393 Questions/réponses
Ségur du numérique en santé Hôpital Plateforme d’Intermédiation (PFI)
Uniquement la partie qui concourt à l’atteinte de l’objectif : si la version du CMS utilisée expose des vulnérabilités critiques, sa mise à jour peut être prise en compte. Si des modules complémentaires développés par l’établissement sont dans le même cas, leur redéveloppement peut être pris en compte. En revanche, les travaux de charte graphique, éditoriaux, etc. ne sont pas éligibles.
Cette réponse vous a-t-elle été utile ?
Une dépense est éligible si elle contribue à l'atteinte des objectifs du domaine. Toute dépense qui concourt directement à la remédiation ou à la détection immédiate d'éléments nécessitant la remédiation, est éligible. Les dépenses suivantes n'y concourant pas, elles ne sont pas éligibles (liste non exhaustive) :
- Une application SaaS exposée par un fournisseur
- Une analyse de risque, un EDR ou un abonnement PRIS
- Mise en place d'un gestionnaire de mot de passe
- Mise en place d'un outil de MAJ sur des serveurs LINUX sans les arrêter
Cette réponse vous a-t-elle été utile ?
Le coût de la prestation de fusion de X AD en un seul et unique AD peut être pris en charge à condition que cette action contribue à la diminution des vulnérabilités. Par exemple, si l'AD convergé présente un score de sécurité supérieur à celui des AD de départ.
Cette réponse vous a-t-elle été utile ?
Les exercices de crise peuvent être menés en interne sans faire appel à une prestation extérieure. L'établissement devra cependant fournir la preuve de la tenue de cet exercice (scénario, RETEX post exercice…) pour valider l'objectif D1.O3.
Cette réponse vous a-t-elle été utile ?
Cette réponse vous a-t-elle été utile ?
Les certifications ISO 27001 et HDS ne sont pas objectivées dans le cadre du Domaine "Annuaires techniques et exposition sur internet".
Cette réponse vous a-t-elle été utile ?
Le calcul des ETP ne concerne que les ressources internes à l'établissement de santé (ES).
Cette réponse vous a-t-elle été utile ?
Oui, l'année de référence pour le calcul de la part du numérique dans le budget de l'établissement sera 2023 dans tous les cas.
Cette réponse vous a-t-elle été utile ?
Pour l'objectif D1.O5, seule la part dédiée au sanitaire doit être déclarée. Le travail de répartition pourra être réalisé avec la DAF de l'établissement.
Cette réponse vous a-t-elle été utile ?
L'objectif D1.O5 couvre les postes SI et pas uniquement SSI. Pour calculer le budget alloué au numérique, il faut prendre en compte les postes qui comportent un composant SI ou SSI (compté en ETP) que ce soit pour un salarié ou un prestataire.
Cette réponse vous a-t-elle été utile ?
L'utilisation des kit de l'ANS est fortement recommandée. Ils comportent plusieurs niveaux de difficulté. Ils peuvent être l’opportunité pour les Etablissements de Santé (ES) de passer à un niveau supérieur si leur maturité s’est améliorée.
Cette réponse vous a-t-elle été utile ?
L’ensemble de ce qui est exposé par le GHT doit être audité et à la cible. Le GHT a pour autant le choix de réaliser des audits uniques sur tout son périmètre ou plusieurs audits pour couvrir ce périmètre (au niveau de chaque EJ, par exemple).
Il est indispensable que tout le périmètre soit couvert indépendamment du nombre d'audits pour y arriver. Concernant le score attendu attestant l'absence de vulnérabilité critique, il peut également être global ou réparti sur plusieurs audits, tant que tout le périmètre est couvert.
Cette réponse vous a-t-elle été utile ?
Les tests SILENE sont effectués mensuellement avec, donc, un intervalle inférieur à 45 jours. Le délai minimal ne concerne que le D1.O2. B : l’intervalle entre deux audits successifs doit être de 45 jours minimum et de 60 jours maximum pour évaluer l'atteinte de niveau de sécurisation minimum d'exposition internet. Pour vérifier la pertinence des corrections apportées, les intervalles peuvent être faibles mais avec une fréquence de réalisation "élevée".
L'esprit de la règle est d'éviter d'avoir deux audits très rapprochés qui ne démontrent pas le maintien dans le temps du niveau atteint.
Cette réponse vous a-t-elle été utile ?
Seule la détection d'une vulnérabilité de niveau critique (niveau rouge CVSS > 9) sur les 2 derniers audits successifs d'exposition internet est bloquante pour l'atteinte de l'objectif D1.O2.B.
La détection d'une vulnérabilité de niveau haute (niveau orange CVSS comprise entre 7 et 9) n'est pas rédhibitoire. Elle doit cependant être corrigée avant le prochain audit.
Vous pouvez vous référer au guide détaillé des prérequis et des objectifs (https://esante.gouv.fr/Guide%20des%20pr%C3%A9requis%20et%20objectifs%20du%20domaine%201).
Cette réponse vous a-t-elle été utile ?
Selon le cahier de charges : "L’exposition d’une vulnérabilité critique sur internet par une solution logicielle ou matérielle ne signifie pas automatiquement que cette vulnérabilité est exploitable. Des contremesures externes au composant concerné ont pu être mises en œuvre pour réduire le risque de compromission. Pour vérifier la mise en œuvre de ces mesures et réévaluer si besoin la cotation de la vulnérabilité, il est fortement recommandé de prendre contact avec le RSSI ou le référent sécurité de l’établissement."
Si des mesures sont mises en œuvre pour atténuer ces vulnérabilités, la cotation de celles-ci peut être réévaluée. Pour cela, un dialogue doit avoir lieu entre le RSSI et l’auditeur (c’est-à-dire l’industriel retenu par le candidat pour effectuer les audits d’exposition internet) afin d'évaluer le niveau de criticité résiduel. Toute décision justifiant la baisse de niveau de criticité doit être justifiée et étayée (justificatif à l’appui) par le RSSI et mentionnée dans le rapport d'audit.
Si le dialogue n'aboutit pas à une solution, l'auditeur doit être recadré en rappelant le contexte de dialogue promu dans le cahier des charges.
Cette réponse vous a-t-elle été utile ?