FAQ Entreprise du numérique en santé

Le responsable d'un service numérique en santé est libre d'autoriser ou non une identification électronique indirect sur son service, et le cas échéant les exigences de sécurité associées. Ce choix doit tenir compte de la sensibilité des données traitées et du contexte d'utilisation.
Le responsable d'un service numérique autorisant l'identification électronique indirecte, via un service intermédiaire, peut demander pour son information l'engagement de sécurisation de l'identification électronique établi par la structure responsable du service intermédiaire (partie A).

L'homologation du moyen d'identification électronique doit être réalisée selon la méthodologie d'homologation de sécurité de l'ANSSI. L'ANS met à disposition des structures de santé un guide dédié à l'homologation des moyens d'identification électronique.
L'ANSSI met aussi à disposition des guides et des documents relatifs à cette homologation de sécurité : https://www.ssi.gouv.fr/entreprise/management-du-risque/homologation-de…

Le référentiel d'identification électronique (volet acteurs de santé personnes morales) décrit les exigences minimales à respecter dans le cadre d'une authentification indirecte, c'est-à-dire une authentification sur un service numérique réalisé pour le compte d'un acteur de santé par l'intermédiaire d'un service tiers appelant accédé par cet acteur.
Toutefois le responsable du service numérique en santé reste libre de définir les conditions qu'il juge nécessaire pour permettre un accès sécurisé au vu de l'analyse des risques associés à ce service, dans la mesure où les exigences minimales décrites dans le référentiel d'identification électronique sont a minima satisfaites. Par exemple, il peut choisir d'imposer une authentification forte de l'acteur de santé au service appelant s'il estime que cela est nécessaire pour garantir la sécurité de l'accès à son service. Il peut également décider de restreindre l'accès à son service à certains services appelants.

L'homologation d'un moyen d'identification électronique est à la charge de la structure de santé responsable du service recourant à ce moyen, du fait qu'il s'agit de l'entité responsable de traitement au sens du RGPD et qu'elle doit évaluer le niveau de sécurité dans son propre contexte.
Certaines structures peuvent donc être amenées à homologuer un moyen d'identification électronique qu'elles ne délivrent pas elles-mêmes, mais qui sont utilisables (par des personnels externes par exemple) pour accéder à l'un de leurs services.
Les structures de santé peuvent bien entendu faire appel à des prestataires de services avec une expertise pour les accompagner dans cette démarche.

Une structure de santé est tenue d'homologuer tout moyen d'identification électronique qu'elle autorise sur l'un de ses services numérique dès lors qu'il ne s'agit pas d'un moyen mis à disposition par l'administration (CPS, e-CPS, ApCV) ou d'un moyen de niveau substantiel eIDAS. L'homologation a pour objectif de s'assurer de la satisfaction des exigences du référentiel et de l'absence de risques résiduels inacceptables. Elle est à réaliser au plus tard pour le 1er janvier 2026.

Chaque entité responsable d'un service numérique peut homologuer et délivrer des moyens d'identification électronique propres qu'elle sera ainsi en capacité de fournir rapidement en cas de nécessité (nouvel arrivant, oubli, perte...).

Le référentiel précise que le fournisseur de service devrait accepter plusieurs types de moyens d'identification (par un exemple un moyen homologué local en sus de moyens nationaux comme Pro Santé Connect ou la carte CPS en direct) afin de pallier une indisponibilité ponctuelle de l'un des moyens d'identification électronique. Ceci vaut aussi bien pour le cas d'une indisponibilité du service central d'identification électronique que pour un oubli par le professionnel du moyen d'identification électronique.
Tous ces moyens doivent satisfaire les exigences du référentiel afin de garantir un niveau de sécurité minimal quelles que soient les conditions d'accès.

Le service Pro Santé Connect n'a pas encore été certifié par l'ANSSI comme étant de niveau substantiel. Cependant, les mesures de sécurité appliquées lors de la conception et dans l'exploitation du service apportent un niveau de garantie considéré comme satisfaisant.

Une solution de Single Sign-On (SSO) est conforme au référentiel si les moyens d'identification électronique autorisés pour l'ouverture d'une session avec ce SSO sont eux-mêmes conformes au référentiel. La solution SSO peut ensuite ouvrir des sessions sur des services ou applications dans le périmètre du SSO en utilisant par exemple des login/mot de passe à partir du moment où cette transmission est sécurisée et que le SSO est le seul à pouvoir soumettre ces informations.

Une session utilisateur authentifiée par un moyen d'identification électronique conforme au référentiel doit être fermée (ou demander une nouvelle identification électronique) a minima après un certain délai d'inactivité, du fait du risque d'exploitation de la session ouverte par un tiers.
Le référentiel d'identification électronique ne définit pas de durée maximale de session afin de laisser chaque responsable de service juger, en fonction du contexte et des contraintes portant sur son service, de la durée optimale. Il doit s'agir d'un compromis justifié associé à un risque résiduel jugé acceptable.

La transmission d'un code OTP par SMS présente plusieurs vulnérabilités :
- interception des SMS sur le réseau téléphonique ;
- interception ou copie du SMS par une application malveillante sur le téléphone du destinataire ;
- transfert de la carte SIM destinatrice par un attaquant ("SIM swapping").
Ainsi l'OTP SMS ne constitue pas un facteur d'authentification sûr. Même associé à un mot de passe, il ne permet pas d'obtenir un moyen d'authentification fiable, et c'est pourquoi il a été abandonné dans le domaine bancaire pour les opérations sensibles.
Un argumentaire relatif aux facteurs d'authentification, et détaillant ce point, est mis à disposition par l'ANSSI : https://www.ssi.gouv.fr/guide/recommandations-relatives-a-lauthentifica…

L'identification électronique d'un professionnel de santé avec un login/mot de passe est tolérée pour une connexion locale au SI jusqu'au 1/01/2026 au plus tard, en tant que moyen d'identification électronique de transition. Des mesures complémentaires doivent toutefois être implémentées pour renforcer la sécurité dans ce cas : limitation du nombre de tentatives d'authentification possibles, complexité minimale du mot de passe, etc. La connexion à distance au SI, par exemple en télétravail ou depuis un réseau public ou externe, nécessite une authentification à deux facteurs.
A partir du 1er janvier 2026, le simple login/mot de passe ne sera plus conforme au référentiel, et des moyens délivrés par l'ANS, de niveau substantiel eIDAS ou homologués par la structure de santé devront être employés.

Le référentiel impose d'implémenter l'identification électronique des professionnels personnes physiques par Pro Santé Connect sur tous les services numériques sensibles, au plus tard au 1/01/2023.
Même s'il est possible, et conforme au référentiel, de n'autoriser l'identification électronique que par cet unique moyen, ce choix implique des risques en terme de disponibilité (indisponibilité du service central ou des accès réseau) ou d'accessibilité (besoin de terminal mobile et de connectivité réseau 3G/Wifi). La mise en place de moyens d'identification électronique alternatifs permet d'adresser ce type de problématique et aussi de fournir des solutions adaptées en cas d'oubli du téléphone par exemple.

Le référentiel d'identification électronique préconise de suivre la méthodologie EBIOS Risk Manager proposée par l'ANSSI, afin de prendre en compte tous les aspects de la problématique et de conserver des résultats intelligibles qui puissent être communiqués aux non spécialistes.
Une présentation de la méthode et des modèles de documents sont fournis par l'ANSSI sur son site : https://www.ssi.gouv.fr/administration/management-du-risque/la-methode-…

Chaque entité est responsable de la réalisation de l'analyse de risques nécessaire au choix et à la spécification des modalités d'identification électronique sur ses services numériques. L'analyse de risque menée dans le cadre d'une AIPD peut se révéler insuffisante si elle ne prend pas en compte les exigences du référentiel d'identification électronique et/ou d'autres problématiques telles que la disponibilité des accès ou l'ergonomie pour les utilisateurs.