécurité et prévention des risques
- Exigences concernant la conformité légale et éthique
- Exigences techniques d'authentification et de gestion des identités
- Sécurité, gestion des sessions et qualité des identités
- Capacités de contrôle et audit
- Environnements de test et validation des services
- Gouvernance des identités, gestion des accès et sécurité
Le processus d'authentification cible pour les ES
Architecture des solutions FI
Le rôle du KC_IDP_HINT
Le paramètre KC_IDP_HINT joue un rôle clé dans l’authentification déléguée des utilisateurs. Il permet à Pro Santé Connect (PSC) de :
- Identifier le bon Fournisseur d’Identité (FI) :
Ce paramètre est utilisé pour déterminer à quel FI la demande d’authentification doit être transmise, en fonction de l’établissement de santé auquel appartient l’utilisateur. - Rediriger l’utilisateur vers la mire d’authentification appropriée :
En fonction de la valeur du KC_IDP_HINT, PSC redirige l’utilisateur vers la page de connexion du FI correspondant à son établissement, où il pourra s’authentifier avec ses identifiants locaux.
Identification et configuration du KC_IDP_HINT
Lors des travaux d’intégration d’un nouveau FI, il est impératif d'identifier le nom du KC_IDP_HINT.
Ce nom est attribué spécifiquement pour chaque FI ou chaque Etablissement selon l'architecture de la solution.
2. Déterminer la valeur du KC_IDP_HINT :
- La valeur est définie en fonction de l’architecture de la solution déployée :
- SaaS (Multi-locataire) : Une valeur unique permet d’authentifier tous les utilisateurs des établissements clients du FI.
- OnPremise ou SaaS (Mono-locataire) : Une valeur spécifique est attribuée à chaque établissement de santé pour distinguer les utilisateurs selon leur organisation d’origine.
Transmission du KC_IDP_HINT
La transmission de ce paramètre à PSC, au moment de l’authentification, est une responsabilité des Établissements de Santé.
- Rôle des Établissements de Santé :
- Chaque établissement doit mettre en place les moyens nécessaires pour transmettre correctement le KC_IDP_HINT à PSC dans ses flux d’authentification.
- Rôle des Fournisseurs d’Identité :
- Les FI ont la possibilité de proposer des solutions technologiques complémentaires pour faciliter cette transmission, notamment si leur architecture ou leurs outils le permettent.
Participez au projet en tant qu'éditeur de solution de gestion des identités
En tant qu’éditeur de solutions de gestion des identités, vous avez la possibilité de proposer à vos établissements clients la délégation de l’authentification Pro Santé Connect (PSC) à leurs identités locales.
Pour participer, vous devez :
- Garantir la compatibilité de votre solution :
- Votre solution doit respecter les exigences techniques définies par PSC concernant les fournisseurs d’identités tiers.
- Une validation de ces exigences sera réalisée dans le cadre des travaux d’intégration.
- Constituer un panel d’établissements candidats :
- Vous devez identifier un panel représentatif d’établissements de santé pour participer aux tests d’intégration (Proof of Concept - POC).
- Ce panel doit couvrir un maximum de cas d’usage issus des besoins réels du terrain.
- Ces établissements seront mobilisés pour valider le bon fonctionnement de la solution dans des conditions proches de la production ainsi que pour valider la clarté des guides de configuration.
- Fournir une documentation technique complète :
- Vous devez produire un ensemble documentaire technique destiné aux établissements de santé, en collaboration avec ceux participant aux tests.
- Cette documentation doit inclure :
- Les guides de configuration adaptés aux exigences de Pro Santé Connect.
- Les recommandations pour garantir une transmission correcte du paramètre KC_IDP_HINT.
- Respecter le référentiel d’exigences :
- Vous devez respecter les règles définies dans le référentiel d’exigences dédié à la délégation des authentifications à un FI local.
- Ce référentiel est disponible sur la page dédiée et sera régulièrement mis à jour pour intégrer les retours d’expérience et évolutions réglementaires.
Contactez nous pour début vote intégration
- Pour entamer les travaux de raccordement, contactez directement l’ANS à prosanteconnnect.editeurs[AT]esante.gouv.fr ou par le biais de votre interlocuteur habituel.
- Une fois votre candidature validée, un calendrier de travaux sera établi pour structurer les étapes d’intégration et de tests.
Si vous souhaitez commencer les travaux d'intégration, transmettez nous votre demande :
Participez au projet en tant qu'établissement de santé
Les DSI des Établissements de Santé peuvent déléguer l’authentification Pro Santé Connect (PSC) à leurs comptes utilisateurs locaux grâce à un Fournisseur d’Identité (FI) intégré et éligible.
Conditions d’éligibilité
Pour participer, votre établissement doit :
- Disposer d’une solution de gestion des identités compatible avec PSC :
- Consultez la liste des fournisseurs d’identités supportés par Pro Santé Connect.
- Si votre solution de gestion des identités n’est pas encore intégrée, contactez votre éditeur et encouragez-le à entamer un processus d’intégration avec PSC.
- Respecter les exigences de PSC :
- Votre établissement doit répondre au référentiel d’exigences dédié à la délégation des authentifications à un FI local.
- Ce référentiel est disponible sur cette page et mis à jour régulièrement.
Prérequis techniques
La solution de gestion des identités doit être pleinement compatible avec la norme OpenID Connect et prévoir d'être compatible avec OpenID for Verifiable Presentations.
Techniques
- Etre compatible OpenID Connect ;
- Définir conjointement avec l'ANS les valeurs AMR qui seront autorisées pour indiquer la force d'authentification dans le claim AMR (RFC8176) ;
- Indiquer dans les requêtes l'établissement source de la demande ;
- Sécurisation des échanges par TLS (Transport Layer Security) ;
- Implémentation de mécanismes de consentement utilisateur conformes aux réglementations ;
- Support des protocoles de cryptographie recommandés pour garantir la confidentialité et l'intégrité des données.
Fonctionnels
- Capacité d'audit de configuration ;
- Gestion des identités et des accès (IAM) avec prise en charge des rôles multiples, sans possibilité pour les utilisateurs de modifier eux-mêmes la force d'authentification ;
- Mécanismes de gestion des erreurs et des exceptions.
Organisationnels
- Panel d'établissements diversifiés pour valider la solution ;
- Documentation technique à destination des établissements ;
- Accompagnement et support des établissements ;
- Planification de la gestion de crise et des incidents.
Parcours de raccordement
Inscription sur API.GOUV :
- Déposez une demande sur la plateforme API.GOUV pour obtenir les autorisations nécessaires à l’utilisation de la délégation d’authentification PSC.
- Le dépot d'un dossier sur PI.GOUV nécessite la création d'un compte sur Industriel Santé Connect.
Soumission de la demande de délégation :
- Accédez à l’espace authentifié du portail industriel pour soumettre votre demande de délégation.
- Depuis le menu "Gérez vos services Pro Santé Connect" vous aurez la possibilité de faire une demande de délégation de l'authentification à votre FI local.
Il vous sera alors demandé de renseigner les éléments techniques obligatoires propres à votre fournisseur d'identité.
Le référentiel d'exigences pour les FI tiers
| Version | Statut |
|---|---|
| 1.0 | En construction |
Gestion de la sécurité et prévention des risques
| N° | Description | Entités concernées |
|---|---|---|
| EXI FI 01 | Le Fournisseur d’Identité et l'Établissement de Santé DOIVENT identifier les responsables de la sécurité au sein de leurs équipes respectives. | Fournisseur d’identité Etablissement de santé |
| EXI FI 02 | Le Fournisseur d’identité et l'Établissement de Santé DOIVENT définir les responsabilités des responsables de la sécurité en termes de : conception, développement, d'installation, d'exploitation, d'administration, de maintenance et de support. | Fournisseur d’identité Etablissement de santé |
| EXI FI 03 | Si l'Établissement de Santé, le Fournisseur d’identité ou un tiers sous sa responsabilité assure l'hébergement de tout ou partie des composants du système, ou fournit tout ou partie du système sous forme de service (SaaS), ALORS il DOIT intégrer dans le plan d'assurance sécurité du système les mesures de sécurité et les engagements entre l'hébergeur et la structure utilisatrice pour l'environnement de mise en œuvre du système. | Fournisseur d’identité Etablissement de santé |
| EXI FI 04 | L'Établissement de Santé DOIT s'assurer que les postes de travail utilisant la solution disposent d'un antivirus à jour afin de se prémunir contre les attaques informatiques. | Etablissement de santé |
| EXI FI 05 | Le Fournisseur d’identité DOIT transmettre un standard ou guide de bonnes pratiques concernant l’installation et l’administration de la solution à l'Établissement de Santé qui s’engage à la respecter. | Fournisseur d’identité Etablissement de santé |
| EXI FI 06 | Le Fournisseur d’identité DOIT avoir fait l'objet d'un test d'intrusion réalisé par un prestataire d'audit de la sécurité des systèmes d'information (PASSI) qualifié. | Fournisseur d’identité |
| EXI FI 07 | Un processus de veille sur les vulnérabilités des composants du Fournisseur d’identité DOIT être défini et appliqué. | Fournisseur d’identité Etablissement de santé |
| EXI FI 08 | Un processus de patch management ou de distribution des patchs DOIT être mis en œuvre dans le cas d'une solution hébergée par une structure utilisatrice, Le processus de patch management est mis en place pour les solutions hébergées. | Fournisseur d’identité Etablissement de santé |
Exigences concernant la conformité légale et éthique
| N° | Description | Entités concernées |
|---|---|---|
| EXI FI 09 | Le Fournisseur d’identité DOIT être une personne morale (entreprise, association, groupement d’intérêt économique, etc.) de droit privé ou public, immatriculée dans l’Union Européenne. | Fournisseur d’identité |
| EXI FI 10 | Le Fournisseur d’identité DOIT s'engager à ne pas utiliser ou permettre l'utilisation d'identités ou de contenus contrevenant aux droits d'autrui, ou à caractère diffamatoire, injurieux, obscène, offensant, violent ou incitant à la violence, politique, raciste ou xénophobe, ainsi que tous propos ou contenus contraires aux lois, règlements en vigueur, droits des personnes ou aux bonnes mœurs. | Fournisseur d’identité |
| EXI FI 11 | Le service DOIT être proposé en langue française | Fournisseur d’identité |
| EXI FI 12 | Le Fournisseur d’Identité DOIT respecter la loi du 6 janvier 1978, dite « Informatique et Libertés », ainsi que le Règlement Général sur la Protection des Données (RGPD), en particulier en ce qui concerne l'information des utilisateurs. | Fournisseur d’identité |
| EXI FI 13 | Le Fournisseur d’Identité DOIT, lorsqu’il traite des données de santé collectées à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, assurer leur confidentialité et leur intégrité. Ces données DOIVENT être hébergées par un hébergeur certifié Hébergeur de Données de Santé (HDS). | Fournisseur d’identité Etablissement de santé |
| EXI FI 14 | Le Fournisseur d’Identité DOIT prévenir l'ANS dans le cas où le service ne serait plus conforme à l'une des exigences du présent référentiel et/ou en cas de changement dans les informations déclarées lors de la candidature au raccordement à Pro Santé Connect. | Fournisseur d’identité |
Exigences techniques d'authentification et de gestion des identités
| N° | Description | Entités concernées |
|---|---|---|
| EXI FI 15 | Le Fournisseur d’Identité DOIT être client OpenID Connect. | Fournisseur d’identité |
| EXI FI 16 | Le fournisseur d’identités DOIT supporter le flux Authorization Code Flow | Fournisseur d’identité |
| EXI FI 17 | Le fournisseur d’identités DOIT permettre à PSC de s’authentifier à son service en tant que client en utilisant un couple client ID / client secret | Fournisseur d’identité |
| EXI FI 18 | Le fournisseur d’identités DOIT permettre à PSC de s’authentifier à son service en tant que client en utilisant un certificat électronique | Etablissement de santé |
| EXI FI 19 | Le Fournisseur d’Identité DOIT transmettre à Pro Santé Connect (PSC) le timestamp indiquant la dernière authentification explicite du professionnel de santé (PS) à son service. Cette information DOIT être contenue dans le claim auth_time de l'ID token transmis à PSC. | Fournisseur d’identité |
| EXI FI 20 | Le Fournisseur d’Identité DOIT transmettre à Pro Santé Connect (PSC) le moyen d'identification électronique utilisé par le professionnel de santé (PS) pour s'authentifier à son service, via les jetons OIDC. | Fournisseur d’identité |
| EXI FI 21 | Le Fournisseur d’Identité DOIT transmettre à Pro Santé Connect (PSC) un identifiant unique et immuable permettant d’identifier l’utilisateur souhaitant s'authentifier à PSC via l'ID token. Si le Fournisseur d’Identité dispose d’une architecture multi-instances, il DOIT s'assurer que l'identifiant transmis à PSC est unique et immuable parmi toutes les instances existantes. | Fournisseur d’identité |
| EXI FI 22 | Le Fournisseur d’Identité DOIT transmettre à Pro Santé Connect (PSC) un identifiant unique et immuable permettant d’identifier l'Etablissement de santé auquel appartient le compte du professionnel de santé (PS) souhaitant s'authentifier à PSC. Par défaut, cette information est contenue dans le claim "iss" de l'ID token. | Fournisseur d’identité |
| EXI FI 23 | Le fournisseur d’identités DOIT transmettre les informations suivantes à PSC concernant le PS souhaitant s’authentifier à PSC :
| Fournisseur d’identité |
| RECO FI 01 | Le fournisseur d’identités DEVRAIT supporter le paramètre MAX_AGE permettant à PSC de lui spécifier une durée de session utilisateur maximale | Fournisseur d’identité |
| RECO FI 02 | Le fournisseur d’identités DEVRAIT proposer un endpoint de déconnexion globale des utilisateurs | Fournisseur d’identité |
Sécurité, gestion des sessions et qualité des identités
| N° | Description | Entités concernées |
|---|---|---|
| EXI FI 24 | Le Fournisseur d’Identité DOIT supporter des moyens d'identification électronique (MIE) autorisés et compatibles avec Pro Santé Connect (PSC), le mot de passe seul étant interdit. | Fournisseur d’identité |
| EXI FI 25 | Le Fournisseur d’Identité DOIT permettre de définir des règles pour restreindre l'accès à PSC à certains MIE et à certains niveaux d'authentification (par exemple, exiger une authentification multi-facteurs (MFA)). | Fournisseur d’identité |
| EXI FI 26 | Le Fournisseur d’Identité DOIT mettre ces capacités de contrôle à disposition des établissements de santé utilisant son service. | Fournisseur d’identité |
| EXI FI 27 | Lorsqu’un utilisateur est déjà authentifié auprès du Fournisseur d’identité lors de la fédération avec Pro Santé Connect (PSC), le Fournisseur d’identité DOIT s’assurer que la dernière authentification explicite de l’utilisateur a eu lieu il y a moins de 4 heures. Lorsqu’un utilisateur est déjà authentifié auprès du Fournisseur d’identité au moment de réaliser la fédération d’identités avec Pro Santé Connect (PSC), le Fournisseur d’identité DOIT s’assurer que la dernière authentification explicite de l’utilisateur a eu lieu il y a moins de 4 heures. Si cette durée est dépassée, le Fournisseur d’identité DOIT exiger une réauthentification de l’utilisateur. | Fournisseur d’identitéEtablissement de santé |
| EXI FI 28 | Si la dernière authentification de l’utilisateur a eu lieu il y a plus de 4 heures, le Fournisseur d’identité DOIT exiger une réauthentification de l’utilisateur, | Fournisseur d’identitéEtablissement de santé |
| EXI FI 29 | Lorsqu’un utilisateur est déjà authentifié auprès du Fournisseur d’identité, au moment de réaliser la fédération d’identités avec Pro Santé Connect (PSC), le Fournisseur d’Identité et l’Etablissement de santé DOIVENT vérifier que la force d'authentification utilisée lors de la dernière authentification correspond au niveau requis par PSC. | Fournisseur d’identité Etablissement de santé |
| EXI FI 30 | Si la force d'authentification n'est pas suffisante, le Fournisseur d'Identité et l’Etablissement de Santé DOIVENT exiger une réauthentification de l’utilisateur avec un niveau de sécurité plus élevé. | Fournisseur d’identitéEtablissement de santé |
| RECO FI 03 | Le fournisseur d’identités DEVRAIT proposer un mécanisme permettant à son service d’hériter de la session de l’utilisateur sur son poste de travail | Fournisseur d’identité |
| EXI FI 31 | L'Établissement de Santé DOIT garantir une gestion rigoureuse des données d'identité des professionnels de santé (PS) avant toute fédération avec Pro Santé Connect (PSC). Cette gestion inclut la validation d'une adresse email professionnelle sur un domaine appartenant à l'établissement, ainsi que la conformité des noms et prénoms. Cette liste de critères pourra être complétée lors de l'intégration de l'Établissement de Santé. | Etablissement de santé |
| EXI FI 32 | L'Établissement de Santé DOIT mettre en place les mesures de sécurité nécessaires et suffisantes permettant de garantir l'identité véhiculée à Pro Santé Connect (PSC), telles que la gestion de l'inactivité des sessions, entre autres. | Etablissement de santé |
Capacités de contrôle et audit
| N° | Description | Entités concernées |
|---|---|---|
| EXI FI 33 | Le Fournisseur d’Identité et l'Établissement de Santé DOIVENT mettre à disposition de l'ANS un moyen de récupérer des indicateurs présentant les politiques d'accès à l'application Pro Santé Connect (PSC), telles que la durée de session, les moyens d'identification électronique (MIE) et la force d'authentification autorisés, etc… | Fournisseur d’identité Etablissement de santé |
| RECO FI 04 | Le fournisseur d’identités DEVRAIT mettre à disposition de l’ANS une API lui permettant de requêter des relevés d’indicateurs de façon autonome sans avoir à faire de demande à l’établissement dans lequel le service est implémenté | Fournisseur d’identité |
Environnements de test et validation des services
| N° | Description | Entités concernées |
|---|---|---|
| EXI FI 34 | Le Fournisseur d’Identité DOIT avoir testé avec succès son service avec les endpoints de Pro Santé Connect Bac à Sable, avant toute connexion à l'environnement de production. | Fournisseur d’identité |
| EXI FI 35 | Le Fournisseur d’Identité DOIT s’assurer que les tests de son service incluent un panel représentatif d’Établissements de Santé, prenant en compte la diversité des types d'établissements, des configurations techniques et des flux de travail, afin de valider la solution dans des conditions variées avant son déploiement en production. | Fournisseur d’identité |
| EXI FI 36 | Le Fournisseur d’Identité DOIT donner accès à l'ANS à son service de test, en considérant l'ANS comme un Établissement de Santé testeur. | Fournisseur d’identité |
Gouvernance des identités, gestion des accès et sécurité
| N° | Description | Entités concernées |
|---|---|---|
| EXI FI 37 | Au sein d'un Établissement de Santé, le Fournisseur d’Identité DOIT être intégré à un processus IAM (Identity and Access Management) mature, comprenant un répertoire d'identité local, un processus de gestion du cycle de vie des identités, et la synchronisation des données, entre autres. | Etablissement de santé |
| EXI FI 38 | La gestion des comptes à privilèges au sein du Fournisseur d’Identité DOIT suivre les Recommandations relatives à l'administration sécurisée des systèmes d'information publiées par l’ANSSI. | Etablissement de santé |
| EXI FI 39 | L’Établissements de Santé DOIT disposer de processus robustes et sécurisés pour l'acquisition, l'enrôlement et la distribution des MIE. Ces processus doivent garantir que seuls les utilisateurs autorisés obtiennent les MIE et que l’ensemble des étapes respectent les exigences de sécurité, afin de prévenir les risques de compromission ou de mauvaise gestion des identités. | Fournisseur d’identité |
| EXI FI 40 | Les parties prenantes DOIVENT prévenir l'ANS dans un délai de 12 heures en cas de détection d'un incident de sécurité ou d'une violation de données à caractère personnel au sein de son infrastructure ou de ses services. | Fournisseur d’identité Etablissement de santé |
| EXI FI 41 | La solution du Fournisseur d’identités DOIT disposer de capacités suffisantes de suivi des traces permettant de remonter les événements ayant mené à une identification fédérée auprès de PSC en cas de demande de l’ANS (investigation, réquisition juridique, etc.). | Fournisseur d’identité |
| EXI FI 42 | Le Fournisseur d’Identité et/ou l'Établissement de Santé DOIT conserver les traces des événements sur une durée minimale de 3 mois. | Fournisseur d’identité Etablissement de santé |