Différences

Ci-dessous, les différences entre deux révisions de la page.

--- smsi:declaration_de_politique_de_securite [2026/10/15 13:19] – cardynal
+++ smsi:declaration_de_politique_de_securite [2026/10/16 13:00] (Version actuelle) – [Acteurs et garanties] cardynal
@@ Ligne 36: / Ligne 36: @@
 === Périmètre organisationnel ===
-Le SMSI ne concerne que l'Organisation et ses prestataires.
+Le SMSI ne concerne que l'Organisation et ses prestataires:
+  * Opérateur de paiement
+  * Opérateur de sauvegarde externalisée
 ==== Acteurs et garanties ====
 Les services de l'Organisation sont intégralement réalisés en France. Ils n'entrainent aucun transfert de données de santé à caractère personnel vers un pays n'appartenant pas l'Espace Économique Européen.
-L'Organisation est le seul acteur du traitement des données.
+Les acteurs de traitement des données sont l'Organisation et son sous-traitant opérateur de sauvegarde.
 ^ Acteur ^ Rôle ^  Certifié HDS  ^  Qualifié SecNumCloud 3.2  ^  Activités d'hébergement  ^  Accès depuis un pays tiers à l'EEA  ^  Risque d'accès imposé \\ par la législation d'un pays tiers  ^
-|  Organisation  |  Hébergeur |  Oui |  Non  |  1 à 4  |  Non  |  Non  |
+|  Organisation            |  Hébergeur |  Oui  |  Non  |  1 à 4    |  Non  |  Non  |
+| Opérateur de sauvegarde  |  Hébergeur |  Oui  |  Non  |  1 à 3,6  |  Non  |  Non  |
 ==== Enjeux externes et internes ====
 === Enjeux externes ===
@@ Ligne 91: / Ligne 95: @@
   * L'intégrité des informations
   * La confidentialité des informations
-  * L'auditabilité, compris comme l'imputabilité à des personnes physiques de l'accès aux informations.
+//Nota: pour alléger le démonstrateur on n'inclut pas l'auditabilité.//
 Les événements redoutés sont les pertes d'un critère sur une classe d'information. Leurs gravités ont été évaluées comme suit.
-^ Code ^ Classe            ^ Disponibilité ^ Intégrité ^ Confidentialité ^ Auditabilité ^
+^ Code ^ Classe            ^ Disponibilité ^ Intégrité ^ Confidentialité ^
-| G | Données générales    |  Majeur   |  Majeur      |   Mineur      |  Sans impact     |
+| G | Données générales    |  Majeur   |  Majeur      |   Mineur      |
-| O | Données originales   |  Majeur   |  Majeur      |   Majeur      |  Significatif    |
+| O | Données originales   |  Majeur   |  Majeur      |   Majeur      |
-| P | Données personnelles |  Majeur   |  Critique    |   Majeur      |  Majeur          |
+| P | Données personnelles |  Majeur   |  Critique    |   Majeur      |
-| S | Données de santé     |  Majeur   |  Critique    |   Critique    |  Majeur          |
+| S | Données de santé     |  Majeur   |  Critique    |   Critique    |
 Interprétation:
@@ Ligne 108: / Ligne 113: @@
 === Appréciation du risque ===
+L'appréciation des risques est fondée sur l'évaluation:
+  * De la gravité en cas de survenue de l'événement redouté, comme exprimée ci-dessus.
+  * De la vraisemblance de cette survenue, compte-tenu des différents scénarios susceptibles de mener à l'occurrence de l'événement redouté.
+Trois niveaux de risque sont identifiés: Prioritaire, A surveiller et Acceptable, et attribués comme suit.
 ~~RISKTABLE:blank~~
 === Traitement des risques ===
+Les risques de niveau Prioritaire ne sont pas acceptables et doivent faire l'objet d'une décision de traitement, visant à en réduire la vraisemblance.
+Les risques de niveau A surveiller peuvent être acceptés sous justification. Cette règle pourra être durcie ultérieurement au titre de l'amélioration continue.
+A niveau de risque équivalent, la priorité de traitement va au risque présentant la gravité la plus élevée.
+Un plan de traitement des risques est tenu à jour.
 ===== Gestion des incidents de sécurité =====
+===== Gestion des incidents de sécurité =====
+Les événements susceptibles d'être des incidents de sécurité sont notifiés par la création d'un ticket de service.
+Tous les événements portant sur la confidentialité des données sont considérés comme des incidents de sécurité.
+Les événements portant sur l'intégrité ou la disponibilité sont considérés comme des incidents de sécurité uniquement s'ils sont imputables à l'Organisation. Par exemple, une indisponibilité résultant d'une erreur de manipulation d'un utilisateur ou d'une défaillance de son fournisseur d'accès ne sera pas classé comme incident de sécurité.
+Le niveau d'urgence des incidents est basé sur la gêne occasionnée pour les utilisateurs :
+  * **Basse** - Le problème peut être contourné sans difficulté ou n'entraine aucun risque significatif (exemple - une opération échoue immédiatement et doit être répétée pour aboutir)
+  * **Moyenne** : Le problème est gênant pour effectuer les tâches requises ou présente un risque de sécurité potentiel (exemples: déconnexions intempestives, une sauvegarde n'est pas effectuée en temps utile)
+  * **Haute** : Le problème empêche d'effectuer certaines tâches ou présente un risque de sécurité avérée. Il touche une part significative des utilisateurs.
+  * **Critique** : Le problème interdit le fonctionnement ou présente un risque de sécurité certain (exemples : site inaccessible, accès à un port inapproprié ouvert sur Internet)
+Le niveau de priorité d'un incident détermine son mode de traitement, ainsi que le délai au bout duquel l'outil de ticketing escaladera vers l'ensemble des membres du COPIL SMSI :
+^ Délais/Priorités ^ Basse   ^ Moyenne   ^ Haute   ^ Critique ^
+^ Prise en compte | 3 jours  | 3 jours  |  2 jours | 6 heures |
+^ Résolution      | 14 jours | 7 jours  |  5 jours | 2 jours  |
+Les délais indiqués sont en heures et jours ouvrés.
+L'Organisation communique avec les usagers impactés sur l'avancement de la résolution:
+  * Au moins une fois par jour ouvré pour les incidents de niveau haut.
+  * Toutes les deux heures pour les incidents de niveau critique.
+Les incidents survenus enrichissent l'analyse et le plan de traitement des risques.