(Prestations de Télésanté)

1 Généralités

Le présent document a pour objectif de décrire les engagements pris par Bioserenity afin de garantir les conditions de sécurité exigées dans le cadre de la fourniture de services de Télésanté s’appuyant sur sa plateforme numérique.

Elle s’applique à la mise à disposition de la plateforme numérique Bioserenity utilisée, soit directement par un établissement Partenaire ou soit dans le cadre de la fourniture de service de télé-interprétation d’exploration fonctionnelle par Bioserenity.

La plateforme numérique mise à disposition par Bioserenity est composée de :

L’application Bioserenity Connect : elle permet la gestion d’un réseau d’établissement ou de médecins-interprétateurs pour des demandes de réalisation et d’interprétation d’acte d’exploration fonctionnelle et réceptionner les résultats ; elle est également utilisée par les techniciens réalisant les enregistrements avec la solution Neuronaute et les médecins-interprétateurs pour la rédaction de leur compte-rendu ;
Bioserenity Cloud : elle collecte et traite les données enregistrées par le Neuronaute. Elle permet ensuite aux médecins-interprétateurs de lire les enregistrements et les annoter afin de réaliser l’interprétation de l’examen.
La solution Neuronaute pour la réalisation des enregistrements d’électroencéphalogrammes (EEG). Cette solution regroupant un enregistreur, des périphériques (électrodes, système routeur-caméra utilisé pour certains types d’examens) et les applications mobiles fonctionnant en réseau local et reliés aux deux applications précédentes.

Dans le cadre de la fourniture de la plateforme numérique, Bioserenity met en œuvre un système sécurisé d’hébergement de données conforme aux exigences légales de l’article 1111-8 du Code de la Santé Publique et des textes règlementaires pris pour son application, s’appuyant pour cela sur des prestataires certifiés (Amazon Web Services pour l’hébergement physique et Padok pour l’infogérance HDS des infrastructures).

Les datacenters utilisés dans le cadre de la mise en œuvre de la plateforme numérique sont localisés en France (région de Paris) et dans l’Union Européenne pour les backups.

2 Sécurité des ressources humaines

Bioserenity mettra en œuvre des contrôles dans la sélection du personnel intervenant dans la fourniture de la plateforme numérique et leurs conditions d’intervention (extrait de casier n°3, prise de référence, clauses de confidentialité, charte informatique).
Bioserenity sensibilisera régulièrement son personnel à la sécurité de l’information, aux procédures de signalement et de réaction en cas d’incident de sécurité et au cadre règlementaires relatif au traitement des données de santé à caractère personnel.

3 Sécurité physique et environnementale

Bioserenity mettra en œuvre un zonage et des contrôles d’accès entre chaque zone sur leurs sites physiques.
Bioserenity mettra en œuvre un processus de délivrance de moyens d’accès physique à leurs sites permettant de s’assurer de l’identité de la personne.
Bioserenity recourra uniquement à des prestataires certifiés HDS pour l’hébergement des infrastructures physiques.

4 Sécurité des accès

Bioserenity garantit que la plateforme numérique fournis dans le cadre des services offre une authentification à multiple facteurs (MFA) des utilisateurs. En d’autres termes, l’authentification des utilisateurs puissese faire au moyen d’un couple (identifiant individuel, mot de passe) associé à un code d’accès à usage unique (OTP).
Le Partenaire est entièrement responsable de l’utilisation des moyens d’authentification faite par son personnel. Dans l’hypothèse où il aurait connaissance de ce qu’une personne non autorisée y accède, il en informera Bioserenity sans délai.
Le Partenaire assume la responsabilité de la sécurité des postes individuels d’accès à la plateforme numérique utilisés par son personnel.
Bioserenity garantit que la plateforme numérique mis à disposition dans le cadre de l’offre de service met en œuvre les standards de fédération d’identité (OAuth 2, OIDC, SAMLv2, SPML, WS-Federation, etc.) comme moyen d’authentification/d’autorisation.
Bioserenity appliquera une politique de gestion des identités et des accès sur les systèmes d’information en support à l’offre de service en mettant notamment en place :
- Les comptes nominatifs (identifiants individualisés) ;
- L’interdiction de comptes génériques (sauf exception documentée);
- Le renommage ou la désactivation des comptes administrateurs par défaut ;
- La désactivation de compte invité une fois que leur usage n’est plus nécessaire ;
Sur le périmètre des services convenus, Bioserenity mettra en œuvre une politique d’authentification des comptes non privilégiés avec les critères suivants :
- Longueur minimale de mots de passe de 8 caractères ;
- Fréquence de renouvellement de mot de passe a minima annuel ;
- L’utilisation de mots de passe contenant les quatre familles de caractères (lettres minuscules, lettres, majuscules, chiffres, caractères spéciaux) ;
Bioserenity réalisera une revue périodique des comptes et des droits d’accès aux ressources informatiques (serveurs, postes de travail, applications) en support à la fourniture de la plateforme numérique.
Bioserenity mettra en œuvre des mesures pour s’assurer que les personnes autorisées à utiliser et/ou administrer le système n’ont accès qu’aux données auxquelles elles sont autorisées à accéder.
Bioserenity mettra en œuvre un hashage des mots de passe avec des protocoles à l’état de l’art :
- Bcrypt (cost=10),
- Scrytp (N=16384, r=8, p=1)
- Argon2
Bioserenity mettra en œuvre, sur la plateforme numérique, des traces qui assurent à tout instant l’imputabilité des actions réalisées. Ces traces doivent notamment contenir (en fonction de la typologie des ressources) :
- L’identifiant de l’accédant
- Les connexions et déconnexions aux ressources
- Les accès fructueux réussis et non-réussis et infructueux aux ressources
- L’origine des connexions
- Les actions réalisées (création, modification, consultation, suppression)
- Les informations d’horodatage ;

Et ce pendant une durée au minimum d’un an et en accord avec les exigences légales et réglementaires. Ces traces pourront être fournie sur demande du Partenaire.

5 Sécurité des données

Bioserenity mettra en œuvre les moyens techniques et organisationnels pour couvrir les besoins de sécurité des données de santé, et notamment assurer qu’elles ne sont en aucune façon accessibles ou visibles par :
- Les autres partenaires des Prestataires
- Les intervenants des Prestataires qui n’ont pas le besoin d’en connaître
Bioserenity mettra en œuvre en œuvre des mécanismes d’anonymisation, pseudonymisation ou de masquage afin de réduire l’exposition des données à caractère personnel.
Bioserenity maintiendra une localisation des données idéalement en France sinon dans l’Union Européenne.

Bioserenity maintiendra un cloisonnement vis à vis des autres environnements (développement, recette, etc.) ainsi qu’un chiffrement des données au repos.

6 Gestion des incidents de sécurité

Bioserenity maintiendra et mettra en œuvre un processus documenté de gestion des événements de sécurité de l’information, qui comprend le signalement des incidents, la réponse, la priorisation, l’escalade et la remédiation. Dans le cadre du processus de gestion des incidents, Bioserenity s’engage à :
1. maintenir des rôles et responsabilités documentés.
2. effectuer des tests périodiques des processus de réponse aux incidents.
3. maintenir des manuels de réponse aux incidents pour des scénarios sélectionnés (par exemple, serveur infecté).
4. former ses employés sur la manière de classifier et de gérer les incidents sur une base régulière.
5. suivre, analyser et rapporter les tendances des incidents critiques survenus dans le passé afin de fournir des informations pour l’amélioration continue du processus de gestion des incidents.
6. collecter et analyser les « journaux de sécurité » provenant des systèmes d’information des Prestataires mis en œuvre dans le cadre de l’offre de service, qui enregistrent et identifient les menaces et les incidents et les mesures prises pour remédier à ces menaces et incidents ; et
7. conserver les journaux contenant les évènements de sécurité pendant douze (12) mois à compter de la date de la menace ou de l’incident concerné.
Lors de la survenance d’un incident de sécurité, Bioserenity et le Partenaire collaboreront de bonne foi pour déterminer les mesures correctives à prendre, et Bioserenity devra :
1. notifier par écrit après la prise de connaissance de l’incident – dans les délais mentionnés ci-dessous, en fournissant un résumé détaillé de l’événement, et des indicateurs de compromission, y compris les applications/systèmes affectés et tout impact sur les données traitées dans le cadre des services et les impacts potentiels sur les patients ;
2. évaluer l’impact de tout accès non autorisé, de la destruction, de la perte ou de l’altération des données ;
3. fournir sur demande les résultats des enquêtes forensics ;
4. coopérer à toute enquête menée par le Partenaire ou par un organisme de régulation, ou pour leur compte, et mettre en œuvre les nouvelles mesures de sécurité demandées par les organismes de régulation à la suite d’une telle enquête ;
5. fournir les détails des efforts de remédiation pour corriger toute vulnérabilité découverte ;
6. fournir sur demande des copies de tous les journaux de sécurité ;
7. atténuer rapidement les menaces de sécurité en cours en appliquant des correctifs d’urgence ou critiques aux systèmes concernés.
Bioserenity maintiendra une hotline accessible 24/7 en cas de dysfonctionnement technique.
Bioserenity notifiera les incidents de sécurité au Partenaire dans les délais mentionnés ci- dessous.

Priorité	Définition	Exemples	Délai de notification
1	Incidents ayant un impact majeur sur les opérations médicales	– Compromission de données Medico-administrative ou de santé – Attaque de type DoS affectant l’ensemble de l’entreprise – Attaque généralisée par un maliciel / Rançongiciel – Accès non autorisé à des systèmes critiques	12 heures (non-ouvrées)
2	Incidents ayant un impact important, ou pouvant avoir un impact grave, sur les opérations médicales	– Compromission de portail ou plateforme numérique – Attaques par brute force contre SSH et autres protocoles – Attaque DoS à petite échelle	1 jour non-ouvré
3	Incidents ayant un impact minimal avec un impact potentiel significatif ou grave sur les opérations médicales	– Infections virales isolées	3 jours non-ouvrés

7 Sécurité des systèmes en exploitation

Dans le cadre de l’offre de service relative à la plateforme numérique, Bioserenity maintiendra à jour tous les composants logiciels et techniques qui concourent à la délivrance de la plateforme numérique, dont :
- Tous les logiciels et systèmes d’exploitation en support à la plateforme numérique
- Tous les logiciels de sécurité et de supervision utilisé pour le maintien en condition opérationnel de la plateforme numérique
- CVSS > = 9 ou présence dans le CISA KEV[1]: remédiation sous 5 jours ouvrables max si le composant est exposé.
- CVSS 6 à 8 et absent du CISA KEV : remédiation sous 40 jours ouvrages max.

Bioserenity réalisera une veille technique et à appliqueront les correctifs de sécurité adéquats (hors développement spécifique) dans des délais basés sur le score CVSS v3.1 de la vulnérabilité, la présence de cette dernière dans le catalogue CISA KEV et le niveau d’exposition du composant concerné :

Bioserenity réalisera et formalisera un suivi périodique de l’état de mise à jour des correctifs de sécurité de l’ensemble des composants logiciels et techniques qui concourent à la mise à disposition de la plateforme numérique.
Bioserenity installera sur les systèmes et les équipements utilisés dans le cadre de l’offre de service (postes de travail et serveurs notamment), des systèmes de protection contre les codes malveillants ainsi qu’à les mettre à jour régulièrement,

8 Continuité et disponibilité

Bioserenity maintiendra un taux de disponibilité de la plateforme de 99% sauf interventions planifiées et cas de force majeure.
Bioserenity assurera la haute disponibilité des données à travers une réplication entre les datacenters.
Bioserenity sauvegardera les données dans un datacenters distinct de celui hébergeant les données primaires.

9 Sécurité des réseaux

Bioserenity mettra en place et à maintiendra les moyens techniques utiles au chiffrement de tous les flux qui le nécessitent, dont au minimum :
- Tous les flux d’authentification des utilisateurs et des administrateurs
- Tous les flux transportant des données de santé et des données à caractère personnel
- Tous les flux relatifs aux accès distants
Une séparation stricte est mis en œuvre entre les environnements de développements et de production via le recours à des réseaux distincts et la mise en œuvre de mécanismes de filtrage.

10 Sécurité des développements

Bioserenity maintiendra des accès nominatifs à l’usine logicielle de développement de la plateforme numérique, notamment la base de code, et les restreindra aux développeurs.
Bioserenity réalisera une surveillance des librairies utilisées dans le cadre du développement lors de leur sélection et durant leur usage.
Bioserenity réalisera des revues de code lors de toute nouvelle mise à jour de la plateforme pour s’assurer qu’il n’y a d’une part pas de bugs en amont, mais aussi pas de défaut de conception structurel. Les aspects de sécurité et d’accès aux données sont évoqués systématiquement lors de ces revues de code.
Bioserenity réalisera systématiquement des tests unitaires, des tests de régression, des tests de composants, et des tests de bout en bout avant le déploiement de toute nouvelle fonctionnalité.

11 Audits techniques et surveillance

Bioserenity réalisera une surveillance des services numériques via des alertes déclenchées sur la base de métriques techniques et d’évènements.
Bioserenity effectuera au minimum à une fréquence annuelle des tests de pénétration internes et/ou externes des dispositifs Bioserenity et de toute plateforme Bioserenity traitant des données de santé.
Bioserenity remédiera à tous les risques de niveau critique et élevé identifiés par les audits de sécurité.

[1] Le catalogue des vulnérabilités connues exploitées de l’agence Américaine de cybersécurité est une compilation de vulnérabilité de sécurité documentées qui ont été exploitées avec succès