Ce document de type Déclaration s'applique au processus Fonctionnement SMSI
Sa diffusion est limitée à PUBLIC.
Sa dernière revue était le 22/10/2026.
La déclaration de politique de sécurité est un document que l'Organisation partage avec ses usagers. Elle explicite les objectifs et l'organisation du Système de Management de la Sécurité de l'Information (SMSI) mis en place pour la protection des informations confiées à l'Organisation.
Elle est complétée par une politique de sécurité détaillée, interne à l'Organisation et consultable dans le cadre d'un audit.
L'Organisation opère un service de collecte et de partage permettant à des patients d'enregistrer des observations quotidiennes, hebdomadaires ou mensuelles sur leur état (mesures, appréciations) et de les partager avec les professionnels de santé de leur choix.
Les informations à protéger sont celles déposées par les usagers. Elles comportent :
Le service s'appuie sur une plateforme tierce pour le paiement par les professionnels de santé de la souscription au service. Il ne détient pas de données bancaires.
L'Organisation opère depuis son siège social situé dans un immeuble d'entreprises. Elle y dispose de sa propre salle serveurs.
Le SMSI ne concerne que le service de collecte et de partage. Le fonctionnement de l'Organisation en général n'est considéré que dans la mesure où il influe sur la sécurité des informations confiées par les usagers de ce service.
Le SMSI ne concerne que l'Organisation et ses prestataires:
Les services de l'Organisation sont intégralement réalisés en France. Ils n'entrainent aucun transfert de données de santé à caractère personnel vers un pays n'appartenant pas l'Espace Économique Européen.
Les acteurs de traitement des données sont l'Organisation et son sous-traitant opérateur de sauvegarde.
| Acteur | Rôle | Certifié HDS | Qualifié SecNumCloud 3.2 | Activités d'hébergement | Accès depuis un pays tiers à l'EEA | Risque d'accès imposé par la législation d'un pays tiers |
|---|---|---|---|---|---|---|
| Organisation | Hébergeur | Oui | Non | 1 à 4 | Non | Non |
| Opérateur de sauvegarde | Hébergeur | Oui | Non | 1 à 3,6 | Non | Non |
Les enjeux externes sont répertoriés ici selon la méthode PESTEL.
Les informations à protéger sont celles identifiées dans le domaine d'application. Elles sont classées en fonction:
On identifie ainsi trois classes d'information:
Les critères de sécurité retenus sont:
Nota: pour alléger le démonstrateur on n'inclut pas l'auditabilité.
Les événements redoutés sont les pertes d'un critère sur une classe d'information. Leurs gravités ont été évaluées comme suit.
| Code | Classe | Disponibilité | Intégrité | Confidentialité |
|---|---|---|---|---|
| G | Données générales | Majeur | Majeur | Mineur |
| O | Données originales | Majeur | Majeur | Majeur |
| P | Données personnelles | Majeur | Critique | Majeur |
| S | Données de santé | Majeur | Critique | Critique |
Interprétation:
L'appréciation des risques est fondée sur l'évaluation:
Trois niveaux de risque sont identifiés: Prioritaire, A surveiller et Acceptable, et attribués comme suit.
| Catastrophique | A surveiller | A surveiller | Prioritaire | Prioritaire | Prioritaire |
| Critique | Acceptable | A surveiller | A surveiller | Prioritaire | Prioritaire |
| Majeur | Acceptable | A surveiller | A surveiller | A surveiller | Prioritaire |
| Significatif | Acceptable | Acceptable | A surveiller | A surveiller | A surveiller |
| Mineur | Acceptable | Acceptable | Acceptable | Acceptable | A surveiller | Très improbable | Très peu probable | Peu probable | Possible/Probable | Très probable |
|---|
Les risques de niveau Prioritaire ne sont pas acceptables et doivent faire l'objet d'une décision de traitement, visant à en réduire la vraisemblance.
Les risques de niveau A surveiller peuvent être acceptés sous justification. Cette règle pourra être durcie ultérieurement au titre de l'amélioration continue.
A niveau de risque équivalent, la priorité de traitement va au risque présentant la gravité la plus élevée.
Un plan de traitement des risques est tenu à jour.
Les événements susceptibles d'être des incidents de sécurité sont notifiés par la création d'un ticket de service.
Tous les événements portant sur la confidentialité des données sont considérés comme des incidents de sécurité.
Les événements portant sur l'intégrité ou la disponibilité sont considérés comme des incidents de sécurité uniquement s'ils sont imputables à l'Organisation. Par exemple, une indisponibilité résultant d'une erreur de manipulation d'un utilisateur ou d'une défaillance de son fournisseur d'accès ne sera pas classé comme incident de sécurité.
Le niveau d'urgence des incidents est basé sur la gêne occasionnée pour les utilisateurs :
Le niveau de priorité d'un incident détermine son mode de traitement, ainsi que le délai au bout duquel l'outil de ticketing escaladera vers l'ensemble des membres du COPIL SMSI :
| Délais/Priorités | Basse | Moyenne | Haute | Critique |
|---|---|---|---|---|
| Prise en compte | 3 jours | 3 jours | 2 jours | 6 heures |
| Résolution | 14 jours | 7 jours | 5 jours | 2 jours |
Les délais indiqués sont en heures et jours ouvrés.
L'Organisation communique avec les usagers impactés sur l'avancement de la résolution:
Les incidents survenus enrichissent l'analyse et le plan de traitement des risques.