Questions fréquentes

Pour toutes vos questions cybersécurité relatives au Ségur vague 2, rendez-vous sur la FAQ dédiée, spécialement conçue pour vous accompagner et vous informer sur les exigences SSI et le test d'intrusion

Le scénario SSI/IAM.92.01 relatif aux preuves de conformité sur la gestion des mots de passe a fait l'objet d'une évolution.

Afin d’harmoniser les exigences sur l’ensemble des couloirs, le scénario modifié s’applique désormais à tous les éditeurs qui candidatent sur les guichets RIS et DRIMBox.

Qu’est-ce qui change concrètement ?

Le scénario précédent pour RIS et DRIMbox prévoyait un blocage du compte après 5 échecs de changement de mot de passe.
Désormais, conformément au scénario harmonisé, il faut :

• Réaliser une tentative de connexion erronée répétée,
• Mettre en évidence le blocage du compte après un nombre d’échecs consécutifs au plus égal à 10 (et non plus après 5 échecs de changement de mot de passe).

Le scénario attendu est le suivant : Scénario de conformité : SSI/IAM.92.01

Vérifier la mise en place d'une politique de mots de passe robuste pour les comptes à privilèges
 

Etapes du scénario :

1. Se connecter avec un compte à privilège dont la durée de validité a été dépassée
2. Mettre en évidence que le système impose à l'utilisateur un changement de son mot de passe
3. Effectuer une tentative de changement de mot de passe à l'aide d'un mot de passe ne respectant pas la limite de 15 caractères
4. Mettre en évidence le refus du changement de mot de passe
5. Effectuer une tentative de changement de mot de passe à l'aide d'un mot de passe ne respectant pas la présence d'une majuscule
6. Mettre en évidence le refus du changement de mot de passe
7. Effectuer une tentative de changement de mot de passe à l'aide d'un mot de passe ne respectant pas la présence d'un chiffre
8. Mettre en évidence le refus du changement de mot de passe
9. Effectuer une tentative de changement de mot de passe à l'aide d'un mot de passe ne respectant pas la présence d'un caractère spécial
10. Mettre en évidence le refus du changement de mot de passe
11. Effectuer une tentative de changement de mot de passe à l'aide d'un mot de passe précédemment utilisé
12. Mettre en évidence le refus du changement de mot de passe
13. Effectuer une tentative de changement de mot de passe à l'aide d'un mot de passe satisfaisant l'ensemble des critères
14. Mettre en évidence la réussite du changement de mot de passe
15. Effectuer une tentative de connexion au compte à l'aide d'un mot de passe erroné et répéter l'opération
16. Mettre en évidence le blocage du compte après un nombre défini d'échecs de connexion consécutifs au plus égal à 10
     

Notez que le scénario s’applique immédiatement pour tous les futurs dépôts. Le mécanisme de preuve reste inchangé (Capture vidéo montrant le bon déroulé du scénario de conformité).

Que dois-je faire si mes preuves sont déjà réalisées ou en cours de réalisation ?

• Si vos preuves n’ont pas encore été déposées, appliquez directement le scénario harmonisé.
• Si vos preuves ont déjà été déposées selon l’ancienne version, préparez une mise à jour conforme au nouveau scénario pour répondre aux demandes de modification.

Pour toute question, nous vous invitons à contacter le support Industriels Ségur : Formulaire de contact

Afin de tester l'intégralité des mécanismes de contrôle implémentés par les Solutions DRIMBox candidates au référencement SEGUR DRIM-M, certaines situations "non-passantes" sont intégrées au sein des scénarios de test définis dans ce contexte.

Ces cas d'erreur peuvent résulter de l'exploitation de jeux de données volontairement corrompus ou d'interaction entre la solution DRIMBox et un simulateur présentant un défaut de configuration intentionnel.

Il est donc cohérent que pour ces situations l'utilisateur constate un résultat d'exécution non-passant au sein de l'interface du simulateur/validateur. 

Oui, il est possible de mettre à disposition un endpoint sécurisé sur le Proxy e-santé (par exemple : /connect2). Celui-ci permet à la DRIMbox d’obtenir un access token PSC, à condition que la requête s’appuie sur une session active du Proxy e-santé (cookie de session valide). 

Ce mécanisme respecte la doctrine ANS : Les jetons PSC ne sortent pas du proxy « en clair » ni en dehors d’un contexte sécurisé. L’accès au jeton est strictement lié à la gestion de la session proxy. Il n’existe pas de standard unique ANS sur le nom ou le format de cet endpoint, mais il doit être documenté, sécurisé, et assurer la traçabilité des accès.

À ce jour, le dispositif "Paramédicaux" du Ségur Vague 2 n'est pas encore ouvert : des travaux sont toujours en cours. Dès que les éléments nécessaires seront finalisés (cadre réglementaire, modalités de référencement, financements, ...), nous publierons les informations complètes sur le Portail Industriels. Nous vous informerons également via votre Espace Authentifié.

À ce jour, le dispositif "Chirurgiens-Dentistes" du Ségur Vague 2 n'est pas encore ouvert : des travaux sont toujours en cours. Dès que les éléments nécessaires seront finalisés (cadre réglementaire, modalités de référencement, financements, ...), nous publierons les informations complètes sur le Portail Industriels. Nous vous informerons également via votre Espace Authentifié.

À ce jour, le dispositif "Sages-Femmes" du Ségur Vague 2 n'est pas encore ouvert : des travaux sont toujours en cours. Dès que les éléments nécessaires seront finalisés (cadre réglementaire, modalités de référencement, financements, ...), nous publierons les informations complètes sur le Portail Industriels. Nous vous informerons également via votre Espace Authentifié.

Oui, une société identifiée par un SIREN, par exemple une SCM permettant à des radiologue de partager des équipements, peut signer une commande Ségur IMG Vague 2, dès lors que ses bénéficiaires portent une activité non nulle en 2023 de radiologie et/ou de médecins nucléaire.

Conformément à l'AF, en tant que Fournisseur, le Distributeur doit en effet disposer de l'habilitation « Opérateur de service utilisateur » de l’Espace de confiance Pro Santé Connect (EDC PSC) pour la Solution qu'il distribue, pour pouvoir faire des demandes de financement auprès de l'ASP.

Cependant, si la Solution est installée et opérée par l'Editeur et non par le Distributeur, celui-ci agissant comme "revendeur pur" (par exemple : cas d'une Solution SaaS), l'Editeur peut autoriser son Distributeur à disposer de son habilitation Opérateur PSC.

Cette autorisation sera mentionnée dans le mandat établi entre l'Editeur et son Distributeur, pour exemple :

"Dans la mesure où l’Editeur opère la Solution en production, l’Editeur autorise le Distributeur à disposer, dans le cadre des demandes d’avance SONS-IMG-DB-va2, de l'habilitation « Opérateur de service utilisateur » de l’Espace de confiance Pro Santé Connect (EDC PSC), obtenue par l'Editeur pour la Solution."

L'ensemble des preuves à soumettre pour démontrer la conformité à la section MSS doit impérativement provenir de la solution candidate elle-même. Exception faite des preuves MSS.02, MSS.17 & MSS.27 : les lignes de codes peuvent être reprises de l'éditeur de la solution tierce. Les identifiants des traces et des logs (…) produits lors de la validation de la conformité au référentiel socle MSSanté #2 doivent être ceux de la solution candidate au référencement TLC.