Différences

Ci-dessous, les différences entre deux révisions de la page.

--- smsi:declaration_de_politique_de_securite [2026/10/15 12:14] – [Enjeux externes et internes] cardynal
+++ smsi:declaration_de_politique_de_securite [2026/10/16 13:00] (Version actuelle) – [Acteurs et garanties] cardynal
@@ Ligne 15: / Ligne 15: @@
 === Informations à protéger ===
-Les informations à protéger sont:
+Les informations à protéger sont celles déposées par les usagers. Elles comportent :
   * des données personnelles concernant les patients:
     * données administratives: identité, date de naissance.
@@ Ligne 24: / Ligne 24: @@
     * identité, situation d'exercice
     * liste des patients suivis
+  * des données non personnelles:
+    * questionnaires complémentaires élaborés par les professionnels de santé
+Le service s'appuie sur une plateforme tierce pour le paiement par les professionnels de santé de la souscription au service. Il ne détient pas de données bancaires.
 === Périmètre physique ===
 L'Organisation opère depuis son siège social situé dans un immeuble d'entreprises. Elle y dispose de sa propre salle serveurs.
@@ Ligne 31: / Ligne 36: @@
 === Périmètre organisationnel ===
-Le SMSI ne concerne que l'Organisation et ses prestataires.
+Le SMSI ne concerne que l'Organisation et ses prestataires:
+  * Opérateur de paiement
+  * Opérateur de sauvegarde externalisée
 ==== Acteurs et garanties ====
 Les services de l'Organisation sont intégralement réalisés en France. Ils n'entrainent aucun transfert de données de santé à caractère personnel vers un pays n'appartenant pas l'Espace Économique Européen.
-L'Organisation est le seul acteur du traitement des données.
+Les acteurs de traitement des données sont l'Organisation et son sous-traitant opérateur de sauvegarde.
 ^ Acteur ^ Rôle ^  Certifié HDS  ^  Qualifié SecNumCloud 3.2  ^  Activités d'hébergement  ^  Accès depuis un pays tiers à l'EEA  ^  Risque d'accès imposé \\ par la législation d'un pays tiers  ^
-|  Organisation  |  Hébergeur |  Oui |  Non  |  1 à 4  |  Non  |  Non  |
+|  Organisation            |  Hébergeur |  Oui  |  Non  |  1 à 4    |  Non  |  Non  |
+| Opérateur de sauvegarde  |  Hébergeur |  Oui  |  Non  |  1 à 3,6  |  Non  |  Non  |
 ==== Enjeux externes et internes ====
 === Enjeux externes ===
@@ Ligne 53: / Ligne 62: @@
 == Enjeu d'attractivité ==
 ==== Attentes des parties intéressées ====
+=== Attentes des patients ===
+=== Attentes des professionnels de santé ===
+=== Attentes des personnels ===
+=== Attentes des fournisseurs ===
 ===== Objectifs de sécurité =====
 ==== Objectifs stratégiques ====
 ==== Objectifs opérationnels ====
-===== Risques et opportunités =====
-==== Capacité du SMSI à atteindre les résultats escomptés ====
-==== Limitation des effets indésirables ====
-==== Amélioration continue ====
 ===== Gouvernance de la sécurité de l'information =====
 ==== Organisation ====
+==== Revues et audits ====
+===== Planification =====
+==== Risques et opportunités ====
+=== Capacité du SMSI à atteindre les résultats escomptés ===
+=== Limitation des effets indésirables ===
+=== Amélioration continue ===
+==== Gestion des risques ====
+=== Classification de l'information ===
+Les informations à protéger sont celles identifiées dans le domaine d'application. Elles sont classées en fonction:
+  * De leur caractère personnel ou non, qu'il s'agisse des données concernant les patients ou les professionnels de santé.
+  * Du fait de constituer ou pas des Données de Santé à caractère personnel (DSCP), révélant directement ou indirectement des informations sur l'état de santé de la personne concernée.
+  * De leur caractère original lorsqu'il s'agit de contributions des professionnels de santé.
+On identifie ainsi trois classes d'information:
+  * Les données générales (G): paramétrages globaux, questionnaires de la plateforme.
+  * Les données originales (O): questionnaires complémentaires des professionnels
+  * Les données à caractère personnel simples (P): données administratives, données d'usage
+  * Les données de santé à caractère personnel (S): liste des patients suivis par un professionnel, questionnaires retenus, seuils d'alerte, observations des patients.
+=== Événements redoutés ===
+Les critères de sécurité retenus sont:
+  * La disponibilité des informations au moment où elles seraient nécessaires
+  * L'intégrité des informations
+  * La confidentialité des informations
+//Nota: pour alléger le démonstrateur on n'inclut pas l'auditabilité.//
+Les événements redoutés sont les pertes d'un critère sur une classe d'information. Leurs gravités ont été évaluées comme suit.
+^ Code ^ Classe            ^ Disponibilité ^ Intégrité ^ Confidentialité ^
+| G | Données générales    |  Majeur   |  Majeur      |   Mineur      |
+| O | Données originales   |  Majeur   |  Majeur      |   Majeur      |
+| P | Données personnelles |  Majeur   |  Critique    |   Majeur      |
+| S | Données de santé     |  Majeur   |  Critique    |   Critique    |
+Interprétation:
+  * Mineur - Le service reste disponible, pas d'impact sur la sécurité des personnes
+  * Significatif - Indisponibilité du service < 24 heures
+  * Majeur - Service non rendu de manière explicite, divulgation de données personnelles
+  * Critique - Risque de santé encouru par les patients, divulgation de données de santé
+=== Appréciation du risque ===
+L'appréciation des risques est fondée sur l'évaluation:
+  * De la gravité en cas de survenue de l'événement redouté, comme exprimée ci-dessus.
+  * De la vraisemblance de cette survenue, compte-tenu des différents scénarios susceptibles de mener à l'occurrence de l'événement redouté.
+Trois niveaux de risque sont identifiés: Prioritaire, A surveiller et Acceptable, et attribués comme suit.
-===== Gestion des risques =====
-==== Classification de l'information ====
-==== Événements redoutés ====
-==== Appréciation du risque ====
 ~~RISKTABLE:blank~~
-==== Traitement des risques ====
+=== Traitement des risques ===
+Les risques de niveau Prioritaire ne sont pas acceptables et doivent faire l'objet d'une décision de traitement, visant à en réduire la vraisemblance.
+Les risques de niveau A surveiller peuvent être acceptés sous justification. Cette règle pourra être durcie ultérieurement au titre de l'amélioration continue.
+A niveau de risque équivalent, la priorité de traitement va au risque présentant la gravité la plus élevée.
+Un plan de traitement des risques est tenu à jour.
 ===== Gestion des incidents de sécurité =====
+===== Gestion des incidents de sécurité =====
+Les événements susceptibles d'être des incidents de sécurité sont notifiés par la création d'un ticket de service.
+Tous les événements portant sur la confidentialité des données sont considérés comme des incidents de sécurité.
+Les événements portant sur l'intégrité ou la disponibilité sont considérés comme des incidents de sécurité uniquement s'ils sont imputables à l'Organisation. Par exemple, une indisponibilité résultant d'une erreur de manipulation d'un utilisateur ou d'une défaillance de son fournisseur d'accès ne sera pas classé comme incident de sécurité.
+Le niveau d'urgence des incidents est basé sur la gêne occasionnée pour les utilisateurs :
+  * **Basse** - Le problème peut être contourné sans difficulté ou n'entraine aucun risque significatif (exemple - une opération échoue immédiatement et doit être répétée pour aboutir)
+  * **Moyenne** : Le problème est gênant pour effectuer les tâches requises ou présente un risque de sécurité potentiel (exemples: déconnexions intempestives, une sauvegarde n'est pas effectuée en temps utile)
+  * **Haute** : Le problème empêche d'effectuer certaines tâches ou présente un risque de sécurité avérée. Il touche une part significative des utilisateurs.
+  * **Critique** : Le problème interdit le fonctionnement ou présente un risque de sécurité certain (exemples : site inaccessible, accès à un port inapproprié ouvert sur Internet)
+Le niveau de priorité d'un incident détermine son mode de traitement, ainsi que le délai au bout duquel l'outil de ticketing escaladera vers l'ensemble des membres du COPIL SMSI :
+^ Délais/Priorités ^ Basse   ^ Moyenne   ^ Haute   ^ Critique ^
+^ Prise en compte | 3 jours  | 3 jours  |  2 jours | 6 heures |
+^ Résolution      | 14 jours | 7 jours  |  5 jours | 2 jours  |
+Les délais indiqués sont en heures et jours ouvrés.
+L'Organisation communique avec les usagers impactés sur l'avancement de la résolution:
+  * Au moins une fois par jour ouvré pour les incidents de niveau haut.
+  * Toutes les deux heures pour les incidents de niveau critique.
+Les incidents survenus enrichissent l'analyse et le plan de traitement des risques.