FAQ de l'offre : Ségur du numérique en santé

Les spécificités des DRIMbox font que certains flux sont effectivement en HTTP et ne peuvent être protégés par l’utilisation du chiffrement.

Les flux suivants font exception au point de contrôle C17 :

• Défi ACME HTTP-01,
• URL de téléchargement des CRLs IGC Santé et CRLs IGC du marché,
• URL de téléchargement des ACs IGC Santé et ACs IGC du marché,
• Répondeur OCSP IGC Santé et IGC du marché.

Tous les autres flux doivent être protégés par l’utilisation du chiffrement.

NB : pour les quatre types de flux cités, les réponses sont sécurisées : 

• Le protocole ACME utilise l'empreinte d'une clé de compte,
• Les CRLs sont signées par la clé privée de l'AC intermédiaire de l'IGC,
• L'AC intermédiaire est signée par la clé privée de l'AC RACINE, et l'AC RACINE est signée par sa clé privée,
• Le service OCSP signe ses réponses vers le client qui envoie la requête.

Conformément au DSR, vous devez nous transmettre l’attestation d’homologation. A défaut, il est autorisé de déposer au plus tard au jalon date 2 (15/12), date de dépôt du dossier complet de preuves de conformité, une attestation de pré examen du dossier d’obtention de l’homologation concernée (ou une copie d’écran de votre espace personnel CNDA), attestant le dépôt auprès du CNDA de toutes les preuves nécessaires à ladite homologation. 
Si vous ne disposez pas des documents des documents mentionnés ci-dessus, mais que pour autant vous souhaitez soumettre le chapitre pour instruction côté équipe Référencement, vous pouvez déposer une copie d'écran de votre espace CNDA. Ce document (copie d'écran CNDA) devra néanmoins, faire l'objet d'une actualisation avant le 15/12 en déposant les documents cités dans le premier paragraphe.

Les liens sont disponibles pour téléchargement sur Convergence dans les éditos associés aux scénarios IA.83.01 et IAM.80.01

Les dispositifs SONS DPI et PFI sont indépendants et décrits distinctement dans les documents suivants : Appel à Financement (DPI et PFI), DSR (DPI et PFI) et REM (DPI et PFI). Par conséquent, les financements associés à la mise en œuvre des solutions DPI et PFI sont indépendants. Ainsi si un éditeur met en place une PFI pour laquelle l'établissement valide son fonctionnement conformément aux attendus décrit dans la VA (vérification d'aptitude), l'éditeur percevra le financement au bénéfice de l'établissement que ce dernier ait bénéficié ou non d'un DPI Vague 2. 

Les preuves sont analysées une fois que l'ensemble du chapitre est complet et soumis.

Cette exigence est présente dans le REM DPI avec le "profil CIBA". Il convient de bien sélectionner ce profil au niveau de votre formulaire d'éligibilité pour la voir dans l'espace de preuves.

L’exigence SSI/IE.31 porte sur la vérification des coordonnées utilisées pour l'authentification lors de la création du compte ou la modification d'une coordonnée, que ce soit par un administrateur pour un tiers ou par l'utilisateur de son propre chef.
A noter que dans le cas où un administrateur crée ou modifie un compte pour un tiers, cette mécanique de vérification des coordonnées mail et téléphone pour cet utilisateur tiers permet aussi de s’assurer que la personne concernée est consentante et qu'il n'y a pas eu d'erreur dans la saisie des coordonnées, ce qui est d'autant plus probable dans ce cas.

Oui, un composant "EAI/librairie" non autonome intégré dans le proxy doit passer son agrément au CDNA pour obtenir sa propre homologation.

En cas d'identification d'erreurs non légitimes, vous pouvez contacter l'adresse support monserviceclient.mssante@esante.gouv.fr en précisant dans l’objet « [MOTCO2] ».

L'équipe support prendra contact avec vous après analyse des traces fournies. Eventuellement MOTCO2 devra évoluer pour prendre en charge votre spécificité.

La définition du périmètre des tests d’intrusion relève de la responsabilité de l’éditeur, en fonction des cas d’usage et de l’architecture de la solution. Le processus générique est le suivant :

1. L'éditeur prend connaissance du périmètre du REM et candidate pour une solution dont il donne le nom et la version.
    
2. L’éditeur a la responsabilité de présenter à l’auditeur le périmètre concerné par le test d’intrusion, en s’appuyant sur sa connaissance de la solution et en se portant garant de la justification apportée.
    
3. L'auditeur doit mentionner dans le rapport de pentest le nom/version de l'application concernée.
    
4. Le guichet conformité vérifie que le nom et la version de l’application concernée correspondent à ceux déclarés par l'éditeur, et que le rapport est conforme aux exigences.