Référentiels et sécurité : quoi de neuf ? Jean-François PARGUET, Directeur du Pôle Technique et Sécurité - RSSI, ASIP Santé

1. Référentiels et projets
Point de situation
Journée nationale des industriels
jeudi 21 juin 2012

2. MSS
RASS
Prorogation IGC-CPS
Point PGSSI-S
Evolution de l’offre de certification
JNI 20 juin 2012 2

3. Messagerie sécurisée (1/2)
 L'ASIP Santé a publié, en début 2012, un cahier des charges
définissant l'infrastructure technique de la future messagerie
interopérable avec le DMP et l'ensemble des logiciels DMP
compatibles.
 Après la réception des offres industrielles, l'agence a fait usage de
son droit à déclarer infructueux son appel d'offre pour l'acquisition
d'un service de messagerie
JNI 20 juin 2012 3

4. Messagerie sécurisée (2/2)
 L'ASIP Santé à décidé de poursuivre de façon plus traditionnelle
en assurant la construction du système par de la sous-traitance
informatique plutôt que de l'acheter en mode service comme
envisagé initialement.
 Un POC (Proof of Concept) est en cours de réalisation. Le choix de la
solution définitive sera fait dans une dizaine de jours.
 L'ASIP Santé maintient ainsi les délais annoncés d'une livraison
pour début 2013.
 Les éditeurs de logiciels pour professionnels de santé seront informés à
partir de septembre des éléments techniques (DSFT) qu'il leur appartiendra
d'intégrer dans leurs solutions et le déploiement débutera début 2013 sur
la base d'un pilote
JNI 20 juin 2012 4

5. MSS
RASS
Prorogation IGC-CPS
Point PGSSI-S
Evolution de l’offre de certification
JNI 20 juin 2012 5

6. RASS
Les étapes du déploiement RASS
RASS V1 – T4 2012
• Publication des données RPPS (extractions) conformément à la règlementation
RASS V1.1 – T4 2012
• Publication grand public
• Intégration données réglementaires FINESS + « données complémentaires »
(données publiques renseignées par les ES et PS)
RASS V2 – T1 2013
• Intégration données complémentaires MSS (adresses mail librement
communicables)
• Publication de tableaux de bord et indicateurs « offre de soins » basés sur
données FINESS + RPPS
RASS V3 – 2013
• Intégration et publication données CPS (reprise du périmètre actuel de
l’annuaire CPS)
JNI 20 juin 2012 6

7. MSS
RASS
Prorogation IGC-CPS
Point PGSSI-S
Evolution de l’offre de certification
JNI 20 juin 2012 7

8. Prorogation IGC-CPS2ter (1/4)
L’Infrastructure de Gestion de Clés IGC-CPS2ter
• L’IGC-CPS2ter émet l’ensemble de certificats (signature et authentification) confinés
dans les cartes CPx (CPS2ter et CPS3).
• L’IGC-CPS2ter expire normalement fin 2014.
• L’ASIP-Santé prépare une nouvelle offre de certification s’appuyant sur une nouvelle
IGC, « l’IGC-Santé », pour prendre le relai.
La prorogation de l’IGC-CPS2ter
La prorogation consiste en la publication de nouvelles chaînes de confiance, valides jusqu’à
fin 2020 (sans changer les identifiants ni les clés des Autorités de Certification).
Elle permet :
• d’attendre en toute sérénité la mise en œuvre de la future « IGC-Santé » et ainsi
d’offrir aux industriels le temps pour adapter et déployer leurs produits sur le terrain.
La prorogation de l’IGC-CPS2ter ne change rien au contenu
applicatif des cartes CPx.
Elle permet d’assurer la continuité de service durant la
construction de la nouvelle offre de certification de l’ASIP-Santé.
3 juillet 2012 8

9. Prorogation IGC-CPS2ter (2/4)
Planning
L’ASIP émettra à partir de fin novembre 2012 des cartes CPS3 dont la date d’expiration
dépassera fin 2014.
Populations potentiellement impactées
• Serveurs applicatifs
Les serveurs qui authentifient des CPS via des navigateurs doivent mettre à jour les
chaînes de confiance avant fin novembre 2012 (exemple DMP, DP, téléservices de l’AM, …)
• Logiciels de Professionnels de Santé (LPS)
Les LPS sont uniquement concernés s’ils vérifient la validité des chaînes de confiance de
la CPS présente sur le poste, ce qui n’est pas habituel.
Les LPS qui communiquent entre eux (ex. les messageries sécurisées OSM) doivent
adapter leurs produits afin d’intégrer les nouvelles chaînes de confiance et d’accepter les
anciennes chaînes de confiance transmises par des LPS qui ne sont pas encore à jour.
Note : L’application de facturation SESAM-Vitale n’est pas impactée.
3 juillet 2012 9

10. Prorogation IGC-CPS2ter (3/4)
Dispositif d’accompagnement
Fin juin, l’ASIP-Santé publiera sur son site :
 Un document technique décrivant :
• les impacts terrain en fonction des configurations et usages de la CPS,
• les contraintes imposées aux serveurs applicatifs et aux LPS ;
 Les nouvelles chaînes de confiance ;
 Les nouveaux kits d’installation des librairies crypto de la CPS
Leur installation n’est obligatoire que pour les LPS qui exploitent
un coffre-fort système (Windows ou MacOS)
 Les points d’accès pour obtenir du support technique et des cartes de test.
° L’espace intégrateurs CPS : Site éditeurs CPS : http://integrateurs-cps.asipsante.fr/
3 juillet 2012 10

11. Prorogation IGC-CPS2ter (4/4)
Liste des livrables d’accompagnement
Date de
Livrable Description Environnements
disponibilité
Installeurs crytpolib Installeurs cryptolib effectuant la Windows 30/06/2012
(filières GALSS et PC/SC) migration de l’ancienne chaîne de MacOS X
confiance vers la nouvelle. Linux
(Magasins système et navigateurs)
Chaîne de confiance Ensemble des certificats d’autorité Windows 30/06/2012
IGC-CPS2ter-2020 de l’IGC-CPS2ter prorogée 2020 au MacOS X
format « p7b ». Linux
Guides administrateurs Documents d’aide pour la mise à Serveurs Apache 30/06/2012
jour des chaînes de confiance sur et IIS
certains serveurs.
3 juillet 2012 11

12. MSS
RASS
Prorogation IGC-CPS
Point PGSSI-S
Evolution de l’offre de certification
JNI 20 juin 2012 12

13. Point PGSSI-S
 Les travaux d’élaboration de la PGSSI-S ont démarré
La première réunion du Comité de pilotage a eu lieu le 19/03/2012
 Des groupes de travail institutionnels se sont réunis (avril 2012, mai 2012)
et vont se réunir à court-terme afin de valider les premiers
documents (une concertation plus large aura lieu ultérieurement)
Les documents amonts
 « Cadre juridique »
 « Référentiel méthodologique »
Les « principes fondateurs »
Des référentiels thématiques
 « Référentiel d’identification des patients »
 « Référentiel d’identification des acteurs de santé »
 « Référentiel d’authentification des acteurs de santé »
 « Référentiel d’imputabilité des documents »
JNI 20 juin 2012 13

14. MSS
RASS
Prorogation IGC-CPS
Point PGSSI-S
Evolution de l’offre de certification
JNI 20 juin 2012 14

15. Evolution de l’offre de certification
Les évolutions de l’offre de certification en cours d’étude
 Certificats logiciels
• Dans un premier temps : simplification et optimisations des procédures
de commande des certificats logiciels (certificats logiciels de personne morales
– principalement utilisés dans les passerelles DMP, les GAM, les centre 15, ..)
• À l’étude :
 Réflexion sur une offre de certificats logiciels de personnes physiques pour faciliter
la mise en œuvre des solutions SaaS (entre autres)
 Solutions pour les terminaux mobiles
• Moyen d’authentification alternatif à la carte CPS adapté aux terminaux
mobiles (Android, Apple IOS) : certificats logiciels de personne physique
déployables sur des tablettes ou autres dispositifs
• Mise à disposition d’applications permettant d’accéder directement aux
téléservices depuis les terminaux mobiles (DMP en particulier)
JNI 20 juin 2012 15

16. Evolution de l’offre de certification
Les évolutions de l’offre de certification en cours d’étude
 Cartes CPS déléguées
 Cartes supplémentaires pour les porteurs actuels de cartes CPS, équivalentes à la
carte CPS d’origine
 Permet de faciliter les usages multiples de la CPS, par exemple, FSE et téléservices
simultanément sur des terminaux distincts
 Une concertation avec les AE (ordres) est prévue à court-terme
 Système de commande en ligne de produits de certification
complémentaires
 refonte complète des procédures et outil de commande de produits issus de l’IGC-CPS
(certificats, cartes) dans le cadre du RASS
JNI 20 juin 2012 16

17. Merci de votre attention
JNI 20 juin 2012 17