Le système CPS en établissement de santé Paris La Villette - Cité des Sciences et de l’Industrie Lundi 26 et mardi 27 novembre 2012 Découverte n° 13 Mais que fait l’informatique ? Que faire face aux problèmes récurrents qui impactent la qualité et la sécurité Le système CPS en établissement de santé

Enjeux : garantir un espace de confiance Les cartes de la famille CPS Sommaire Enjeux : garantir un espace de confiance Les cartes de la famille CPS Les certificats serveurs délivrés par l’ASIP Santé Usages en établissement de santé 12/11/2018

Doc. médicaux de coordination de la prise en charge Enjeux : garantir un espace de confiance Pharmacien Doc. médicaux de coordination de la prise en charge Radiologue Messagerie sécurisée Médecin coordinateur Médecins spécialistes Psycho-social Flux d’informations échangées entre acteurs de la prise en charge Patient Social Para-médicaux PSIAD Médico-social Etablissement 2 Etablissement 1 Médecin traitant Messagerie sécurisée Prise en charge coordonnée des patients Besoin de partager et d’échanger des informations médicales

L’espace de confiance : basé sur des identités certifiées Autorités d’ENREGISTREMENT Garantissent l’identité et la qualité professionnelle des utilisateurs Ordres RPPS (4 professions) RASS* (début 2013) ARS ES SSA … Autorités de CERTIFICATION = ASIP Santé Autorité de CERTIFICATION = ASIP Santé SERVICE DE CERTIFICATION Émet les certificats d’identification des professionnels SERVICE DE PUBLICATION Garantit la validité des certificats d’identification des professionnels Annuaire Liste d’opposition CRL 7j/7 – 24h/24 Cartes de la famille CPS Contrôle d’accès aux données médicales * Référentiel des Acteurs Sanitaires et Sociaux (personnes morales et personnes physiques) Applications 12/11/2018

Enjeux : garantir un espace de confiance Les cartes de la famille CPS Sommaire Enjeux : garantir un espace de confiance Les cartes de la famille CPS Les certificats serveurs délivrés par l’ASIP Santé Usages en établissement de santé 12/11/2018 5

Les cartes de la famille CPS Cartes d’identité professionnelle électronique du secteur de la santé, contiennent deux certificats : authentification et signature. Cartes à puce protégée par un code confidentiel propre à son porteur. Depuis février 2011 : nouvelle version de cartes (CPS3) Standardisée : conforme aux spécifications IAS ECC Compatible avec les anciennes versions de cartes (CPS2ter) ; continuité de service des applications. Enrichie : Fonctionnement en mode sans contact ; Stockage de jeton ; Windows Smart Card Logon. Conforme à la nomenclature RPPS imposée par le cadre national d’interopérabilité des systèmes d’information de santé. 12/11/2018

La Carte de Professionnel de Santé (CPS) Professions réglementées Les professionnels de santé concernés sont : Médecin* Pharmacien* Chirurgien dentiste* Sage-femme* Infirmier Masseur-kinésithérapeute Pédicure-podologue Orthophoniste Orthoptiste Psychomotricien Ergothérapeute Manipulateur ERM Opticien-lunetier Épithésiste Orthoprothésiste Orthopédiste-orthésiste Podo-orthésiste Oculariste Audioprothésiste Autorité d’enregis. Ordre M Ordre Ph Ordre CD Ordre SF ARS L’identité et la qualification de chaque professionnel de santé sont certifiées par une autorité compétente qui dépend de la profession : Ordres et ARS. C’est une carte personnelle et unique. Elle est délivrée aux Professionnels de Santé tels que décrits dans le Code de la Santé Publique et figurant dans la liste ci-contre. Elle comporte l’ensemble des situations d’exercice du Professionnel de Santé déclarées à l’ASIP Santé. 12/11/2018 * Professions concernées par le circuit RPPS à ce jour

Les cartes de Personnel d’Etablissement (CPE) Elle est délivrée à tout salarié de l’Établissements non éligible à la carte CPS. Elle est associée à une personne dans un établissement unique (un Personnel d’Établissement intervenant dans plusieurs établissements aura plusieurs cartes). Son attribution relève uniquement de la responsabilité de l’établissement qui agit alors en tant qu’autorité d’enregistrement (obligations et exigences dans le contrat d’abonnement CPS). Exemples de Personnels d’Établissement (PE) : Aide Soignant Secrétaire Médicale Agent administratif Agent des services techniques Hôtesse d’accueil … 12/11/2018

La carte de directeur d’établissement (CDE) La délivrance de cette carte est un pré-requis à la commande des produits CPx. Elle est destinée au représentant légal de l’établissement de santé, le Directeur ou son mandataire. Elle permet au responsable de l’établissement de gérer le parc de cartes (de la commande à la mise en opposition) et lorsque c’est nécessaire, de désigner un ou plusieurs mandataire(s) délégué(s). NB : si le directeur de l’établissement est un professionnel de santé : délivrance d’une carte de CPS responsable 12/11/2018

Un téléservice destiné aux établissements de santé : TOM Il s’agit d’un outil en ligne de gestion des cartes de la famille CPS qui offre les fonctions suivantes: Gestion des commandes de carte : commande unitaire ou par fichier XML La gestion des modifications : données du titulaire de la carte, coordonnées de la structure, déclaration de fin d’exercice dans la structure. Le suivi du parc de cartes de l’établissement, TOM permet la dématérialisation totale des commandes de produits CPE et la maîtrise de leur délais de délivrance (moins d’une semaine). Pour plus de renseignements : etablissement@asipsante.fr 12/11/2018

Modalité de distribution des CPS Pour les 4 professions dans le RPPS (= inscrits au tableau de l’ordre) : (médecins, sages-femmes, chirurgiens-dentistes, pharmaciens) Diffusion généralisée des cartes CPS entre juin et octobre 2012 (envoi à l’adresse de correspondance communiquée aux Ordres). Pour les autres professionnels de santé (PS) Remplir et signer le formulaire, le faire valider par l’ARS, puis l’envoyer à l’ASIP Santé Pour les personnels d’établissement Utiliser TOM (à défaut remplir et signer le formulaire puis l’envoyer à l’ASIP Santé) Depuis le 01/01/11 : les CPS sont gratuites. Les CPE sont gratuites en petit nombre ; les commandes par lot seront soumises à un comité de validation qui statuera sur la commande sur la base des engagements d’usages (accès au DMP, signature de documents, …) et de la PSSI accompagnant la demande. 12/11/2018

Délais de délivrance des cartes CPS hors RPPS et CPE Variable 2 à 3 semaines 1 jour Courrier Postal (2 j) 1 à 2 jours      CPE (ou renouvellement CPS) CPS (première commande de carte)  Délai au sein de l’établissement de santé pour faire remplir les documents et les faire signer  Délai auprès des Autorités compétentes pour valider l’identité et la qualité professionnelle des porteurs *  Délai au sein de l'ASIP Santé pour vérifier les documents, puis enclencher la production des cartes de la famille CPS *  Délai de production des cartes  Délai de distribution : envoi des cartes par courrier envoi des codes confidentiels par courrier séparé 24h après (en recommandé pour les CPS et CPF) CPS * : 1 mois pour une première commande de carte CPS : 1 semaine pour un renouvellement sur incident (vol, perte, dysfonctionnement) CPE * : 1 semaine 12/11/2018 * Dans le cadre d’un déploiement de grande ampleur, les délais peuvent augmenter

Offre de certification Offres futures Au-delà de la CPS3, l’émergence des référentiels d’acteurs de santé RPPS / RASS permet d’envisager une rénovation en profondeur de l’offre. Les premières étapes de cette refonte prévues pour S2 2012 sont : de nouvelles cartes dites « déléguées » pouvant être commandées par les PS des certificats logiciels de personnes physiques, pour tenir compte des nouvelles offres proposées par les industriels (offres SAAS, …) ou des nouveaux terminaux (tablettes) 12/11/2018

Enjeux : garantir un espace de confiance Les cartes de la famille CPS Sommaire Enjeux : garantir un espace de confiance Les cartes de la famille CPS Les certificats serveurs délivrés par l’ASIP Santé Usages en établissement de santé 12/11/2018 14

Certificats serveurs délivrés par l’ASIP Santé 2 types de certificats serveurs : des certificats de type « authentification SSL » pour l’authentification de l’établissement ; des certificats de type « signature S/MIME » pour la signature électronique A terme : certificats dits de « personne morale » Ils s’installent sur un serveur (« proxy » ou « passerelle ») et garantissent les échanges sécurisés entre le système informatique de l’établissement et des SI externes, comme le DMP. La carte de l’administrateur technique L’administrateur technique est l’employé de l’établissement qui sera en charge de procéder à la certification des clés de sécurité requises par les applications informatiques ; Il doit être titulaire d’une carte CPE. 12/11/2018

Procédure de commande des certificats serveur Enchaînement des étapes La distribution de certificat se déroule en deux phases : La phase administrative de distribution de certificat destinée à : enregistrer l’établissement si cela n’a pas déjà été fait auparavant enregistrer les informations qui seront contenues dans les certificats serveur (nom de domaine…) identifier les administrateurs techniques qui seront en charge des opérations techniques La phase technique de distribution de certificat destinées à : procéder à la génération des clés de sécurité des serveurs, à leur certification par l’ASIP Santé et à l’installation du certificat dans les serveurs de l’établissement. Phase technique Phase administrative      Contrat d’abonnement CPS Demande de certificat Génération de la clé Certification par l’ASIP Installation dans l’application http://www.etablissement.fr Serveur-SMIME@etablissement.fr etc… Carte de directeur Carte de mandataire délégué 12/11/2018 Carte d’administrateur 16

Qui contacter ? Informations générales sur les cartes CPS, mise en opposition… Pour obtenir le contrat d’abonnement CPS et les formulaires associés, demander un certificat serveur, utiliser TOM : ASIP santé, Bureau des établissements 9, rue Georges Pitard 75015 Paris  Tél. : 0 825 85 2000 etablissement@asipsante.fr Pour demander des certificats serveurs de test et des cartes de la famille CPS de test : jacqueline.perrier@asipsante.fr 12/11/2018

Enjeux : garantir un espace de confiance Les cartes de la famille CPS Sommaire Enjeux : garantir un espace de confiance Les cartes de la famille CPS Les certificats serveurs délivrés par l’ASIP Santé Usages en établissement de santé 12/11/2018 18

Usage indispensable : accès à des SI hors de l’établissement 1. Accès au DMP Pour plus d’information : Guide pratique du Projet DMP en établissement de santé Fiche pratique « Le DMP et la sécurité » sur esante.gouv.fr NB : sur demande auprès de l’ASIP Santé : guide d’installation pour le déploiement en ES de l’accès web DMP (inclut les architectures de type TSE et Citrix). 2. Autres usages de la CPS : messagerie sécurisée, télémédecine… Accès Web DMP (authentification directe) Accès via SIH solution « DMP Compatible » Création CPE/CPS Certificats serveur (le + utilisé) ou CPE/CPS Alimentation CPS Certificats serveur (le + utilisé) ou CPS Consultation CPS 12/11/2018 19

Usage complémentaire (constaté en ES): sécurisation de l’accès au SIH Dans le cadre de la politique de sécurité des SI élaborée par l’ES : renforcement de la sécurité des accès au SI de l’établissement (applications contenant des informations médicales à caractère personnel) : remplacement du login/mot de passe par une authentification par carte CPE/CPS Projet de type « IAM » (Identity Acces Management) sur plusieurs années gestion des identités (personnes accédant au SI de l’ES) gestion des cartes CPE/CPS hors RPPS gestion des accès au Système d’Information (SIH), choix d’un SSO ? gestion des habilitations aux applications du SIH gestion des traces. 12/11/2018

Autre usage possible (constaté en ES) : Carte d’établissement multi-usages Carte multiservices (+ forte dépendance de l’utilisateur à la carte) La fonctionnalité « sans contact » des cartes CPS3 (ISO 14 443 – lecture <10 cm du lecteur) pouvant faciliter d’autres usages en établissement : Accès aux locaux Accès à la cantine Accès aux parking Gestion du temps de travail Etc.. NB : les cartes CPS ne permettent que de stocker des données applicatives temporaires (ex: jeton de session) 12/11/2018 21

Quelques chiffres En France : Au 4 mai 2012 : En France : 704 205 cartes de la famille CPS (CPS, CPE, CDE, etc.) en circulation dont 383 441 CPS et 313 511 cartes CPE. Au sein des établissements hospitaliers : 88 171 cartes distribuées dont 22 479 cartes CPS. 12/11/2018 22

cps-etablissement@sante.gouv.fr 12/11/2018 23