FAQ de l'offre : Cybersécurité

La fiabilité du système de sécurisation des données de santé personnelles de Mon espace santé s’appuie sur la mise en œuvre d’un ensemble de garanties techniques :

• la conception et l’hébergement en environnement certifié HDS (Hébergeurs de Données de Santé); 
• des vérifications sur les mesures de protection sont réalisées plusieurs fois par an au travers d'audits externes. Ainsi des tests de pénétrations permettent de juger de l’efficacité des mesures en place. Chaque évolution de l’application fait l’objet d'un contrôle systématique;
• au regard de la réglementation en vigueur, les homologations nécessaires sont réalisées lors de chaque évolution majeure de l’application (RGS, HDS).

L’article L.1111-8 du Code de la santé publique relatif à l’hébergement de données de santé a pour objectif d’organiser et d’encadrer la conservation et la restitution des données de santé à caractère personnel recueillies à l’occasion d’activité de prévention, de diagnostic, de soin ou de suivi social et médico-social, dans des conditions propres à garantir leur confidentialité et leur sécurité.

Par cet encadrement, le législateur souhaite garantir la confiance dans les tiers auxquels des structures et des professionnels des secteurs sanitaire, social et médico-social confient les données de santé qu’ils produisent ou recueillent, notamment en mesurant l’impact de l’activité du prestataire sur la protection des données, au travers des critères de sécurité à l’état de l’art « disponibilité, intégrité, confidentialité et auditabilité (DICA) » notamment visés par l’ANSSI et les normes ISO.

Cette confiance dans les tiers agissant pour le compte de ces acteurs sanitaires et sociaux et médico-sociaux est donnée au travers de l’obligation d’être certifiés « HDS ».

 

Actuellement, il n’existe pas d’API pour la commande automatique de cartes à identifiant national. En régime de fonctionnement nominal, elles seront proposées pour automatiser ces processus.

Oui, chaque structure de santé responsable d'au moins un service numérique en santé sujet à des exigences du référentiel d'identification électronique doit établir annuellement cet engagement. Il permet de garantir que la direction de la structure est informée du niveau de conformité atteint vis à vis du référentiel, et qu'elle approuve le plan d'action associé. La production de l'engagement reste obligatoire même si la structure n'utilise que des moyens d'identification électronique mis à disposition par l'ANS (carte CPS, e-CPS).

Le référentiel d'identification électronique s'applique à compter du 1er juin 2022. Chacun des 3 volets du référentiel d'identification électronique peut intégrer des dates d'application de certaines des exigences.

La constitution de l'équipe projet est demandée dans le prérequis D2.P2. L'équipe projet rassemble les personnes qui seront impliquées dans l’atteinte des objectifs du domaine. 
Le comité de pilotage doit quant à lui s'inscrire dans une gouvernance pérenne de la continuité et la reprise d'activité au-delà de la réalisation du domaine. Le candidat est libre du choix des participants de cette instance, qui peut intégrer des membres de l’équipe projet et/ou suivre les recommandations indiquées dans le kit PCRA mis à disposition. 

Non, le schéma de gouvernance met en lumière les instances et collaborateurs engagés dans une démarche de mise en place pour la continuité et reprise d'activité (attendu au titre de l’objectif D2.O1.A) alors que le PCRA cadre (qui peut être soumis, de manière non requise, en réponse au D2.O1.C) est le plan de réponse du niveau stratégique en cas d’évènement perturbateur.

Si un plateau technique est mutualisé, il est possible de réaliser un seul BIA au titre de cet attendu pour l'ensemble des EG concernées. Le candidat devra veiller à ce que l’analyse d’impact et les dispositifs de continuité d’activité définis intègrent les spécificités propres à chacun des EG considérés. Il devra également indiquer le périmètre des EG couverts dans les documents justificatifs (i.e. BIA et PCRA) transmis.

Oui, cependant Le processus "RH" apparaît aujourd'hui particulièrement vaste pour faire l'objet d'un BIA et d'un PCRA uniques en réponse à l'objectif, et ce au regard de la diversité des sous-processus qu'il porte. Nous recommandons le cas échéant de réaliser les BIA et PCRA en réponse à l'objectif D2.O1.C sur un des sous-processus constitutif de l'activité RH, comme par exemple : la gestion du recrutement, la gestion des formations, la gestion de la paye, la gestion du temps de travail, etc. 
Il est également possible d’adresser le processus « finance » ou le processus « paye » dans le cadre du périmètre processus administratif / support : le choix du périmètre critique étant laissé à l’appréciation du candidat vis-à-vis de son contexte propre. 

La numérisation des archives papiers ne permet pas directement d’atteindre l’un des objectifs du domaine – tant sur les dimensions de continuité d’activité (i.e. D2.O1.C, considérant que les archives ne sont pas directement utilisées à des finalités de continuité d’activité), que sur les dimensions de sauvegarde (i.e. les D2.O2.B et D2.O2.C portant sur le cloisonnement de l’infrastructure de sauvegarde et sur la mise en œuvre du 3-2-1). En conséquence, la dépense n’est pas considérée comme éligible au financement dans le cadre du domaine 2 du programme CaRE.  
Pour plus de précisions, les candidats sont invités à consulter le guide des dépenses éligibles mis à disposition par l’Agence du Numérique en Santé : 
https://esante.gouv.fr/sites/default/files/media/document/Guide des de%CC%81penses e%CC%81ligibles domaine 2_v1.0_0.pdf