50 Questions/réponses
Moyens d'identifications électroniques Pro Santé Connect
Pro Santé Connect est un fédérateur de fournisseurs d’identité (FI) qui permet à un professionnel de s'authentifier avec une e-CPS ou une carte de la 'famille CPx' (CPS, CPE, etc.). Pro Santé Connect présente une interface au standard OpenID Connect.
Des ressources sont mises à disposition par l'ANS sur son site web :
- https://industriels.esante.gouv.fr/produits-et-services/pro-sante-conne…
- https://gnius.esante.gouv.fr/en/regulations/regulation-profiles/pro-san…
Les éditeurs d'applications ou de services numériques en santé sont par ailleurs incités (référencement, financements, ...) à implémenter le raccordement à Pro Santé Connect afin d'atteindre les objectifs règlementaires fixés aux responsables des services numériques.
Cette réponse vous a-t-elle été utile ?
Vous ne devez pas faire apparaitre l’identifiant de corrélation dans l’URL, les paramètres d'url ou dans les messages d'erreur, sauf en cas de fonctionnement par Code Flow auquel cas son usage doit être limité (1 fois).
Cette réponse vous a-t-elle été utile ?
Un résultat de TI Proxy comportant une ligne en N/A est une prise de risque importante de la part de la solution car si un audit démontre qu’en production le N/A est applicable, la solution perdra automatiquement son habilitation au niveau éditeur et le TI sera considéré comme une fausse déclaration.
Cette réponse vous a-t-elle été utile ?
Un mésusage peut (et doit souvent) déclencher une alerte, mais toutes les alertes ne sont pas des mésusages (exemple : une alerte de saturation de base de données est technique et non liée à un mauvais usage).
Cette réponse vous a-t-elle été utile ?
Il ne faut jamais citer un document de manière globale. Chaque référence doit être précise. Vous devez systématiquement indiquer le titre du document, le numéro de version, ainsi que le chapitre, la section ou le numéro de page exact traitant de l'exigence. Un référencement imprécis (ex: citer une PSSI de 50 pages sans préciser le paragraphe) entraîne systématiquement un refus de la preuve.
Cette réponse vous a-t-elle été utile ?
Si vous possédez un PAS, faites une référence précise aux chapitres concernés pour chaque point décrit. Si le PAS répond intégralement à l'exigence, la simple référence dans le template suffit.
Cette réponse vous a-t-elle été utile ?
Soyez extrêmement vigilants sur les versions des documents cités.
Lorsque vous référencez un document, indiquez systématiquement les chapitres précis. Ne citez jamais un document de manière globale.
Cette réponse vous a-t-elle été utile ?
Le logiciel client doit impérativement vérifier la validité du certificat SSL du Proxy (expiration, révocation, autorité de certification).
Cette réponse vous a-t-elle été utile ?
Oui. Le référencement doit être exhaustif. Vous devez impérativement préciser le nom du document, sa version, ainsi que les chapitres et sections.
Cette réponse vous a-t-elle été utile ?
Non. Les traces brutes ne sont pas considérées comme des preuves suffisantes en soi ; elles doivent illustrer une démonstration documentée.
Cette réponse vous a-t-elle été utile ?
Non. Nous ne relisons jamais le code comme preuve.
Un extrait de code n’est pas considéré comme une preuve de conformité.
La preuve doit être apportée via :
• le document de conformité,
• les schémas,
• la configuration,
• les traces,
• les flux,
• les résultats de tests.
Cette réponse vous a-t-elle été utile ?
Dans le cas où votre proxy utilise un jeton dont il n'est pas à l'origine, par exemple : reçu par un autre proxy de l'EDC PSC, vous vous apprêtez à utiliser un jeton PSC alors que vous n'êtes pas à l’origine de l’authentification dont il est issu. Par conséquent :
• une introspection du jeton PSC par le proxy est obligatoire,
• une traçabilité dédiée par le proxy doit être réalisée,
• et l’usage par le proxy doit être correct vis à vis des rôles FS / Proxy dans l’Espace de Confiance.
Cette réponse vous a-t-elle été utile ?
Oui. Vous listez toutes les RFC utilisées, en les associant à :
• leur périmètre,
• le composant ou le service qui les met en œuvre,
• et l’usage effectif dans le produit.
Cette réponse vous a-t-elle été utile ?
Vous devez détailler tous les flux, y compris internes et systèmes, par type :
• SSH
• LDAP
• SMB
• HTTP / HTTPS
• Administration
• Mise à jour
• Méta-services internes
Chaque flux doit être associé au composant qui le consomme
Cette réponse vous a-t-elle été utile ?
Nous vous conseillons de privilégier un document interne avec un renvoi clair et précis dans le modèle de preuve fourni par l'ANS. L’objectif est :
• d’éviter les duplications,
• d’aligner tous les acteurs,
• et de centraliser l’information dans un document de votre gestion projet interne.
Attention ne faites jamais référence à d'autres preuves au sein d'une même preuve.
Cette réponse vous a-t-elle été utile ?