Rapport sur les résultats

c. utiliser des systèmes et des produits informatiques fiables et qui sont exploités de manière sûre;

d. garantir la protection et la sécurité des données par des mesures organisationnelles et techniques appropriées et assurer les contrôles correspondants.

²Le DFI édicte des prescriptions relatives à la protection des moyens d’identification et à la procédure d’authentification de ces moyens. Elles sont conformes à la norme ISO/IEC 15408:2009 et correspondent au niveau d’évaluation 2.

³Le DFI règle les modalités des critères de certification. L’OFSP peut édicter des recommandations à ce sujet.

⁴L’OFSP adapte les critères de certification en fonction des progrès techniques.

⁵Les milieux intéressés sont consultés au sujet des modalités visées à l’al. 3 et des adaptations visées à l’al. 4.

BRH réitère ici les commentaires qu’il a faits à propos des art. 22, let. a et 27, al. 1, La Poste répète sa prise de position relative à l’art. 22, let. c. HIN fait valoir que le rôle de l’éditeur du moyen d’identification est trop mal défini. Dans un contexte IHE, on parle d’IDP, d’ATP et de STS pour désigner les rôles intervenant dans l’authentification et les droits d’accès. L’énoncé actuel de l’article n’indique pas clairement si les trois rôles sont ou non joués par l’éditeur. Le jeton digital XUA nécessaire à chaque transaction contient des données apportées par les trois rôles, à savoir : les informations relatives à l’authentification (IDP), l’attribut du professionnel de la santé (ATP) et les indications pour le jeton (IDs, rôle, etc.) qui parviennent du STS. Si ces trois rôles étaient séparés et que l’éditeur du MID était considéré uniquement comme l’IDP, il en résulterait une faille de sécurité car le STS et l’ATP ne seraient alors ni certifiés ni vérifiés, alors que les données qu’ils apportent sont susceptibles d’affecter la sécurité. HIN propose de compléter comme suit la mention du rôle de l’éditeur de MID dans l’art. 30 : « [Les éditeurs de moyens d’identification doivent] mettre à disposition tous les acteurs (IDP, ATP et STS) nécessaires pour rendre possible une authentification valable ».

Al. 1 : La Poste qualifie l’al. 1 de disposition judicieuse et souhaitable. NW observe ici que l’organisme de certification vérifie chaque année pour toutes les communautés si elles remplissent encore les critères de certification. C’est une dépense inutile puisqu’en vertu de l’art. 34, ces certificats sont censés être valables 3 ans. Ces vérifications pendant les trois ans de validité des certificats ne doivent pas se faire systématiquement chaque année, mais seulement par sondage. ISSS propose d’apporter la précision suivante à la let. b : « […] qualifications requises ainsi que les certifications reconnues ». La let. c doit en outre être adaptée comme suit en complément à l’art. 11, al. 1 : « […] exploités de manière sûre en Suisse ».

Al. 2 : senesuisse réitère ici son commentaire à propos de l’art. 22, let. b et de l’art 27, al. 1, tandis que La Poste et CURAVIVA renvoient à leurs prises de position relatives aux art. 22, let. a et 27, al. 1. La Poste ajoute que cet alinéa est confus, vu que les MID servent à l’authentification. L’ordonnance gagnerait en lisibilité si tous les critères exigés du MID étaient réglés au même endroit. La Poste recommande de déplacer cet alinéa après l’art. 22 si le texte de l’ordonnance le permet. La FMH critique le fait que les dispositions visant à protéger le MID soient déjà définies par la norme ISO/IEC 29115:2013(E) dans l’art. 22, let. a. Une protection plus étendue n’est pas nécessaire, si bien que l’al. 2 doit être biffé.

Al. 3 à 5 : De l’avis de La Poste, on ignore à la lecture de l’al. 3 si les critères de certification visés sont ceux définis pour l’éditeur ou pour l’organisme de certification. Les critères mentionnés dans l’annexe 7 au chapitre 2 (art. 7 de l’ODEP-DFI) pourraient être mentionnés directement ici, ce qui rendrait superflus les al. 3 à 5. La FMH observe que le DFI pourrait régler des détails concernant la certification, mais seulement sur la base de la norme ISO en vertu de l’art. 22, let. a. Le législateur ne doit pas poser de critères allant au-delà de cette norme. L’art. 3 doit avoir la teneur suivante : « […] critères de certification selon l’art. 22, let. a ». CURAVIVA et TG réitèrent pour l’al. 4 leur prise de position relative à l’art. 29, al. 3.

Section 2 : Procédure de certification