FAQ de l'offre : Moyens d'identification électroniques

Chaque structure doit tout d'abord vérifier si elle est concernée par le référentiel en identifiant l'ensemble des services numériques en santé dont elle est responsable, et en étudiant le périmètre application pour chaque catégorie d'utilisateurs de ces services.
En synthèse, les premières obligations depuis le 1/06/2022 sont :
- Volet ASPP : mettre en conformité les moyens d'identification électronique avec au moins les exigences des MIE de transition (à deux facteurs sauf pour un accès en interne) ;
- Volet ASPM : utiliser des certificats électroniques de l'IGC Santé pour l'identification électronique auprès d'une autre personne morale ;
- Volet Usagers : mettre en conformité les moyens d'identification électronique avec au moins les exigences des MIE de transition (à deux facteurs).
Toutes les structures concernées par le référentiel doivent de plus préparer un engagement de sécurisation de l'identification électronique (intégrant un plan de mise en conformité) pour le 31/05/2023 au plus tard.

Le référentiel d'identification électronique est rendu opposable par arrêté, il engage donc la responsabilité légale de l'établissement.
Les exigences du référentiel d'identification électronique sont échelonnées dans le temps, avec la définition de moyens d'identification de transition, afin de permettre une atteinte progressive du niveau de sécurité visé à terme. Ainsi l'authentification en login/mot de passe reste tolérée temporairement pour un accès en local, et des mesures telles que la mise en place de VPN pour les connexions externes ou le déploiement de SSO permettent une mise en conformité sans remettre en question toutes les applications en production d'un établissement.
Il revient à chaque établissement d'évaluer les risques liés à la sécurité de son SI et aux non-conformités au référentiel afin de définir son plan d'action immédiat et à moyen terme. Ce plan d'action doit être décrit dans "l'engagement sur la sécurisation des modalités d'identification électronique" (formulaire téléchargeable avec le référentiel d'identification électronique) et validé par la direction qui en endosse la responsabilité.

Vous ne devez pas faire apparaitre l’identifiant de corrélation dans l’URL, les paramètres d'url ou dans les messages d'erreur, sauf en cas de fonctionnement par Code Flow auquel cas son usage doit être limité (1 fois).

Un résultat de TI Proxy comportant une ligne en N/A est une prise de risque importante de la part de la solution car si un audit démontre qu’en production le N/A est applicable, la solution perdra automatiquement son habilitation au niveau éditeur et le TI sera considéré comme une fausse déclaration.

Un mésusage peut (et doit souvent) déclencher une alerte, mais toutes les alertes ne sont pas des mésusages (exemple : une alerte de saturation de base de données est technique et non liée à un mauvais usage).

Il ne faut jamais citer un document de manière globale. Chaque référence doit être précise. Vous devez systématiquement indiquer le titre du document, le numéro de version, ainsi que le chapitre, la section ou le numéro de page exact traitant de l'exigence. Un référencement imprécis (ex: citer une PSSI de 50 pages sans préciser le paragraphe) entraîne systématiquement un refus de la preuve.

Si vous possédez un PAS, faites une référence précise aux chapitres concernés pour chaque point décrit. Si le PAS répond intégralement à l'exigence, la simple référence dans le template suffit. 

Soyez extrêmement vigilants sur les versions des documents cités.
Lorsque vous référencez un document, indiquez systématiquement les chapitres précis. Ne citez jamais un document de manière globale.

Le logiciel client doit impérativement vérifier la validité du certificat SSL du Proxy (expiration, révocation, autorité de certification). 

Oui. Le référencement doit être exhaustif. Vous devez impérativement préciser le nom du document, sa version, ainsi que les chapitres et sections.