FAQ de l'offre : Ségur du numérique en santé

Les utilisateurs / structures peuvent acheter ces clés FIDO2 en se référant à une liste de modèles autorisés par l’ANS.

La liste des modèles autorisés est en cours d’élaboration.

En activant une clé de sécurité FIDO2 via une eCPS, il est ainsi possible d'obtenir un moyen d'identification électronique (MIE) "Physique" compatible avec Pro Santé Connect (PSC) et donc de répondre à la problématique des populations non éligibles à la carte physique.
Les professionnels détenteurs d'une CPE peuvent actuellement activer une eCPx mais cela reste un MIE adossé à une identité locale.

Il faut une CPS ou eCPS pour appairer la clé de sécurité FIDO2 à l'identité nationale ProSanté Connect (PSC). L’authentification FIDO2 permet de s’affranchir du lecteur de carte et/ou du réseau mobile pour l'usage de la eCPS sur smartphone.

Cette fonctionnalité est historiquement utilisée pour la facturation.

Il est recommandé d'éviter les implémentations se basant sur les donnés stockées directement sur la carte (notamment les données d'activité).

En fonctionnement cible, on favorise désormais les contrôles par certification d'identification pour les fonctionnalités d'authentification.

Non, une session sécurisée pourra être ouverte en 2FA et restera active pendant plusieurs heures (par exemple 4 heures). Dans cet intervalle de temps, l'utilisateur pourra se connecter en 1FA.

C’est une contrainte réglementaire. Les données concernant ces professions sont exclusivement gérées par les ordres.

Les modalités d’homologation de moyens d’identification électronique par un fournisseur de service numérique en santé, solution proposée par le référentiel d'identification électronique en alternative aux moyens sectoriels (carte CPx, e-CPS) sont explicitées dans le Guide pratique organisationnel PGSSI-S disponible à cette adresse : 
https://esante.gouv.fr/sites/default/files/media_entity/documents/PGSSI-S_Guide_Pratique-Homologation%20MIE-V1.pdf

Les échanges entre l'établissement et l'ANS pourront avoir lieu tout au long de la phase de contrôle, en amont de la délivrance de l'attestation.

C'est durant cette période que l'établissement pourra apporter des éléments complémentaires si nécessaire.

Autrement dit, une fois que l'attestation délivrée mentionne une "non atteinte", l'établissement ne peut prétendre à son financement et ne peut renouveler les opérations.

Le service France Identité pourra constituer un moyen d'identification électronique (MIE) de niveau eIDAS substantiel, qui permettra de faciliter les démarches d’obtention d’un MIE sectoriel (utilisation d’un MIE conforme au niveau de garantie eIDAS substantiel lors d’une procédure à distance).

Des actions de sensibilisation sont déjà proposées par les GRADeS dans les différentes régions.  

Concernant l’aspect formation, celui-ci est déjà pris en compte par les organismes de formation (en lien avec l'objectif 11 du plan d'action CaRE). 

Par ailleurs, les CRRC (Centres Régionaux de Ressources Cybersécurité) peuvent proposer des catalogues de formation à destination des professionnels informatiques (direction des systèmes d'information [DSI], responsable de la sécurité des systèmes d'information [RSSI], etc.).