Ceci est une ancienne révision du document !
Déclaration de politique de sécurité
Ce document de type Déclaration s'applique au processus Fonctionnement SMSI
Sa diffusion est limitée à PUBLIC.
Sa dernière revue était le 22/10/2026.
Objet
La déclaration de politique de sécurité est un document que l'Organisation partage avec ses usagers. Elle explicite les objectifs et l'organisation du Système de Management de la Sécurité de l'Information (SMSI) mis en place pour la protection des informations confiées à l'Organisation.
Elle est complétée par une politique de sécurité détaillée, interne à l'Organisation et consultable dans le cadre d'un audit.
Contexte
Domaine d'application
Activités du domaine d'application
L'Organisation opère un service de collecte et de partage permettant à des patients d'enregistrer des observations quotidiennes, hebdomadaires ou mensuelles sur leur état (mesures, appréciations) et de les partager avec les professionnels de santé de leur choix.
Informations à protéger
Les informations à protéger sont:
- des données personnelles concernant les patients:
- données administratives: identité, date de naissance.
- données de santé: observations soumises, analyses de tendance
- paramétrages: questionnaires retenus, seuils d'alerte
- données d'usage: historique des connexions et soumissions d'observations
- des données personnelles concernant les professionnels de santé:
- identité, situation d'exercice
- liste des patients suivis
Périmètre physique
L'Organisation opère depuis son siège social situé dans un immeuble d'entreprises. Elle y dispose de sa propre salle serveurs.
Périmètre logique
Le SMSI ne concerne que le service de collecte et de partage. Le fonctionnement de l'Organisation en général n'est considéré que dans la mesure où il influe sur la sécurité des informations confiées par les usagers de ce service.
Périmètre organisationnel
Le SMSI ne concerne que l'Organisation et ses prestataires.
Acteurs et garanties
Les services de l'Organisation sont intégralement réalisés en France. Ils n'entrainent aucun transfert de données de santé à caractère personnel vers un pays n'appartenant pas l'Espace Économique Européen.
L'Organisation est le seul acteur du traitement des données.
| Acteur | Rôle | Certifié HDS | Qualifié SecNumCloud 3.2 | Activités d'hébergement | Accès depuis un pays tiers à l'EEA | Risque d'accès imposé par la législation d'un pays tiers |
|---|---|---|---|---|---|---|
| Organisation | Hébergeur | Oui | Non | 1 à 4 | Non | Non |
Enjeux externes et internes
Enjeux externes
Enjeux internes
Attentes des parties intéressées
Objectifs de sécurité
Objectifs stratégiques
Objectifs opérationnels
Risques et opportunités
Capacité du SMSI à atteindre les résultats escomptés
Limitation des effets indésirables
Amélioration continue
Gouvernance de la sécurité de l'information
Organisation
Gestion des risques
Classification de l'information
Événements redoutés
Appréciation du risque
| Catastrophique | A surveiller | A surveiller | Prioritaire | Prioritaire | Prioritaire |
| Critique | Acceptable | A surveiller | A surveiller | Prioritaire | Prioritaire |
| Majeur | Acceptable | A surveiller | A surveiller | A surveiller | Prioritaire |
| Significatif | Acceptable | Acceptable | A surveiller | A surveiller | A surveiller |
| Mineur | Acceptable | Acceptable | Acceptable | Acceptable | A surveiller | Très improbable | Très peu probable | Peu probable | Possible/Probable | Très probable |
|---|
Traitement des risques
Gestion des incidents de sécurité
- smsi/declaration_de_politique_de_securite.1792066303.txt.gz
- Dernière modification : 2026/10/15 12:11
- de cardynal