Différences

Ci-dessous, les différences entre deux révisions de la page.

--- smsi:declaration_de_politique_de_securite [2026/10/15 13:26] – [Gestion des risques] cardynal
+++ smsi:declaration_de_politique_de_securite [2026/10/16 13:00] (Version actuelle) – [Acteurs et garanties] cardynal
@@ Ligne 36: / Ligne 36: @@
 === Périmètre organisationnel ===
-Le SMSI ne concerne que l'Organisation et ses prestataires.
+Le SMSI ne concerne que l'Organisation et ses prestataires:
+  * Opérateur de paiement
+  * Opérateur de sauvegarde externalisée
 ==== Acteurs et garanties ====
 Les services de l'Organisation sont intégralement réalisés en France. Ils n'entrainent aucun transfert de données de santé à caractère personnel vers un pays n'appartenant pas l'Espace Économique Européen.
-L'Organisation est le seul acteur du traitement des données.
+Les acteurs de traitement des données sont l'Organisation et son sous-traitant opérateur de sauvegarde.
 ^ Acteur ^ Rôle ^  Certifié HDS  ^  Qualifié SecNumCloud 3.2  ^  Activités d'hébergement  ^  Accès depuis un pays tiers à l'EEA  ^  Risque d'accès imposé \\ par la législation d'un pays tiers  ^
-|  Organisation  |  Hébergeur |  Oui |  Non  |  1 à 4  |  Non  |  Non  |
+|  Organisation            |  Hébergeur |  Oui  |  Non  |  1 à 4    |  Non  |  Non  |
+| Opérateur de sauvegarde  |  Hébergeur |  Oui  |  Non  |  1 à 3,6  |  Non  |  Non  |
 ==== Enjeux externes et internes ====
 === Enjeux externes ===
@@ Ligne 91: / Ligne 95: @@
   * L'intégrité des informations
   * La confidentialité des informations
-  * L'auditabilité, compris comme l'imputabilité à des personnes physiques de l'accès aux informations.
+//Nota: pour alléger le démonstrateur on n'inclut pas l'auditabilité.//
 Les événements redoutés sont les pertes d'un critère sur une classe d'information. Leurs gravités ont été évaluées comme suit.
-^ Code ^ Classe            ^ Disponibilité ^ Intégrité ^ Confidentialité ^ Auditabilité ^
+^ Code ^ Classe            ^ Disponibilité ^ Intégrité ^ Confidentialité ^
-| G | Données générales    |  Majeur   |  Majeur      |   Mineur      |  Sans impact     |
+| G | Données générales    |  Majeur   |  Majeur      |   Mineur      |
-| O | Données originales   |  Majeur   |  Majeur      |   Majeur      |  Significatif    |
+| O | Données originales   |  Majeur   |  Majeur      |   Majeur      |
-| P | Données personnelles |  Majeur   |  Critique    |   Majeur      |  Majeur          |
+| P | Données personnelles |  Majeur   |  Critique    |   Majeur      |
-| S | Données de santé     |  Majeur   |  Critique    |   Critique    |  Majeur          |
+| S | Données de santé     |  Majeur   |  Critique    |   Critique    |
 Interprétation:
@@ Ligne 125: / Ligne 130: @@
 Un plan de traitement des risques est tenu à jour.
 ===== Gestion des incidents de sécurité =====
+===== Gestion des incidents de sécurité =====
+Les événements susceptibles d'être des incidents de sécurité sont notifiés par la création d'un ticket de service.
+Tous les événements portant sur la confidentialité des données sont considérés comme des incidents de sécurité.
+Les événements portant sur l'intégrité ou la disponibilité sont considérés comme des incidents de sécurité uniquement s'ils sont imputables à l'Organisation. Par exemple, une indisponibilité résultant d'une erreur de manipulation d'un utilisateur ou d'une défaillance de son fournisseur d'accès ne sera pas classé comme incident de sécurité.
+Le niveau d'urgence des incidents est basé sur la gêne occasionnée pour les utilisateurs :
+  * **Basse** - Le problème peut être contourné sans difficulté ou n'entraine aucun risque significatif (exemple - une opération échoue immédiatement et doit être répétée pour aboutir)
+  * **Moyenne** : Le problème est gênant pour effectuer les tâches requises ou présente un risque de sécurité potentiel (exemples: déconnexions intempestives, une sauvegarde n'est pas effectuée en temps utile)
+  * **Haute** : Le problème empêche d'effectuer certaines tâches ou présente un risque de sécurité avérée. Il touche une part significative des utilisateurs.
+  * **Critique** : Le problème interdit le fonctionnement ou présente un risque de sécurité certain (exemples : site inaccessible, accès à un port inapproprié ouvert sur Internet)
+Le niveau de priorité d'un incident détermine son mode de traitement, ainsi que le délai au bout duquel l'outil de ticketing escaladera vers l'ensemble des membres du COPIL SMSI :
+^ Délais/Priorités ^ Basse   ^ Moyenne   ^ Haute   ^ Critique ^
+^ Prise en compte | 3 jours  | 3 jours  |  2 jours | 6 heures |
+^ Résolution      | 14 jours | 7 jours  |  5 jours | 2 jours  |
+Les délais indiqués sont en heures et jours ouvrés.
+L'Organisation communique avec les usagers impactés sur l'avancement de la résolution:
+  * Au moins une fois par jour ouvré pour les incidents de niveau haut.
+  * Toutes les deux heures pour les incidents de niveau critique.
+Les incidents survenus enrichissent l'analyse et le plan de traitement des risques.