FAQ de l'offre : Ségur du numérique en santé

Pour une Solution Logicielle à référencer dans le cadre du Ségur Vague 2, il faut considérer la solution comme un ensemble :
- un composant principal ;
- un Proxy e‑Santé ;
et, le cas échéant, d'éventuels composants additionnels.
La Solution Logicielle dans son ensemble suit toutes les étapes de référencement (candidature, éligibilité, dépôt des preuves, etc.).
L’éditeur doit :
- Obtenir l’habilitation EDC PSC Editeur de logiciel utilisateur pour chaque composant principal ;
- Obtenir l’habilitation Espace de Confiance API PSC Editeur de Proxy e-santé pour le Proxy e-Santé. 
- Obtenir ensuite les habilitations Opérateurs de Services  correspondantes pour accéder aux financements et à l’espace de test CNDA.
Une fois les chapitres Prérequis et Maturité technique validés pour les deux parcours d’habilitation (logiciel et proxy), l’éditeur obtient l’accès aux environnements de test du CNDA.
Enfin, les habilitations Opérateur de service utilisateur (EDC PSC) doivent être demandées pour tous les composants principaux et l’habilitation Opérateur de Proxy e‑Santé pour le Proxy.
L’habilitation Opérateur de logiciel utilisateur sera notamment requise par l’ASP lors des demandes de financement.
Cf DSR Imagerie Vague 2, page 34 : DSR DRIMbox SEGUR du Numérique en Santé Vague 2

Le RIS est le seul système capable d’assurer un envoi cohérent, sécurisé et conforme des comptes rendus (CR) vers le DMP.
Conformément à la spécification RIS.TLR/INT.02, il demeure le point de diffusion officiel pour tous les CR issus de la téléradiologie :
- Les plateformes de téléradiologie agissent comme sous-traitants des services de radiologie. L’intégration des CR dans le RIS est donc indispensable pour garantir la traçabilité et la centralisation des données médicales.
- Un envoi direct par la plateforme entraînerait un risque d’incohérence documentaire : si un radiologue modifie un CR dans le RIS, plusieurs versions pourraient être présentes dans le DMP sans gestion de version.
- Ces plateformes ne sont pas des établissements de santé et ne disposent ni des certificats nécessaires, ni de l’agrément CNDA/Ségur requis pour transmettre elles-mêmes les documents au DMP.
Ainsi, même si le CR est validé sur la plateforme, seul le RIS est habilité à l’envoyer au DMP de façon fiable, sécurisée et conforme.

La phase de rapport consiste à la fourniture par l'auditeur du rapport du test d’intrusion en remplissant et en signant électroniquement le formulaire correspondant. Ce document regroupe l’ensemble des résultats du test d’intrusion ainsi que le référencement de l’application.  

La phase de test implique la réalisation de tests en boîte grise, où l'auditeur dispose d'informations préalables, ainsi que la réalisation de compléments en boîte noire, où l'auditeur agit sans informations préalables dans le but de repérer les failles et d'obtenir une évaluation exhaustive de la sécurité de l'application. Cette phase dure en moyenne 3 à 4 jours.

La clause de revoyure permet d'avoir un engagement de la part de l'auditeur pour tester de nouveau les exigences non validées lors du test d'intrusion et d'effectuer un contre-audit afin de vérifier si les mesures de sécurité nécessaires ont été mises en œuvre.

La phase de cadrage est la phase qui précède les tests techniques. Elle est organisée par l'éditeur et consiste à communiquer les détails de l'audit au prestataire choisi pour effectuer l'audit, tels que les dates, l'environnement, les contacts, la documentation, etc.

Selon les différents pilotes réalisés par l'ANS et les échanges avec les auditeurs PASSI, le coût du test d'intrusion varie en moyenne entre 5 000 et 10 000 euros (uniquement pour le périmètre du Ségur) et dure environ une semaine ouvrée.

Un webinaire a été organisé par l'ANSSI et l'ANS à l'attention des auditeurs PASSI, dans le but de clarifier leurs responsabilités et leurs périmètres d'intervention à chaque phase du processus de réalisation du test d'intrusion : le cadrage, la réalisation du test d'intrusion et la phase de rapport.

Le replay du webinaire peut être retrouvé ici : https://esante.gouv.fr/webinaires/segur-vague-2-destination-des-prestataires-daudit-passi

Le numéro RRPS doit être utilisé lorsqu’il existe. Lorsqu’il n’existe pas et qu’un autre numéro national est disponible, l’utilisation de cet autre numéro est tolérée. 

Les preuves demandées sont de la documentation spécifique, une attestation sur l'honneur selon l'exigence, ainsi que le formulaire du test d'intrusion dans le cadre de l'exigence SC.SSI/GEN.18 (Profil AHI uniquement*). Elles permettent de vérifier que les processus en question sont bien mis en œuvre et conformes à une démarche SSI.

*Pour les autres solutions du couloir médico-social, le test d'intrusion est porté par l'exigence SC.PSC.14 dans le cadre de l'homologation Espace de Confiance ProSantéConnect.