Garantir la sécurité des données de santé est une priorité absolue. Dans ce cadre, le programme Ségur Numérique exige que les éditeurs de logiciels candidats à la Vague 2 valident la robustesse de leurs solutions via un test d’intrusion. Ce processus essentiel assure la conformité et la sécurité des outils numériques utilisés par les professionnels de santé.
Une démarche claire et équitable, basée sur une référence mondiale
Face à l’augmentation des cyberattaques dans le secteur de la santé, le test d’intrusion vise à évaluer la conformité des solutions logicielles à des exigences strictes de cybersécurité. Il permet de vérifier qu'elles ne présentent pas de vulnérabilités potentiellement exploitables.
Pour garantir une protection optimale, le test d’intrusion se base sur le Top 10 OWASP (Open Web Application Security Project), une liste mondialement reconnue des principales menaces et vulnérabilités informatiques. Cette méthodologie cible en priorité les failles les plus critiques pour assurer la sécurité des systèmes d’information.
Le test d'intrusion doit être réalisé par un prestataire PASSI (Prestataire d’Audit de la Sécurité des Systèmes d’Information). Bien que la certification complète PASSI ne soit pas requise, l’auditeur doit disposer des compétences nécessaires. L’audit, à la charge des éditeurs, est une étape incontournable pour le référencement des solutions (figure parmi la liste des preuves à fournir).
Consultez la liste des prestataires PASSI
Déroulement du test d'intrusion
Le test d'intrusion s'articule autour de 18 points de contrôle communs, complétés par 21 à 24 critères spécifiques selon la solution évaluée. Les résultats sont classés selon deux niveaux de gravité :
- haute, éliminatoire, empêchant le référencement de la solution ;
- moyenne, tolérant jusqu’à 10 non-conformités.
Ce processus, structuré en quatre phases, s'étend généralement sur une semaine et permet une évaluation complète de la sécurité des solutions :
- phase de cadrage : collecte des prérequis et définition des modalités ;
- phase de test : réalisation des tests sur l’application logicielle ;
- phase de rapport : transmission des résultats et validation par l’éditeur ;
- phase de soumission : dépôt du formulaire sur la plateforme Convergence.
Dans le cas où des corrections sont nécessaires, l’éditeur doit informer l’auditeur des vulnérabilités corrigées. L’auditeur procède alors à une réévaluation des points concernés avant la mise à jour du formulaire.
Un appel à l'action clair pour les éditeurs
Pour réussir votre test d’intrusion et assurer le référencement de votre solution, identifiez dès maintenant un prestataire PASSI et accédez aux ressources nécessaires sur le Portail Industriels. Une cybersécurité robuste commence ici !
Consultez notre page dédiée à la procédure de référencement Vague 2
Téléchargez les documents nécessaires pour la réalisation du test d'intrusion
Conformément à la réglementation européenne et française sur la protection des données personnelles, l'Editeur est informé que des données à caractère personnel sont susceptibles d'être traitées par l'ANS. Le traitement mis en œuvre a pour finalité l'instruction et le suivi du processus de référencement et de financement, le pilotage du programme de financement et du déploiement auprès des établissements et professionnels de santé des logiciels référencés par l’ANS, la gestion des sollicitations adressées par l’ANS à l’éditeur dans le cadre du pilotage du programme de référencement et de financement (par ex. des sondages ou questionnaires), le contrôle du bon usage des fonds publics versés à l’éditeur ainsi que la réalisation d'indicateurs statistiques. Des données à caractère personnel sont susceptibles d'être communiquées, dans le cadre des finalités précitées, aux partenaires de l’ANS en charge avec elle du pilotage du dispositif Ségur de financement à l’équipement (CNDA, CNAM, ministère de la santé, ASP, CNSA, CNOP, etc.). La communication de données personnelles, si elle est sollicitée par l'ANS, est nécessaire à l'instruction de la demande de référencement ou à la réalisation des autres finalités précitées. Les données collectées sont conservées pendant la durée du référencement dont bénéficie l'Editeur ainsi que pour les durées d'archivage exigées par la réglementation applicable. L'Editeur dispose d’un droit d’accès, de rectification de ses données ainsi que, dans certains cas, d’effacement, de portabilité, de limitation, et d’opposition. Les coordonnées du Délégué à la protection des données personnelles de l'ANS sont les suivantes : GIP Agence du Numérique en Santé (Délégué à la protection des données) - 2-10 Rue d'Oradour-sur-Glane 75015 Paris ou par messagerie électronique, à l'adresse suivante : dpo@esante.gouv.fr. L'Editeur dispose également du droit d'introduire éventuellement une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).
Il est par ailleurs rappelé à l’éditeur, ce que ce dernier reconnait et accepte, qu’il lui appartient de respecter, pour les traitements de données personnelles qu’il met en œuvre, les dispositions du Règlement (UE) 2016-679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et celles de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés. En particulier, il appartient à l’éditeur d’assurer l’information de ses clients (établissements et professionnels de santé) sur la communication éventuelle à l’ANS ou ses partenaires, de certaines de leurs données personnelles dans le cadre de la gestion du programme de financement.
Les établissements ou professionnels de santé ayant signé un bon de commande Ségur sont par ailleurs informés que des données à caractère personnel les concernant sont susceptibles d’être communiquées à l’ANS par des éditeurs candidats à un financement Ségur ou par l’ASP. Le traitement mis en œuvre a pour finalité l'instruction et le suivi du processus de financement, le pilotage du programme de financement et du déploiement auprès des établissements et professionnels de santé des logiciels référencés par l’ANS, les éventuelles sollicitations adressées par l’ANS à un établissement ou professionnel de santé ayant signé un bon de commande Ségur, le contrôle du bon usage des fonds publics versés à l’éditeur ainsi que la réalisation d'indicateurs statistiques. Des données à caractère personnel sont susceptibles d'être communiquées, aux partenaires de l’ANS en charge avec elle du pilotage du dispositif Ségur de financement à l’équipement (CNDA, CNAM, ministère de la santé, ASP, CNSA, CNOP, etc.), ce à des fins exclusives de gestion et de pilotage du programme de financement. La communication de données personnelles, si elle est sollicitée par l'ANS, est nécessaire à l'instruction de la demande de financement ou à la réalisation des autres finalités précitées. Les données collectées sont conservées pendant la durée du référencement dont bénéficie l'Editeur ainsi que pour les durées d'archivage exigées par la réglementation applicable. L’établissement ou le professionnel de santé dont des données à caractère personnel sont collectées ou traitées par l’ANS dispose d’un droit d’accès, de rectification de ses données ainsi que, dans certains cas, d’effacement, de portabilité, de limitation, et d’opposition. Les coordonnées du Délégué à la protection des données personnelles de l'ANS sont les suivantes : GIP Agence du Numérique en Santé (Délégué à la protection des données) - 2-10 Rue d'Oradour-sur-Glane 75015 Paris ou par messagerie électronique, à l'adresse suivante : dpo@esante.gouv.fr. L’établissement ou le professionnel de santé est par ailleurs invité à se rapprocher de l’éditeur auprès duquel un bon de commande Ségur a été signé, lequel éditeur reste tenu à titre principal au respect des droits que ses clients tiennent des dispositions figurant dans le RGPD ou la loi française de protection des données. L’établissement ou le professionnel de santé dispose également du droit d'introduire éventuellement une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).