158 Questions/réponses
Cybersécurité Programme CaRE
Il s'agit d'un des domaines du programme financement CaRE mis en place par la puissance publique afin de répondre à l'augmentation de la cybermenace.
L’objectif du domaine 4 est de sécuriser et superviser l’ensemble des postes de travail, afin de détecter au plus tôt les tentatives d’intrusion et les comportements anormaux au sein du système d’information.
Les postes de travail constituent un point d’entrée majeur pour les attaquants, notamment par l’intermédiaire de campagnes d’hameçonnage, de téléchargements malveillants ou de vulnérabilités non corrigées. Une fois compromis, ils peuvent permettre aux attaquants de se propager dans le système d’information et d’accéder à des ressources sensibles. Il est donc nécessaire de renforcer leur sécurisation et leur supervision, qu’il s’agisse des postes individuels, partagés ou nomades, mais aussi des postes à privilèges et à usages sensibles.
Pour en savoir plus, vous pouvez consulter les ressources documentaires du domaine : https://esante.gouv.fr/strategie-nationale/cybersecurite/securite-operationnelle/ressources
Cette réponse vous a-t-elle été utile ?
Pour le prérequis D2.P2 – Décrire l'organisation prévue pour la mise en œuvre du Plan de Continuité et de Reprise d’Activité, le candidat doit fournir un document décrivant l’organisation projet avec la constitution de l’équipe projet et d’une gouvernance du projet.
Les modalités d'organisation définies pour la mise en œuvre du PCRA sont à définir par l'établissement, tout comme le format du document soumis en réponse au prérequis. Il est recommandé que ce document présente la gouvernance opérationnelle de mise en œuvre et de suivi du PCRA, l'organisation et les parties-prenantes mobilisées ainsi que la répartition des rôles et responsabilités. Il à noter que l'organisation présentée en réponse au D2.P2 est l'organisation permettant l'atteinte des objectifs du présent domaine.
Il n'est pas exigé que le document présentant l'organisation prévue soit signé par la direction de l'établissement. Il n'est pas non plus exigé que l'équipe mobilisée soit décrite nominativement.
Cette réponse vous a-t-elle été utile ?
Tous les AD sont concernés par les objectifs D1.O1.A et D1.O1.B y compris ceux hébergés ou infogérés chez un tiers HDS.
Cette réponse vous a-t-elle été utile ?
En général, ces outils ne peuvent pas être déclarés car ils ne concourent pas à la sécurisation de l’AD mais uniquement à la gestion des identités. Toutefois, si l'ADS remonte des anomalies qui sont corrigées par le produit d’IAM, la modification du processus dans l’IAM peut contribuer. L'acquisition d'un outil IAM en lui-même ne peut être prise en charge.
Cette réponse vous a-t-elle été utile ?
Ce type d’outil ne rentre pas dans le périmètre des audits d’exposition, car la demande porte sur un outil de surveillance des fuites de données et non sur la remédiation de potentielles vulnérabilités.
Cette réponse vous a-t-elle été utile ?
Le programme CaRE ne fournit pas de modèle d'attestation. Celle-ci devra cependant contenir :
- la date de réalisation de l'exercice ;
- le ou les ES concernés.
A noter que pour valider l'objectif, l'ES doit founir une attestation délivrée par le prestataire ou l'ARS ou le GRADeS (et non la facture) dans le cas d'un exercice réalisé dans le cadre d'une démarche régionale.
Pour le volet financier, la commande et la facture seront nécessaires.
Cette réponse vous a-t-elle été utile ?
Des actions de sensibilisation sont déjà proposées par les GRADeS dans les différentes régions.
Concernant l’aspect formation, celui-ci est déjà pris en compte par les organismes de formation (en lien avec l'objectif 11 du plan d'action CaRE).
Par ailleurs, les CRRC (Centres Régionaux de Ressources Cybersécurité) peuvent proposer des catalogues de formation à destination des professionnels informatiques (direction des systèmes d'information [DSI], responsable de la sécurité des systèmes d'information [RSSI], etc.).
Cette réponse vous a-t-elle été utile ?
Les pièces justificatives sensibles devront être transmises via la plateforme sécurisée eCARE en utilisant un conteneur ZED, une solution validée par le fonctionnaire de la sécurité des systèmes d'information (FSSI). Les webinaires des 16 juillet et 9 septembre 2024 détaillent la procédure pour créer ces conteneurs. Vous pouvez les consulter sur le site esanté : https://esante.gouv.fr/webinaires
Le guide d’utilisation eCaRE pour les établissements de santé, disponible sur la page d'accueil de la plateforme Convergence (https://convergence.esante.gouv.fr/), explique également en détail la procédure d'utilisation du conteneur ZED.
Cette réponse vous a-t-elle été utile ?
En effet, dans le cas où l’exercice terrain de continuité d’activité était mutualisé avec la réalisation d’un exercice de crise cyber, les dépenses associées à la réalisation conjointe des deux tests sont-elles éligibles dans le cadre du domaine n°2 ?
Pour rappel, seules les dépenses concourant directement à l’atteinte des objectifs du présent domaine sont éligibles. La réalisation d’un exercice de crise cyber n’est pas prévu par le domaine n°2 « continuité d’activité et sauvegarde » et faisait l’objet d’une dépense éligible dans le cadre du domaine n°1 du programme CaRE.
Par principe, les coûts associés à la réalisation d’un exercice de crise cyber ne sont pas éligibles.
Cette réponse vous a-t-elle été utile ?
La méthodologie de calcul est explicitée dans le guide des prérequis et des objectifs publié sur le portail esante.gouv.fr de l'Agence Numérique en Santé.
Elle s'appuie notamment sur la Note d’information n° DGOS/PF2/2019/207 du 26 septembre 2019 relative à la définition et au suivi des ressources et des charges des systèmes d’information hospitaliers. Cette note s'applique également aux établissements privés.
Dans les 1.7% du budget numérique des établissements de santé, la rémunération des personnels (annexe c) n'est pas prise en compte. Afin de pouvoir comparer le budget déclaré par les candidats dans l’objectif 5 à ces 1.7%, les salaires ne sont pas à intégrer au calcul du budget dédié au numérique dans l’objectif D1-O5.
Dans la même logique, le montant des subventions CaRE doit être traité de la même façon que les autres subventions (et donc a priori pas déduite du montant du budget calculé).
Cette réponse vous a-t-elle été utile ?
Les priorités ne dépendent pas des axes du plan d'action mais des thématiques/sujets identifiés comme prioritaires par l'équipe programme CaRE.
Cette réponse vous a-t-elle été utile ?
En cas d'indisponibilité de la plateforme oSIS V3, le candidat doit soumettre les questionnaires complétés sous la forme d'un fichier Excel, disponible sur le site du programme CaRE de l'ANS. Les champs à renseigner dans ce fichier sont identiques à ceux des formulaires correspondants de l'oSIS V3.
Cette réponse vous a-t-elle été utile ?
Selon l'instruction (N°DNS/2024/54), le projet innovant peut être proposé à la direction du programme CaRE en année 1, c'est-à-dire d'ici mai 2025. Le projet retenu doit être mis en œuvre en année 2.
La région est libre d'établir son propre calendrier, mais les objectifs doivent être atteints au plus tard en mai 2026.
Cette réponse vous a-t-elle été utile ?
Tout changement de statut du dossier génère un mail au référent CaRE.
Cette réponse vous a-t-elle été utile ?
Le référent CaRE désigné par le GHT est responsable du dépôt de l'ensemble des pièces sur la plateforme eCaRE.
Cette réponse vous a-t-elle été utile ?