Logo ANAP
Ce site requiert l'activation de javascript pour être utilisé, merci de l'activer.
S'abonner

Démarche

 2105 vues

Comme précisé dans le document « Référentiel d’authentification » de l’ASIP-Santé, « l’authentification d’un acteur est la propriété sur laquelle s’appuient les fonctions de sécurité permettant :

  • d’accorder un accès au système aux seules personnes autorisées ; 

  • de différencier les possibilités d’accès aux services et aux données de santé en fonction des droits attachés à l’identité de ces utilisateurs ; 

  • de pouvoir imputer les actions à leur auteur.


La qualité de l’authentification d’un acteur de santé conditionne donc la maîtrise des accès au SIS. »

types d’authentification

Il faut distinguer :

  • l’authentification « privée » : lorsque les dispositifs d’authentification utilisés sont diffusés pour une utilisation limitée à des systèmes d’information spécifiquement identifiés (ex. : le SIH d’un ES) ;
  • l’authentification « publique » : lorsque les dispositifs d’authentification utilisés sont associés à des identifiants de portée nationale (ou identifiants publics par ex : RPPS) et que leur utilisation n’est pas limitée à des systèmes d’information spécifiquement identifiés.

Les facteurs d’authentification sont associés à une personne physique ou morale. En cas d’authentification forte, les différents facteurs utilisés doivent être associés à la même personne (physique ou morale). L’authentification des personnes morales doit toujours être de type authentification publique.

L’authentification est qualifiée de :

  • simple ou faible lorsque celle-ci ne repose que sur un seul facteur (exemple : l’utilisateur indique son mot de passe) ;
  • l’authentification forte lorsque plusieurs facteurs différents sont combinés (par ex. : mot de passe saisi sur un terminal lui-même authentifié et enregistré comme appartenant à la personne authentifiée).

Pour faire simple, l’authentification forte est très vite requise dès que l’on passe sur un contexte de SI mutualisé avec des données à caractère personnel (palier 2 et 3 du référentiel d’authentification de la PGSSI-S de l’ASIP-Santé) : le SI de l’établissement, les téléservices (ex : accès au SI à distance, site marchand, DMP…) et dès que l’on sort du SI producteur pour échange ou mise en partage, soit pour les paliers 2 et 3 du référentiel d’authentification.

La confusion est souvent faite que l’authentification forte nécessite un certificat électronique confiné dans un dispositif matériel (microcircuit de carte à puce ou de clé USB, ...).

mécanismes d’authentification forte

En fait, pour atteindre les niveaux 2 et 3 du référentiel d’authentification, les mécanismes sont multiples :

Personnes physiques :

  • certificat électronique confiné dans un dispositif matériel ;
  • certificat logiciel de personne physique stocké dans un navigateur, une application, un système d’exploitation... ;
  • carte de la famille CPx ;
  • dispositifs alternatifs tels que le mot de passe à usage unique (par ex : souvent utilisé pour des accès à distance au SIH d’un ES) ;
  • biométrie ;
  • authentification publique d’une personne physique ou morale ;

Personnes morales :

  • Référence à la personne morale responsable du serveur ;
  • Certificat logiciel de personne morale (bi-clé d’authentification dont la clé publique est attribuée par une Autorité de Certification identifiée dans le Référentiel des autorités de certification éligibles pour l’authentification publique dans le secteur de la santé).

Pour s’assurer du niveau minimal de sécurité, le lecteur se reportera à la grille définie au §6 du Référentiel d’authentification des acteurs de santé de l’ASIP-Santé.

Démarche de mise en œuvre de l’authentification forte

Comme décrit dans le § précédent (Gestion de la sécurité), l’authentification n’est qu’un des éléments de la gestion de la sécurité. Lorsqu’un ES pense à sa mise en œuvre, il ne peut le faire sans intégrer la réflexion sur son processus d’identification et d’habilitation de ces utilisateurs.

L’authentification forte est un des maillons de maîtrise des accès encore appelée projet d’IAM (Identity Access Management) dans lequel il faut :

  • Gérer le cycle de création des utilisateurs en lien avec la DRH : la meilleure réponse étant la mise en œuvre d’un workflow automatisé entre la DRH et la DSI prenant en compte le cycle de vie des utilisateurs : arrivée, mutation, sortie et ainsi donner à cet agent les bonnes habilitations en fonction de sa situation ;
  • Disposer d’un annuaire centralisé des utilisateurs : le mieux étant que celui-ci soit alimenté directement d’informations recueillies depuis les applications de la DRH (provisioning amont) ;
  • Assurer la mise à jour des comptes dans toutes les applications depuis l’annuaire centralisé vers les applications du SIH (provisioning aval) : ceci étant réalisé soit par des flux automatisés, soit par des flux manuels.

Le lecteur peut se référer aux nombreuses publications de l’ANAP sur le sujet, par exemple :

« Identifier la politique d'habilitation à adopter » (22 fév. 2016) :

http://www.monhopitalnumerique.fr/publication/1041-identifier-la-politique-d-habilitation-a-adopter

« Comprendre comment gérer les droits d'accès au DPI » (20 avr. 2016) :

http://www.monhopitalnumerique.fr/publication/1442

« Comment mettre en place une politique de confidentialité ? » (12 nov. 2015) :

http://www.monhopitalnumerique.fr/publication/679-comprendre-comment-mettre-en-place-une-politique-de-confidentialite

« Comment mettre en place et maintenir un annuaire numérique du personnel ? » (12 nov. 2015) :

http://www.monhopitalnumerique.fr/publication/678-comprendre-comment-mettre-en-place-et-maintenir-un-annuaire-du-personnel-de-l-etablissement

Un projet IAM est un projet majeur d’urbanisation du SI et très transversal, car nécessitant la mobilisation de toutes les fonctions de l’établissement. L’analyse du fonctionnement de l’organisation (DRH, DSI, autres services utilisateurs du SI) est primordiale dans la réussite du projet. La DRH y joue un rôle majeur.

L’authentification forte doit s’intégrer dans cette architecture. Lorsqu’elle est réalisée via un certificat électronique confiné dans un dispositif matériel (CPx, Clé USB, Badge…), il faut organiser la gestion de ces dispositifs (commande, attribution, distribution, renouvellement, gestion des pertes, personnel temporaire, personnel mobile, gardes, changement de poste inopiné…). Cela se réalise via un Card Management System (CMS) alimenté lui aussi depuis les applications de la DRH.

Les questions majeures à se poser en ce qui concerne l’authentification forte via un certificat électronique confiné dans un dispositif matériel sont les suivantes :

  • Pour quelle population de l’établissement ?
  • Quels usages du dispositif : contrôle d’accès aux seules applications informatiques, accès sécurisé à des locaux, à des services (self-parking), gestion du temps des utilisateurs, autres…. ?
  • Quel dispositif adopté : contact, sans contact… ?
  • Comment vont se faire les commandes, attributions, distributions des cartes ?
  • En cas d’oubli de la carte, quelle gestion : Prêt de carte, accès dégradé ?
  • Comment va se faire la gestion des acteurs externes et temporaires ?
  • Comment procéder en cas de perte ou destruction de la carte ?
  • Comme renouveler la carte ?
  • Comment procéder au départ de l’agent ?

À la réflexion d’un projet d’IAM s’ajoute souvent la recherche d’outil facilitant les accès  (mise en place d’un Single Sign-On (SSO) , la mobilité (fonction kiosque)….

Outre les documents ci-dessus évoqués, des guides techniques ont été publiés par l’ASIP-Santé :

  • guide de mise en œuvre de l’authentification forte par carte CPS sur une application Web ;
  • guide de mise en œuvre d’un Smartcard logon Windows avec la CPS.
Cette réponse vous paraît-elle utile ?
Date de parution : 18/12/2017

Commentaires - Soyez le premier à déposer un commentaire

Pour ajouter un commentaire vous devez vous identifier

Vous êtes actuellement sur la page consacrée à Zéro papier pour soigner : pourquoi ? Comment ? (Démarche).

Vous êtes perdu ?

Haut de page

Vous êtes actuellement sur la page consacrée à Zéro papier pour soigner : pourquoi ? Comment ? (Démarche).

Vous êtes perdu ?