Précision sur l’exigence EDC PSC 109 (Contrôle 1) : Vérification du certificat serveur

Le logiciel client doit impérativement vérifier la validité du certificat SSL du Proxy (expiration, révocation, autorité de certification).

Faut-il référencer l’ensemble des documents dans le cadre des preuves EDC PSC ?

Oui. Le référencement doit être exhaustif. Vous devez impérativement préciser le nom du document, sa version, ainsi que les chapitres et sections.

Les traces font-elles parties des preuves dans le cadre de l'EDC PSC?

Non. Les traces brutes ne sont pas considérées comme des preuves suffisantes en soi ; elles doivent illustrer une démonstration documentée.

Peut-on fournir du code comme preuve EDC PSC ?

Non. Nous ne relisons jamais le code comme preuve. Un extrait de code n’est pas considéré comme une preuve de conformité. La preuve doit être apportée via : • le document de conformité, • les schémas, • la configuration, • les traces, • les flux, • les résultats de tests.

Un proxy eSanté doit-il intégrer systématiquement un appel au endpoint d’introspection à la réception d’un jeton ?

Dans le cas où votre proxy utilise un jeton dont il n'est pas à l'origine, par exemple : reçu par un autre proxy de l'EDC PSC, vous vous apprêtez à utiliser un jeton PSC alors que vous n'êtes pas à l’origine de l’authentification dont il est issu. Par conséquent : • une introspection du jeton PSC par le proxy est obligatoire, • une traçabilité dédiée par le proxy doit être réalisée, • et l’usage par le proxy doit être correct vis à vis des rôles FS / Proxy dans l’Espace de Confiance.

Faut-il lister les RFC dans la documentation EDC PSC ?

Oui. Vous listez toutes les RFC utilisées, en les associant à : • leur périmètre, • le composant ou le service qui les met en œuvre, • et l’usage effectif dans le produit.

Quels flux réseaux faut-il détailler dans les preuves EDC PSC ?

Vous devez détailler tous les flux, y compris internes et systèmes, par type : • SSH • LDAP • SMB • HTTP / HTTPS • Administration • Mise à jour • Méta-services internes Chaque flux doit être associé au composant qui le consomme

Quelle forme de documentation conseillez-vous d’utiliser dans la fourniture des preuves sur le guichet EDC PSC?

Nous vous conseillons de privilégier un document interne avec un renvoi clair et précis dans le modèle de preuve fourni par l'ANS. L’objectif est : • d’éviter les duplications, • d’aligner tous les acteurs, • et de centraliser l’information dans un document de votre gestion projet interne. Attention ne faites jamais référence à d'autres preuves au sein d'une même preuve.

Comment traiter les méthodes de chiffrement propriétaires dans le cadre de l'EDC PSC ?

Si une méthode cryptographique propriétaire est utilisée, vous devez : • la décrire explicitement, • démontrer qu’elle est conforme aux exigences ANSSI, • fournir des preuves dans les documents dédiés (analyse, tests, conformité), • éviter toute zone grise dans la compréhension du mécanisme.

Comment décrire la charge laissée à l’opérateur dans le cadre de l'EDC PSC ?

Vous décrivez avec précision : • tout ce qui est attendu de l’Opérateur (installation, configuration, supervision…), • comment ces informations lui sont transmises (document installation, guide opérateur, fichier de configuration, etc.). Même si vous êtes à la fois éditeur et opérateur dans la même structure, les rôles doivent être clairement séparés car les équipes internes d’installation ne sont pas les développeurs.