FAQ de l'offre : Ségur du numérique en santé

Il faut une CPS ou eCPS pour appairer la clé de sécurité FIDO2 à l'identité nationale ProSanté Connect (PSC). L’authentification FIDO2 permet de s’affranchir du lecteur de carte et/ou du réseau mobile pour l'usage de la eCPS sur smartphone.

FIDO2 repose sur un mécanisme d'authentification sans mot de passe, qui implique des clés asymétriques (publique/privée).

La clé privée utilisée par FIDO2 n'est pas exportable, elle est stockée dans un matériel sécurisé (comme une clé de sécurité USB, un smartphone, ou une carte à puce) ou directement dans l'appareil via un module matériel sécurisé (comme une puce TPM).

Cette fonctionnalité est historiquement utilisée pour la facturation.

Il est recommandé d'éviter les implémentations se basant sur les donnés stockées directement sur la carte (notamment les données d'activité).

En fonctionnement cible, on favorise désormais les contrôles par certification d'identification pour les fonctionnalités d'authentification.

Non, une session sécurisée pourra être ouverte en 2FA et restera active pendant plusieurs heures (par exemple 4 heures). Dans cet intervalle de temps, l'utilisateur pourra se connecter en 1FA.

C’est une contrainte réglementaire. Les données concernant ces professions sont exclusivement gérées par les ordres.

Les modalités d’homologation de moyens d’identification électronique par un fournisseur de service numérique en santé, solution proposée par le référentiel d'identification électronique en alternative aux moyens sectoriels (carte CPx, e-CPS) sont explicitées dans le Guide pratique organisationnel PGSSI-S disponible à cette adresse : 
https://esante.gouv.fr/sites/default/files/media_entity/documents/PGSSI-S_Guide_Pratique-Homologation%20MIE-V1.pdf

Les échanges entre l'établissement et l'ANS pourront avoir lieu tout au long de la phase de contrôle, en amont de la délivrance de l'attestation.

C'est durant cette période que l'établissement pourra apporter des éléments complémentaires si nécessaire.

Autrement dit, une fois que l'attestation délivrée mentionne une "non atteinte", l'établissement ne peut prétendre à son financement et ne peut renouveler les opérations.

Le service France Identité pourra constituer un moyen d'identification électronique (MIE) de niveau eIDAS substantiel, qui permettra de faciliter les démarches d’obtention d’un MIE sectoriel (utilisation d’un MIE conforme au niveau de garantie eIDAS substantiel lors d’une procédure à distance).

Un Plan de Continuité et de Reprise d'Activité (PCRA) est plus global qu'un Plan de Continuité des Ressources Informatiques (PCRI), ce dernier étant une composante intégrante du PCRA.

L’objectif du PCRA est de maintenir la continuité de l’activité en cas de crise, en privilégiant d'abord les solutions métiers et les moyens organisationnels. Les actions techniques et informatiques visant à assurer la continuité des systèmes d'information sont complémentaires et détaillées dans le PCRI.
 

L'ANS peut prendre en compte les abonnements et les coûts récurrents dans le cadre du financement du domaine mais sous certaines conditions : ​

  - Les dépenses liées à un abonnement doivent être associées à un engagement postérieur à la publication de l'arrêté, soit à partir du 22 mars 2024. ​

  - Cet abonnement peut être déclaré au "prorata temporis" de la durée du domaine : seules les dépenses effectuées entre le 22 mars 2024 et la date de dépôt de la déclaration d'atteinte des objectifs peuvent être prises en compte.​

​