50 Questions/réponses
Moyens d'identifications électroniques Pro Santé Connect
Si une méthode cryptographique propriétaire est utilisée, vous devez :
• la décrire explicitement,
• démontrer qu’elle est conforme aux exigences ANSSI,
• fournir des preuves dans les documents dédiés (analyse, tests, conformité),
• éviter toute zone grise dans la compréhension du mécanisme.
Cette réponse vous a-t-elle été utile ?
Vous décrivez avec précision :
• tout ce qui est attendu de l’Opérateur (installation, configuration, supervision…),
• comment ces informations lui sont transmises (document installation, guide opérateur, fichier de configuration, etc.).
Même si vous êtes à la fois éditeur et opérateur dans la même structure, les rôles doivent être clairement séparés car les équipes internes d’installation ne sont pas les développeurs.
Cette réponse vous a-t-elle été utile ?
Oui.
Vous listez tous les composants, qu’ils soient :
• obligatoires,
• optionnels,
• tiers,
• embarqués,
• ou dépendances internes.
Chaque composant doit être accompagné d’une description, d’une version, et de son usage dans le système.
Cette réponse vous a-t-elle été utile ?
Nous considérons que le déroulé théorique éditeur a déjà été couvert dans le Bac à Sable.
Ce qui doit apparaître dans la documentation, sont :
• les mécanismes concrets de génération de l’identifiant de corrélation,
• le processus réel de gestion des traces,
• le déroulement théorique de l’authentification tel que mis en œuvre,
• les types de contrôles ,
• les liens de test, même si ceux-ci ne sont pas évalués en tant que tels.
Cette réponse vous a-t-elle été utile ?
Ces textes sont des guides. Ils servent à contextualiser et orienter sans imposer.
Cette réponse vous a-t-elle été utile ?
Oui. Toute capture d’écran doit être parfaitement cohérente avec la description textuelle qui l’accompagne.
Si un comportement n’est pas visible dans l’interface ou si l’interface diffère, la capture doit être ou mise à jour ou retirée pour ne pas induire en erreur.
Cette réponse vous a-t-elle été utile ?
Non. Il ne faut jamais décrire l’état de l’art.
Il faut exclusivement documenter ce que vous faites réellement, dans votre solution, dans vos flux, dans vos composants et dans vos contrôles. Toute description doit être factuelle, représentative du produit et vérifiable.
Cette réponse vous a-t-elle été utile ?
Oui, il s'agit de l’exigence EDC/PSC.101.01 qui s’appuie sur le référentiel de Pro Santé Connect "Espace Communautaire" :
- L'éditeur doit fournir ses CGU, même partiellement rédigées, intégrant au minimum le paragraphe relatif à Pro Santé Connect.
- L'opérateur doit fournir ses CGU définitives.
Cette réponse vous a-t-elle été utile ?
Oui, il est possible de mettre à disposition un endpoint sécurisé sur le Proxy e-santé (par exemple : /connect2). Celui-ci permet à la DRIMbox d’obtenir un access token PSC, à condition que la requête s’appuie sur une session active du Proxy e-santé (cookie de session valide).
Ce mécanisme respecte la doctrine ANS : Les jetons PSC ne sortent pas du proxy « en clair » ni en dehors d’un contexte sécurisé. L’accès au jeton est strictement lié à la gestion de la session proxy. Il n’existe pas de standard unique ANS sur le nom ou le format de cet endpoint, mais il doit être documenté, sécurisé, et assurer la traçabilité des accès.
Cette réponse vous a-t-elle été utile ?
- Le Parcours Éditeur est destiné au fournisseur du logiciel. Il est limité au bac à sable (BAS) pour développer, tester et constituer le dossier d’homologation (Espace de Confiance Pro Santé Connect).
La solution pourra être déployée en production via le parcours opérateur. - Le Parcours Opérateur est destiné à l’établissement ou au prestataire qui exploite la solution d’un éditeur déjà homologué.
Il s’appuie sur l’habilitation Espace de Confiance Pro Santé Connect de cet éditeur pour demander directement l’accès à la production, sans passer par le BAS.
Cette réponse vous a-t-elle été utile ?
L'outil de conformité est un outil proposé par les équipes de l'ANS permettant de vérifier la conformité du Proxy e-Santé aux exigences du référentiel, afin de faciliter le processus d'adhésion à l'Espace de Confiance.
Ses composants, prérequis ainsi que le lien pour la demande d'accès sont disponibles sur la page dédiée de l'Espace de Confiance du Portail industriels.
Cette réponse vous a-t-elle été utile ?
Pour obtenir l’autorisation d’accès aux espaces de tests du CNDA, il faut compléter votre dossier sur Convergence et renseigner la partie « Prérequis de maturité technique » sur le guichet Éditeur EDC PSC, à la fois pour le Proxy e-Santé et pour les composants principaux de la Solution Logicielle.
Cette réponse vous a-t-elle été utile ?
Les tests d'intrusion détaillés selon profils, ainsi que leurs formulaires et guides d'utilisation sont mis à disposition sur la page dédiée à l'Espace de Confiance du Portail Industriels.
Cette réponse vous a-t-elle été utile ?
L'Espace de Confiance Pro Santé Connect est obligatoire pour l'ensemble des couloirs de la vague 2 à l'exception du Couloir Hôpital.
L'ensemble des preuves demandées pour se référencer Ségur Vague 2 sont détaillées dans les REM (Référentiels d'exigences minimales) spécifiques à chaque Couloir.
Cette réponse vous a-t-elle été utile ?
Pour rejoindre l'Espace de Confiance Pro Santé Connect, consultez l'onglet dédié sur les parcours de raccordement à PSC.
Cette réponse vous a-t-elle été utile ?