Non, même si les applications mobiles pour smartphone ou les OTP SMS permettent de construire des solutions d'authentification à deux facteurs, ce ne sont pas les seules. A titre d'exemple, sont utilisables des cartes à puce (cartes CPx ou cartes d'établissement), des clés USB (type clé FIDO2 U2F), des badges sans contact associés à un secret, voire des dispositifs exploitant une empreinte digitale (vérifiée localement) ou une autre donnée biométrique.

L'ANS propose de consulter en détail la présente Foire Aux Questions concernant le référentiel d'identification électronique, et renvoie les personnes intéressées aux webinaires déjà disponibles consacrés aux trois volets du référentiel.
L'ANS met de plus à disposition sur son site un formulaire de contact permettant en particulier de faire remonter des remarques concernant les référentiels de la PGSSI-S.

L'ANS met à disposition sur son site différents vecteurs de support aux structures de santé devant appliquer ses référentiels : Guides associés aux documents de la PGSSI-S, webinaires, foire aux questions, …
A consulter sur : https://esante.gouv.fr/ et https://industriels.esante.gouv.fr/

L'engagement de sécurisation des modalités d'identification électronique doit être signé par un responsable légal du fournisseur des services numériques en santé concernés, ou, à défaut, par un délégataire dûment habilité.

Le responsable d'un service numérique en santé est libre d'autoriser ou non une identification électronique indirect sur son service, et le cas échéant les exigences de sécurité associées. Ce choix doit tenir compte de la sensibilité des données traitées et du contexte d'utilisation.
Le responsable d'un service numérique autorisant l'identification électronique indirecte, via un service intermédiaire, peut demander pour son information l'engagement de sécurisation de l'identification électronique établi par la structure responsable du service intermédiaire (partie A).

L'homologation du moyen d'identification électronique doit être réalisée selon la méthodologie d'homologation de sécurité de l'ANSSI. L'ANS met à disposition des structures de santé un guide dédié à l'homologation des moyens d'identification électronique.
L'ANSSI met aussi à disposition des guides et des documents relatifs à cette homologation de sécurité : https://www.ssi.gouv.fr/entreprise/management-du-risque/homologation-de…

Le référentiel d'identification électronique (volet acteurs de santé personnes morales) décrit les exigences minimales à respecter dans le cadre d'une authentification indirecte, c'est-à-dire une authentification sur un service numérique réalisé pour le compte d'un acteur de santé par l'intermédiaire d'un service tiers appelant accédé par cet acteur.
Toutefois le responsable du service numérique en santé reste libre de définir les conditions qu'il juge nécessaire pour permettre un accès sécurisé au vu de l'analyse des risques associés à ce service, dans la mesure où les exigences minimales décrites dans le référentiel d'identification électronique sont a minima satisfaites. Par exemple, il peut choisir d'imposer une authentification forte de l'acteur de santé au service appelant s'il estime que cela est nécessaire pour garantir la sécurité de l'accès à son service. Il peut également décider de restreindre l'accès à son service à certains services appelants.

L'homologation d'un moyen d'identification électronique est à la charge de la structure de santé responsable du service recourant à ce moyen, du fait qu'il s'agit de l'entité responsable de traitement au sens du RGPD et qu'elle doit évaluer le niveau de sécurité dans son propre contexte.
Certaines structures peuvent donc être amenées à homologuer un moyen d'identification électronique qu'elles ne délivrent pas elles-mêmes, mais qui sont utilisables (par des personnels externes par exemple) pour accéder à l'un de leurs services.
Les structures de santé peuvent bien entendu faire appel à des prestataires de services avec une expertise pour les accompagner dans cette démarche.

Une structure de santé est tenue d'homologuer tout moyen d'identification électronique qu'elle autorise sur l'un de ses services numérique dès lors qu'il ne s'agit pas d'un moyen mis à disposition par l'administration (CPS, e-CPS, ApCV) ou d'un moyen de niveau substantiel eIDAS. L'homologation a pour objectif de s'assurer de la satisfaction des exigences du référentiel et de l'absence de risques résiduels inacceptables. Elle est à réaliser au plus tard pour le 1er janvier 2026.

Chaque entité responsable d'un service numérique peut homologuer et délivrer des moyens d'identification électronique propres qu'elle sera ainsi en capacité de fournir rapidement en cas de nécessité (nouvel arrivant, oubli, perte...).

Le référentiel précise que le fournisseur de service devrait accepter plusieurs types de moyens d'identification (par un exemple un moyen homologué local en sus de moyens nationaux comme Pro Santé Connect ou la carte CPS en direct) afin de pallier une indisponibilité ponctuelle de l'un des moyens d'identification électronique. Ceci vaut aussi bien pour le cas d'une indisponibilité du service central d'identification électronique que pour un oubli par le professionnel du moyen d'identification électronique.
Tous ces moyens doivent satisfaire les exigences du référentiel afin de garantir un niveau de sécurité minimal quelles que soient les conditions d'accès.

Le service Pro Santé Connect n'a pas encore été certifié par l'ANSSI comme étant de niveau substantiel. Cependant, les mesures de sécurité appliquées lors de la conception et dans l'exploitation du service apportent un niveau de garantie considéré comme satisfaisant.

Une solution de Single Sign-On (SSO) est conforme au référentiel si les moyens d'identification électronique autorisés pour l'ouverture d'une session avec ce SSO sont eux-mêmes conformes au référentiel. La solution SSO peut ensuite ouvrir des sessions sur des services ou applications dans le périmètre du SSO en utilisant par exemple des login/mot de passe à partir du moment où cette transmission est sécurisée et que le SSO est le seul à pouvoir soumettre ces informations.

Une session utilisateur authentifiée par un moyen d'identification électronique conforme au référentiel doit être fermée (ou demander une nouvelle identification électronique) a minima après un certain délai d'inactivité, du fait du risque d'exploitation de la session ouverte par un tiers.
Le référentiel d'identification électronique ne définit pas de durée maximale de session afin de laisser chaque responsable de service juger, en fonction du contexte et des contraintes portant sur son service, de la durée optimale. Il doit s'agir d'un compromis justifié associé à un risque résiduel jugé acceptable.

La transmission d'un code OTP par SMS présente plusieurs vulnérabilités :
- interception des SMS sur le réseau téléphonique ;
- interception ou copie du SMS par une application malveillante sur le téléphone du destinataire ;
- transfert de la carte SIM destinatrice par un attaquant ("SIM swapping").
Ainsi l'OTP SMS ne constitue pas un facteur d'authentification sûr. Même associé à un mot de passe, il ne permet pas d'obtenir un moyen d'authentification fiable, et c'est pourquoi il a été abandonné dans le domaine bancaire pour les opérations sensibles.
Un argumentaire relatif aux facteurs d'authentification, et détaillant ce point, est mis à disposition par l'ANSSI : https://www.ssi.gouv.fr/guide/recommandations-relatives-a-lauthentifica…