Prérequis Maturité Technique on DevBox-Santé

EXI EDC PSC 102-1

Mon, 01 Jan 0001 00:00:00 +0000

Pro Santé Connect
Document de conformité
xxx
Chapitre 1 : Prérequis Maturité Technique

En tant que FS, je dois intégrer dans mon process de développement logiciel des outils permettant de vérifier le respect des règles de développement et décrire les outils mis en place. Tout outil de qualimétrie, vérification de l’obsolescence des librairies, outils de vérification de la sécurisation de la plateforme système devraient être considérés pour adoption dans le système. Je devrais considérer la mise en place d’une revue systématique de mes codes par un autre pair, avant toute mise en production.

EXI EDC PSC 102-4

Mon, 01 Jan 0001 00:00:00 +0000

Pro Santé Connect
Document de conformité
xxx
Chapitre 1 : Prérequis Maturité Technique

En tant que FS, j’ai pour obligation de m’approprier et paramétrer à un niveau de sécurité satisfaisant toute configuration par défaut le nécessitant, et d’effectuer une revue régulière de ces configurations notamment à l’occasion des montées de version des composants.

Lorsqu’ils sont disponibles, je devrais utiliser des outils pour auditer l’ensemble des composants du système à chaque modification.

EXI EDC PSC 109-1

Mon, 01 Jan 0001 00:00:00 +0000

Pro Santé Connect
Document de conformité
xxx
Chapitre 1 : Prérequis Maturité Technique

En tant que FS, je m’engage à suivre et prouver le respect des points suivants :

Mettre en place des contrôles de traces et de certificats, à faire correspondre la partie publique du certificat à celle du certificat AUTH_CLI de l’offre ORG de l’IGC-Santé ;
Associer au proxy un certificat ORG_CLI pour chaque FS Utilisateur pour lequel il réalise des authentifications mutuelles ;
N’avoir qu’un certificat associé à un identifiant et une instance de l’application à chaque appel de l’API PSC utilisant le certificat du FS Utilisateur ;
Ne pas adopter d’architecture considérée interdite de l’EDC ;

EXI EDC PSC 109 – Contrôle 1
	Éditeur de Logiciel Utilisateur
[Il est attendu que le Fournisseur de Service indique quel composant technique (navigateur, client logiciel via librairie tierce, client logiciel via implémentation maison, etc.) porte la vérification de validité du certificat utilisé pour authentifier le composant serveur du Service Utilisateur, OU fasse référence à un extrait, clairement identifié, d’un document qu’il fournira. ]

Le Fournisseur de Service doit préciser qui est responsable de vérifier que le certificat présenté par le serveur est valide lors de l’établissement d’une connexion sécurisée (HTTPS/TLS).

EXI EDC PSC 109-3

Mon, 01 Jan 0001 00:00:00 +0000

Pro Santé Connect
Document de conformité
xxx
Chapitre 1 : Prérequis Maturité Technique

En tant que FS, je m’engage à suivre et prouver le respect des points suivants :

Mettre en place des contrôles de traces et de certificats, à faire correspondre la partie publique du certificat à celle du certificat AUTH_CLI de l’offre ORG de l’IGC-Santé ;
Associer au proxy un certificat ORG_CLI pour chaque FS Utilisateur pour lequel il réalise des authentifications mutuelles ;
N’avoir qu’un certificat associé à un identifiant et une instance de l’application à chaque appel de l’API PSC utilisant le certificat du FS Utilisateur ;
Ne pas adopter d’architecture considérée interdite de l’EDC ;

EXI EDC PSC 109 – Contrôle 3
	Éditeur de Logiciel Utilisateur
[Il est attendu que le Fournisseur de Service détaille les mécanismes assurant l’adossement à l’authentification de l’utilisateur auprès de PSC; OU fasse référence à un extrait, clairement identifié, d’un document qu’il fournira. ]

Explication

EXI EDC PSC 115

Mon, 01 Jan 0001 00:00:00 +0000

Pro Santé Connect
Document de conformité
xxx
Chapitre 1 : Prérequis Maturité Technique

Cette section décrit la gestion des identifiants de corrélation tout au long de leur cycle de vie.

En tant que FS, je dois aussi m’assurer que ces identifiants de corrélation n’apparaissent pas auprès de l’utilisateur final.

EXI EDC PSC 115
	Éditeur de Logiciel Utilisateur		Éditeur de Logiciel Proxy e-santé
[[Il est attendu que le Fournisseur de Service décrive le processus de génération des identifiants, le processus de gestion des traces d’identifiants, le déroulement théorique de l’authentification et les types de contrôles de bac à sable applicables (avec des liens de test) OU fasse référence à un extrait, clairement identifié, d’un document qu’il fournira. ]

Décrire le processus de génération des identifiants

Le Fournisseur de Service doit expliquer comment sont créés les identifiants techniques utilisés lors de l’authentification.

EXI EDC PSC 117

Mon, 01 Jan 0001 00:00:00 +0000

Pro Santé Connect
Document de conformité
xxx
Chapitre 1 : Prérequis Maturité Technique

En tant que FS, je dois garantir que la forme de stockage des secrets de sécurité utilisés lors de l’authentification des utilisateurs (personnes ou autres systèmes) interdise définitivement d’accéder à leur valeur en clair tout en permettant leur comparaison avec un secret à tester. Je peux avoir recours à des fonctions de hachage cryptographique à cette fin.

EXI EDC PSC 119

Mon, 01 Jan 0001 00:00:00 +0000

Pro Santé Connect
Document de conformité
xxx
Chapitre 1 : Prérequis Maturité Technique

EXI EDC PSC 127

Mon, 01 Jan 0001 00:00:00 +0000

Pro Santé Connect
Document de conformité
xxx
Chapitre 1 : Prérequis Maturité Technique

En tant que FS, je dois me conformer à la publication “OWASP Top 10” et documenter les mesures mises en place. Dans le cas où une mesure préconisée ne peut pas être mise en œuvre, la documentation présente une justification, explicite les risques qui en découlent et propose des mesures palliatives à l’attention des opérateurs du système.