FAQ de l'offre : Cybersécurité

Une réplication n'est pas une sauvegarde dans la mesure où elle reproduit immédiatement toute modification ou corruption. Elle ne permet donc de revenir à un état antérieur. 
Le 3-2-1, exige des copies indépendantes du système de production, la possibilité de restaurer un état antérieur, d’être stockée sur un support distinct, d’être immuable et ne pas être automatiquement modifié par les opérations de production.  Aussi, la mise en place d’un système de réplication ne permet pas de répondre aux objectifs du domaine et ne constitue pas une dépense éligible. 

Pour rappel, les candidats doivent définir une trajectoire de mise en œuvre du 3-2-1 mais son opérationnalisation n’est pas attendue dans le cadre de l’objectif D2.O3.C. Ainsi, les candidats ne sont pas tenus de soumettre des preuves relatives à l’immuabilité des copies. 

Il est rappelé que l’immuabilité est obtenue par la concomitance de plusieurs dispositifs. A titre d’exemple, les situations suivantes ne permettent pas de garantir une immuabilité des copies : une procédure organisationnelle sans justification technique, un support en coffre-fort sans verrouillage logiciel ou matériel, une sauvegarde externalisée mais modifiable (pas de WORM / Object Lock). 
L'établissement doit donc s’engager dans une trajectoire associant une contrainte technique en complément de contrainte organisationnelle afin d’empêcher toute altération prématurée. 

Pour toutes vos questions cybersécurité relatives au Ségur vague 2, rendez-vous sur la FAQ dédiée, spécialement conçue pour vous accompagner et vous informer sur les exigences SSI et le test d'intrusion

Une FAQ est à votre disposition sur une page dédiée : 

Dans le cadre de la découverte d’une vulnérabilité ou d’un incident de sécurité d’origine malveillante, les industriels sont invités à en informer le CERT Santé qui pourra leur apporter une assistance dans les mesures de remédiation à mettre en œuvre. Le CERT Santé pourra également apporter un appui dans les actions de communication vers les structures.

Oui. L’ANS met à votre disposition sa plateforme de formation e-santé, avec plusieurs vidéos d'accompagnement concernant la cybersécurité. Vous y trouverez, notamment, comment demander un audit de cybersurveillance, comment signaler un incident grave de sécurité SI, comment améliorer vos mots de passe, ou comment identifier les emails malveillants.

Le ministère a lancé un portail de signalement des événements sanitaires indésirables destinés aux particuliers, professionnels de santé, et entreprises. 

Le CERT Santé assure le traitement des signalements des incidents de sécurité les jours ouvrés de 9h à 18h. En dehors de ces heures, il est possible de contacter l’ANSSI.

CERT Santé
+33 (0)9 72 43 91 25
Agence du Numérique en Santé
2-10 Rue d'Oradour-sur-Glane
75015 Paris

Les guides de la PGSSI-S n’ont pas vocation à être opposables. Leur prise en compte aussi complète que possible est toutefois fortement conseillée, d’une part afin de permettre une sécurisation des produits et services à la hauteur des enjeux du secteur médical, médico-social et social et des exigences fixées par le code de santé publique et par le RGPD, d’autre part afin de faciliter la conformité aux exigences de référencement, labellisation ou certification dans ce domaine.  

La conformité aux référentiels de la PGSSI-S est soit requise par la loi dès lors qu’ils ont été approuvés par arrêté ministériel, soit destinée à être requise à court terme, les référentiels de la PGSSI-S publiés ayant vocation à être approuvés par arrêté ministériel. 

Cette obligation s’applique au périmètre indiqué dans la réponse à la question "La PGSSI-S s’applique-t-elle aux éditeurs et aux industriels ?"

La PGSSI-S s’applique à l’ensemble des systèmes d'information ou des services ou outils numériques mis en œuvre par des personnes physiques ou morales de droit public ou de droit privé, y compris les organismes d'Assurance Maladie, proposés par voie électronique, qui concourent à des activités de prévention, de diagnostic, de soin ou de suivi médical, médico-social ou social, ou à des interventions nécessaires à la coordination de plusieurs de ces activités. 

Dès lors, afin que ces systèmes d’information puissent être conformes à la PGSSI-S : 

• les produits fournis par les éditeurs et les industriels qui sont destinés à faire partie de tels systèmes d’information doivent être conçus pour être conformes à la PGSSI-S ; 
• les activités internes ou prestation de service des éditeurs et des industriels participant à la conception, au développement, à la construction, à la distribution, à l’hébergement, à l’installation, à l’exploitation, à la maintenance ou à la mise au rebut de ces solutions doivent être menées en conformité avec la PGSSI-S.