FAQ de l'offre : Cybersécurité

La fiabilité du système de sécurisation des données de santé personnelles de Mon espace santé s’appuie sur la mise en œuvre d’un ensemble de garanties techniques :

• la conception et l’hébergement en environnement certifié HDS (Hébergeurs de Données de Santé); 
• des vérifications sur les mesures de protection sont réalisées plusieurs fois par an au travers d'audits externes. Ainsi des tests de pénétrations permettent de juger de l’efficacité des mesures en place. Chaque évolution de l’application fait l’objet d'un contrôle systématique;
• au regard de la réglementation en vigueur, les homologations nécessaires sont réalisées lors de chaque évolution majeure de l’application (RGS, HDS).

L’article L.1111-8 du Code de la santé publique relatif à l’hébergement de données de santé a pour objectif d’organiser et d’encadrer la conservation et la restitution des données de santé à caractère personnel recueillies à l’occasion d’activité de prévention, de diagnostic, de soin ou de suivi social et médico-social, dans des conditions propres à garantir leur confidentialité et leur sécurité.

Par cet encadrement, le législateur souhaite garantir la confiance dans les tiers auxquels des structures et des professionnels des secteurs sanitaire, social et médico-social confient les données de santé qu’ils produisent ou recueillent, notamment en mesurant l’impact de l’activité du prestataire sur la protection des données, au travers des critères de sécurité à l’état de l’art « disponibilité, intégrité, confidentialité et auditabilité (DICA) » notamment visés par l’ANSSI et les normes ISO.

Cette confiance dans les tiers agissant pour le compte de ces acteurs sanitaires et sociaux et médico-sociaux est donnée au travers de l’obligation d’être certifiés « HDS ».

La constitution de l'équipe projet est demandée dans le prérequis D2.P2. L'équipe projet rassemble les personnes qui seront impliquées dans l’atteinte des objectifs du domaine. 
Le comité de pilotage doit quant à lui s'inscrire dans une gouvernance pérenne de la continuité et la reprise d'activité au-delà de la réalisation du domaine. Le candidat est libre du choix des participants de cette instance, qui peut intégrer des membres de l’équipe projet et/ou suivre les recommandations indiquées dans le kit PCRA mis à disposition. 

Non, le schéma de gouvernance met en lumière les instances et collaborateurs engagés dans une démarche de mise en place pour la continuité et reprise d'activité (attendu au titre de l’objectif D2.O1.A) alors que le PCRA cadre (qui peut être soumis, de manière non requise, en réponse au D2.O1.C) est le plan de réponse du niveau stratégique en cas d’évènement perturbateur.

Si un plateau technique est mutualisé, il est possible de réaliser un seul BIA au titre de cet attendu pour l'ensemble des EG concernées. Le candidat devra veiller à ce que l’analyse d’impact et les dispositifs de continuité d’activité définis intègrent les spécificités propres à chacun des EG considérés. Il devra également indiquer le périmètre des EG couverts dans les documents justificatifs (i.e. BIA et PCRA) transmis.

Oui, cependant Le processus "RH" apparaît aujourd'hui particulièrement vaste pour faire l'objet d'un BIA et d'un PCRA uniques en réponse à l'objectif, et ce au regard de la diversité des sous-processus qu'il porte. Nous recommandons le cas échéant de réaliser les BIA et PCRA en réponse à l'objectif D2.O1.C sur un des sous-processus constitutif de l'activité RH, comme par exemple : la gestion du recrutement, la gestion des formations, la gestion de la paye, la gestion du temps de travail, etc. 
Il est également possible d’adresser le processus « finance » ou le processus « paye » dans le cadre du périmètre processus administratif / support : le choix du périmètre critique étant laissé à l’appréciation du candidat vis-à-vis de son contexte propre. 

La numérisation des archives papiers ne permet pas directement d’atteindre l’un des objectifs du domaine – tant sur les dimensions de continuité d’activité (i.e. D2.O1.C, considérant que les archives ne sont pas directement utilisées à des finalités de continuité d’activité), que sur les dimensions de sauvegarde (i.e. les D2.O2.B et D2.O2.C portant sur le cloisonnement de l’infrastructure de sauvegarde et sur la mise en œuvre du 3-2-1). En conséquence, la dépense n’est pas considérée comme éligible au financement dans le cadre du domaine 2 du programme CaRE.  
Pour plus de précisions, les candidats sont invités à consulter le guide des dépenses éligibles mis à disposition par l’Agence du Numérique en Santé : 
https://esante.gouv.fr/sites/default/files/media/document/Guide des de%CC%81penses e%CC%81ligibles domaine 2_v1.0_0.pdf

La définition des objectifs stratégiques du dispositif de continuité d’activité relève de la responsabilité du candidat au regard des spécificités de son contexte et des cibles qu’il définit dans le cadre de sa démarche. La transmission d’objectifs uniquement qualitatifs constitue l’attendu minimal, bien qu’il soit recommandé que le candidat puisse définir des cibles quantitatives lorsque cela est possible, et ce dans une démarche de pilotage de son dispositif de continuité d’activité. 
Des illustrations d’objectifs stratégiques sont fournies dans le guide PCRA mis à disposition par l’ANS accessible au :
https://esante.gouv.fr/sites/default/files/media_entity/documents/02_kit-pca_pra_methodologie-elaboration.zip
Pour rappel, la transmission d’un PCRA cadre est recommandée bien qu’elle ne soit pas requise à l’atteinte de l’objectif D2.O1.C. 

La transmission d'une attestation ou d'un contrat de prestation HDS ne permet pas la validation de l'objectif D2.O2.A En effet, la certification HDS impose des exigences en matière de sécurité mais qui ne peuvent être considérées comme portant l'exhaustivité des engagements attendus au titre d'un contrat de service et d'un PAS. En revanche, la transmission du contrat de prestation avec un prestataire HDS répond aux attendus de l'objectif D2.O2.B si ce contrat précise les niveaux de services attendus. 

Conformément au guide des objectifs et prérequis, un test de continuité d'activité (PCA) est attendu dans le cadre de l'objectif D2.O1.C. Il n'est donc pas requis de tester les dispositifs de reprise d'activité dans le cadre dudit objectif. Par ailleurs, et bien que l’ANS recommande vivement de réaliser le test de continuité d’activité sur l’ensemble des risques d’indisponibilité, le guide des objectifs et prérequis précise que le test doit être réalisé sur « au moins » une activité. Les candidats n’ont donc pas l’obligatoire de faire porter le test sur le risque d’indisponibilité informatique.