Atelier Paris Healthcare Week 2016 Comment décliner la politique générale de sécurité des SIS (PGSSI-S) dans ma structure de santé ?

1. RÉFÉRENTIELS
Comment décliner la PGSSI-S dans
ma structure de santé?
25 mai 2016
Christophe JODRY

2. RÉFÉRENTIELS
PGSSI-S Présentation Asip Santé 25 mai 2016 2
A. Principes fondateurs de la PGSSI-S
B. Corpus documentaire
C. Clés de lecture et de mise en œuvre de la PGSSI-S
D. Exemple: l’authentification
E. D’autres exemples
AGENDA

3. PGSSI-S: Principes
Fondateurs
PGSSI-S Présentation Asip Santé 25 mai 2016 3

4. Les enjeux de la sécurité des SI-S
PGSSI-S Présentation Asip Santé 25 mai 2016 4
La disponibilité des données de santé des patients et des moyens
informatiques pour limiter le risque de perte de chance.
La confidentialité des données de santé des patients pour préserver le
secret professionnel.
L’exactitude des données de santé des patients pour un diagnostic rapide
et juste.
La traçabilité des actions réalisées pour lutter contre les mésusages et les
détournements de finalité.

5. objectifs et périmètre de la PGSSI-S
PGSSI-S Présentation Asip Santé 25 mai 2016 5
Santé Médico
-Social
Production
des soins
Fonctions
supports à la
production de
soins
Coordination
des soins
Veille
sanitaire
Etudes et
recherche
Dépistage et
prévention
La PGSSI-S définit les exigences (organisationnelles, techniques, …)
incontournables en matière de sécurité s’appliquant à tout SIS, dans le
respect des droits du patient et avec des contraintes opérationnelles et
économiques acceptables pour l’ensemble des acteurs du secteur.

6. CIBLE de la PGSSI-S
PGSSI-S Présentation Asip Santé 25 mai 2016 6
PGSSI-S
Pour les
industriels
Pour les PS en
exercice libéral
Pour les
établissements
à travers les
RSSI et DSI
Pour les
Structures en
Exercice
Coordonné

7. Démarche de construction de la PGSSI-S
PGSSI-S Présentation Asip Santé 25 mai 2016 7
Construction
de la PGSSI-S
Une revue systématique du
cadre juridique
Une revue systématique du
cadre technique
La prise en compte de la
variété des contextes
d’exercice professionnel
Une action d’amélioration
continue des pratiques, une
progression par paliers, des
exigences réalistes
Participation de tous les
acteurs concernés : l’Etat et
ses agences, la CNIL, les
professionnels des secteurs
santé et médico-social, les
usagers du système de santé,
les industriels, l’assurance
maladie

8. Le cadre réglementaire
PGSSI-S Présentation Asip Santé 25 mai 2016 8
LOI INFORMATIQUE ET LIBERTE
CODE DE LA SANTE PUBLIQUE
REFERENTIEL GENERAL DE SECURITE (RGS)
PSSI-E ET PSSI-MCAS
PGSSI-S
Déclinaison opérationnelle

9. Définitions
PGSSI-S Présentation Asip Santé 25 mai 2016 9
La PGSSI-S n’est pas une politique de sécurité.
La PGSSI-S est un corpus documentaire.
La PGSSI-S ne garantit pas un niveau de sécurité.
La PGSSI-S organise la sécurité.

10. Le corpus documentaire
PGSSI-S Présentation Asip Santé 25 mai 2016 10

11. Les publications
PGSSI-S Présentation Asip Santé 25 mai 2016 11
17
documents
575 pages

12. Concertation publique jusqu’au 29
juillet
PGSSI-S Présentation Asip Santé 25 mai 2016 12
Guide pratique – mécanismes d’intégrité
Guide pratique – gestion des habilitations
Espace de concertation sur le site de l’Asip Santé.
PGSSI-concertation@sante.gouv.fr

13. Les différentes clés de lecture et
de mise en œuvre de la PGSSI-S
PGSSI-S Présentation Asip Santé 25 mai 2016 13

14. Des contextes dissociés
PGSSI-S Présentation Asip Santé 25 mai 2016 14
CONTEXTE EXEMPLES
Contexte 1 : exercice individuel pour lequel les
accès au système d’information sont sous le
contrôle du professionnel de santé
Médecin en exercice individuel
Contexte 2 : exercice collectif pour lequel les
accès au système d’information sont chacun sous
le contrôle d’un utilisateur
cabinet , Maison de santé
Contexte 3 : exercice collectif pour lequel au
moins une partie du système d’information est
mutualisée entre plusieurs utilisateurs
Etablissement de santé, centres municipaux de
santé
Contexte 4 : téléservices avec enregistrement
préalable des utilisateurs
Mode SAAS
Contexte 5 : téléservices sans enregistrement
préalable des utilisateurs
DMP
Contexte 6 : documents de santé électroniques
quand ils sont amenés à sortir du SIS producteur
pour échange ou mise en partage
Laboratoire

15. Une logique de paliers
PGSSI-S Présentation Asip Santé 25 mai 2016 15
Lorsque c’est judicieux, proposition d’un ensemble de paliers numérotés:
• un palier cible (palier dont le numéro est le plus élevé) et des paliers intermédiaires permettant de
bâtir des trajectoires d’évolution et de satisfaire des objectifs de sécurité intermédiaires,
• un palier minimal (palier 1) déjà opérationnel ou rapide à atteindre comportant les exigences de
sécurité indiscutables.
Palier 1
Palier 2
Palier 3

16. Intégration de la sécurité dans le cycle
de vie d’un projet
16
Étude /
Initialisation
Conception
Implémentation /
Prototype / Test
Exploitation /
Maintenance
Fin de vie
• Analyse de
risques amont
• Consultation des
équipes sécurité
• Analyse de risques
• Proposition de
mesures de sécurité
• Identification des
risques résiduels
• Expressions de
besoins de sécurité
• Estimation de coûts
• Développement
• Prise en compte
des bonnes
pratiques
• Top 10 OWASP
• Validation sécurité
• Contrôle des
mesures de
sécurité
• Maintien en condition
de sécurité
• Gestion des incidents
• Analyse Forensique
• Sauvegarde
• Supervision de
sécurité
• Veille de sécurité
• Audit (technique,
opérationnel)
• Tests d’intrusion
• Résilience
• Archivage des
informations
• Effacement
sécurisé
• Réversibilité
• Mise au rebut
• Obsolescence des
configurations
Sécurité
Documents
PGSSI
Source : ANSSI
PGSSI-S Présentation Asip Santé 25 mai 2016
Ref AC
Ref ID
Ref Auth
Applicabilité
Intervention à distance
Accès Tiers
Habilitations
Intégration
Sauvegarde
Fiche Sensibilisation
Dispositifs connectés
Mise en place d’un wifi
Plan de continuité d’activité
Guide élaboration d’un PSSI
Destruction
données

17. En exemple, l’authentification
des professionnels de santé
PGSSI-S Présentation Asip Santé 25 mai 2016 17

18. Référentiel authentification des
professionnels de santé
PGSSI-S Présentation Asip Santé 25 mai 2016 18
Date de publication: juillet 2013
Type de documents: référentiel (opposable)
Périmètre d’application:

19. Les grands principes du référentiel
PGSSI-S Présentation Asip Santé 25 mai 2016 19
Portée d’un identifiant
L’identifiant utilisé dans le cadre d’une
authentification peut avoir une portée
locale ou nationale.
Pour mémoire, les identifiants de portée
nationale (ou identifiants publics), sont
attribués lors de l’enregistrement dans un
référentiel d’identité national (RPPS,
ADELI, FINESS, SIRET/SIREN, …).
Tel que défini dans le référentiel
d’identification des acteurs sanitaires et
médico-sociaux.
Facteur d’authentification
• ce que la personne sait (ex. mot de
passe) ;
• ce que la personne possède (ex. carte à
puce, certificat électronique, token
OTP, carte OTP, téléphone, tablette,
boite aux lettres de messagerie, etc.) ;
• ce que la personne est (ex.
caractéristique physique de type
biométrie) ;
• ce que la personne sait faire (ex.
biométrie comportementale telle que la
signature manuscrite ou la manière de
taper sur un clavier d’ordinateur aussi
appelée « frappologie ») .

20. authentification privée ou publique?
PGSSI-S Présentation Asip Santé 25 mai 2016 20
• L’identifiant est-il
de portée locale ou
nationale?
• Le dispositif
d’enrôlement,
l’annuaire, est-il
maîtrisé ou sous la
responsabilité d’un
tiers de confiance?
ID local?
Authentification
privée
Authentification
publique
Dispositif
enrôlem
ent
maîtrisé?
oui
non
non
oui

21. Typologie de l’authentification
PGSSI-S Présentation Asip Santé 25 mai 2016 21
Acteur de santé Système d’Information
(personne physique)
Authentification privée
Acteur de santé Système d’Information
(personne physique)
Authentification publique
2 types d’authentification directe.

22. Typologie de l’authentification
PGSSI-S Présentation Asip Santé 25 mai 2016 22
Acteur de santé Système d’Information
(personne physique)
Authentification privée
• Id individuel/mot
de passe
• Id de portée
nationale ou locale
• Contraintes sur le
mot de passe
• Tout dispositif
d’authentification
forte
• Id de portée
nationale ou
locale
• Carte de
la famille
CPX
• ou OTP
adossé à
la CPS
Palier 1
Palier 2
Palier 3

23. Typologie de l’authentification
PGSSI-S Présentation Asip Santé 25 mai 2016 23
Acteur de santé Système d’Information
(personne physique)
Authentification publique
• Certificat
logiciel de
personne
physique
• Carte de
la famille
CPX
• ou OTP
adossé à
la CPS
Palier 1
Palier 2
Palier 3

24. Typologie de l’authentification
PGSSI-S Présentation Asip Santé 25 mai 2016 24
Acteur de
santé
Système
d’Information
Authentification
publique
Authentification
privée
(personne physique)
Authentification indirecte = palier 2
Personne
morale

25. Typologie de l’authentification
PGSSI-S Présentation Asip Santé 25 mai 2016 25
Acteur de
santé
Système
d’Information
Authentification
publique
Authentification
publique
(personne physique)
Authentification par délégation = palier 3
Personne
morale

26. Paliers des architectures
d’authentification publique
PGSSI-S Présentation Asip Santé 25 mai 2016 26
Personne morale:
• Certificat
serveur ou
logiciel
• Id type FINESS,
SIRET
Personne
morale:
• Certificat
serveur ou
logiciel et
id type
FINESS,
SIRET
Palier 1
Palier 2 = indirecte
Palier 3 = délégation
Personne physique
• Tout dispositif
d’authentificati
on forte
• Id de portée
nationale ou
locale
Personne
physique:
• Carte de
la famille
CPX
• ou OTP
adossé à
la CPS

27. Utilisation des contextes et des paliers pour
l’authentification des acteurs santé
PGSSI-S Présentation Asip Santé 25 mai 2016 27
Contexte Type
d’authentification
Palier
d’authentification
minimum
Contexte 1 : exercice individuel pour
lequel les accès au système
d’information sont sous le contrôle du
professionnel de santé
privée Palier 1
Contexte 2 : exercice collectif pour
lequel les accès au système
d’information sont chacun sous le
contrôle d’un utilisateur.
privée Palier 1
Contexte 3 : exercice collectif pour
lequel au moins une partie du
système d’information est mutualisée
entre plusieurs utilisateurs
privée Palier 2
Contexte 4 : téléservices avec
enregistrement préalable des
utilisateurs
privée Palier 1 à 2
Contexte 5 : téléservices sans
enregistrement préalable des
utilisateurs
publique Palier 2 à 3
Contexte 6 : documents de santé
électroniques quand ils sont amenés
à sortir du SIS producteur pour
échange ou mise en partage
privée Palier 1

28. Changement de palier selon le contexte
PGSSI-S Présentation Asip Santé 25 mai 2016 28
Authentification privéeAuthentification publique

29. Changement de palier selon le contexte
PGSSI-S Présentation Asip Santé 25 mai 2016 29
Authentification privéeAuthentification publique
Maison de santé ->
contexte 2 -> palier 1

30. Changement de palier selon le contexte
PGSSI-S Présentation Asip Santé 25 mai 2016 30
Authentification privéeAuthentification publique
Centre hospitalier->
contexte 3 -> palier 2

31. Un palier 3 unifié
PGSSI-S Présentation Asip Santé 25 mai 2016 31
Personne
physique:
• Carte de
la famille
CPX
• ou OTP
adossé à
la CPS
Palier 3
Un palier 3 identique pour les
authentifications privés ou publiques, directes
ou non.
Il permet un seul mode d’authentification
« tout usage »: application interne,
téléservices nationaux…

32. Exemples de guides pratiques
PGSSI-S Présentation Asip Santé 25 mai 2016 32

33. Guide Accès web au SIS pour des tiers
PGSSI-S Présentation Asip Santé 25 mai 2016 33
Date de publication: janvier 2016
Type de documents: guide ( non opposable)
Périmètre d’application:

34. Guide Accès web au SIS pour des tiers
PGSSI-S Présentation Asip Santé 25 mai 2016 34
• Les préconisations sont issues des
bonnes pratiques en matière de
Sécurité des Systèmes
d’Information (SSI) et visent à traiter
les principales vulnérabilités
identifiées par des experts du
domaine de la sécurisation web tels
que l’Agence Nationale de la
Sécurité des systèmes
d’Information (ANSSI) et la
communauté Open Web Application
Security Project (OWASP).
• Elles concernent les phases de
construction et de fonctionnement
des services exposés. Il est rappelé
que les structures publiques qui
mettent en œuvre des services en
ligne tels que des accès web
doivent se conformer dans tous les
cas au Référentiel Général de
Sécurité .

35. Guide Plan de continuité Informatique
PGSSI-S Présentation Asip Santé 25 mai 2016 35
Date de publication: janvier 2016
Type de documents: guide ( non opposable)
Périmètre d’application:

36. Guide Plan de continuité Informatique
PGSSI-S Présentation Asip Santé 25 mai 2016 36