Ceci est une ancienne révision du document !
Déclaration de politique de sécurité
Ce document de type Déclaration s'applique au processus Fonctionnement SMSI
Sa diffusion est limitée à PUBLIC.
Sa dernière revue était le 22/10/2026.
Objet
La déclaration de politique de sécurité est un document que l'Organisation partage avec ses usagers. Elle explicite les objectifs et l'organisation du Système de Management de la Sécurité de l'Information (SMSI) mis en place pour la protection des informations confiées à l'Organisation.
Elle est complétée par une politique de sécurité détaillée, interne à l'Organisation et consultable dans le cadre d'un audit.
Contexte
Domaine d'application
Activités du domaine d'application
L'Organisation opère un service de collecte et de partage permettant à des patients d'enregistrer des observations quotidiennes, hebdomadaires ou mensuelles sur leur état (mesures, appréciations) et de les partager avec les professionnels de santé de leur choix.
Informations à protéger
Les informations à protéger sont celles déposées par les usagers. Elles comportent :
- des données personnelles concernant les patients:
- données administratives: identité, date de naissance.
- données de santé: observations soumises, analyses de tendance
- paramétrages: questionnaires retenus, seuils d'alerte
- données d'usage: historique des connexions et soumissions d'observations
- des données personnelles concernant les professionnels de santé:
- identité, situation d'exercice
- liste des patients suivis
- des données non personnelles:
- questionnaires complémentaires élaborés par les professionnels de santé
Le service s'appuie sur une plateforme tierce pour le paiement par les professionnels de santé de la souscription au service. Il ne détient pas de données bancaires.
Périmètre physique
L'Organisation opère depuis son siège social situé dans un immeuble d'entreprises. Elle y dispose de sa propre salle serveurs.
Périmètre logique
Le SMSI ne concerne que le service de collecte et de partage. Le fonctionnement de l'Organisation en général n'est considéré que dans la mesure où il influe sur la sécurité des informations confiées par les usagers de ce service.
Périmètre organisationnel
Le SMSI ne concerne que l'Organisation et ses prestataires.
Acteurs et garanties
Les services de l'Organisation sont intégralement réalisés en France. Ils n'entrainent aucun transfert de données de santé à caractère personnel vers un pays n'appartenant pas l'Espace Économique Européen.
L'Organisation est le seul acteur du traitement des données.
| Acteur | Rôle | Certifié HDS | Qualifié SecNumCloud 3.2 | Activités d'hébergement | Accès depuis un pays tiers à l'EEA | Risque d'accès imposé par la législation d'un pays tiers |
|---|---|---|---|---|---|---|
| Organisation | Hébergeur | Oui | Non | 1 à 4 | Non | Non |
Enjeux externes et internes
Enjeux externes
Les enjeux externes sont répertoriés ici selon la méthode PESTEL.
Enjeu Politique
Enjeu Économique
Enjeu Sociologique
Enjeu Technologique
Enjeu Environnemental
Enjeu Légal
Enjeux internes
Enjeu de réputation
Enjeu de résilience
Enjeu d'attractivité
Attentes des parties intéressées
Attentes des patients
Attentes des professionnels de santé
Attentes des personnels
Attentes des fournisseurs
Objectifs de sécurité
Objectifs stratégiques
Objectifs opérationnels
Gouvernance de la sécurité de l'information
Organisation
Revues et audits
Planification
Risques et opportunités
Capacité du SMSI à atteindre les résultats escomptés
Limitation des effets indésirables
Amélioration continue
Gestion des risques
Classification de l'information
Les informations à protéger sont celles identifiées dans le domaine d'application. Elles sont classées en fonction:
- De leur caractère personnel ou non, qu'il s'agisse des données concernant les patients ou les professionnels de santé.
- Du fait de constituer ou pas des Données de Santé à caractère personnel (DSCP), révélant directement ou indirectement des informations sur l'état de santé de la personne concernée.
- De leur caractère original lorsqu'il s'agit de contributions des professionnels de santé.
On identifie ainsi trois classes d'information:
- Les données générales (G): paramétrages globaux, questionnaires de la plateforme.
- Les données originales (O): questionnaires complémentaires des professionnels
- Les données à caractère personnel simples (P): données administratives, données d'usage
- Les données de santé à caractère personnel (S): liste des patients suivis par un professionnel, questionnaires retenus, seuils d'alerte, observations des patients.
Événements redoutés
Les critères de sécurité retenus sont:
- La disponibilité des informations au moment où elles seraient nécessaires
- L'intégrité des informations
- La confidentialité des informations
- L'auditabilité, compris comme l'imputabilité à des personnes physiques de l'accès aux informations.
Les événements redoutés sont les pertes d'un critère sur une classe d'information. Leurs gravités ont été évaluées comme suit.
| Code | Classe | Disponibilité | Intégrité | Confidentialité | Auditabilité |
|---|---|---|---|---|---|
| G | Données générales | Majeur | Majeur | Mineur | Sans impact |
| O | Données originales | Majeur | Majeur | Majeur | Significatif |
| P | Données personnelles | Majeur | Critique | Majeur | Majeur |
| S | Données de santé | Majeur | Critique | Critique | Majeur |
Interprétation:
- Mineur - Le service reste disponible, pas d'impact sur la sécurité des personnes
- Significatif - Indisponibilité du service < 24 heures
- Majeur - Service non rendu de manière explicite, divulgation de données personnelles
- Critique - Risque de santé encouru par les patients, divulgation de données de santé
Appréciation du risque
L'appréciation des risques est fondée sur l'évaluation:
- De la gravité en cas de survenue de l'événement redouté, comme exprimée ci-dessus.
- De la vraisemblance de cette survenue, compte-tenu des différents scénarios susceptibles de mener à l'occurrence de l'événement redouté.
Trois niveaux de risque sont identifiés: Prioritaire, A surveiller et Acceptable, et attribués comme suit.
| Catastrophique | A surveiller | A surveiller | Prioritaire | Prioritaire | Prioritaire |
| Critique | Acceptable | A surveiller | A surveiller | Prioritaire | Prioritaire |
| Majeur | Acceptable | A surveiller | A surveiller | A surveiller | Prioritaire |
| Significatif | Acceptable | Acceptable | A surveiller | A surveiller | A surveiller |
| Mineur | Acceptable | Acceptable | Acceptable | Acceptable | A surveiller | Très improbable | Très peu probable | Peu probable | Possible/Probable | Très probable |
|---|
Traitement des risques
Les risques de niveau Prioritaire ne sont pas acceptables et doivent faire l'objet d'une décision de traitement, visant à en réduire la vraisemblance.
Les risques de niveau A surveiller peuvent être acceptés sous justification. Cette règle pourra être durcie ultérieurement au titre de l'amélioration continue.
A niveau de risque équivalent, la priorité de traitement va au risque présentant la gravité la plus élevée.
Un plan de traitement des risques est tenu à jour.
Gestion des incidents de sécurité
Gestion des incidents de sécurité
Les événements susceptibles d'être des incidents de sécurité sont notifiés par la création d'un ticket de service.
Tous les événements portant sur la confidentialité des données sont considérés comme des incidents de sécurité.
Les événements portant sur l'intégrité ou la disponibilité sont considérés comme des incidents de sécurité uniquement s'ils sont imputables à l'Organisation. Par exemple, une indisponibilité résultant d'une erreur de manipulation d'un utilisateur ou d'une défaillance de son fournisseur d'accès ne sera pas classé comme incident de sécurité.
Le niveau d'urgence des incidents est basé sur la gêne occasionnée pour les utilisateurs :
- Basse - Le problème peut être contourné sans difficulté ou n'entraine aucun risque significatif (exemple - une opération échoue immédiatement et doit être répétée pour aboutir)
- Moyenne : Le problème est gênant pour effectuer les tâches requises ou présente un risque de sécurité potentiel (exemples: déconnexions intempestives, une sauvegarde n'est pas effectuée en temps utile)
- Haute : Le problème empêche d'effectuer certaines tâches ou présente un risque de sécurité avérée. Il touche une part significative des utilisateurs.
- Critique : Le problème interdit le fonctionnement ou présente un risque de sécurité certain (exemples : site inaccessible, accès à un port inapproprié ouvert sur Internet)
Le niveau de priorité d'un incident détermine son mode de traitement, ainsi que le délai au bout duquel l'outil de ticketing escaladera vers l'ensemble des membres du COPIL SMSI :
| Délais/Priorités | Basse | Moyenne | Haute | Critique |
|---|---|---|---|---|
| Prise en compte | 3 jours | 3 jours | 2 jours | 6 heures |
| Résolution | 14 jours | 7 jours | 5 jours | 2 jours |
Les délais indiqués sont en heures et jours ouvrés.
L'Organisation communique avec les usagers impactés sur l'avancement de la résolution:
- Au moins une fois par jour ouvré pour les incidents de niveau haut.
- Toutes les deux heures pour les incidents de niveau critique.
Les incidents survenus enrichissent l'analyse et le plan de traitement des risques.
- smsi/declaration_de_politique_de_securite.1792070892.txt.gz
- Dernière modification : 2026/10/15 13:28
- de cardynal