Messagerie de santé sécurisée

Fourniture d’une messagerie sécurisée de santé en mode SaaS, hébergée par un prestataire certifié HDS, avec déploiement, exploitation, assistance et maintenance. La solution doit être compatible avec l’espace de confiance MSSanté, respecter les référentiels applicables de l’ANS et permettre l’envoi et la réception de messages sécurisés avec pièces jointes de tout format, structuré ou non. Elle comprend une interface web accessible sans installation lourde, compatible notamment avec Microsoft Edge, et un accès mobile par interface responsive ou application.

Elle doit s’interfacer avec les outils numériques en place, notamment les logiciels métiers et, si possible, Outlook; l’éditeur fournit la liste des connecteurs API. Les fonctions attendues comprennent la recherche dans les annuaires MSSanté, l’archivage sécurisé, les accusés de réception, le suivi du traitement des messages et la gestion de répertoires et de processus internes.

Trois types de boîtes sont prévus : nominatives, organisationnelles à gestion collective et applicatives intégrées aux logiciels métiers. La gestion des comptes, profils et droits est centralisée ou assurée par l’éditeur, au choix. La solution doit assurer l’authentification sécurisée, la traçabilité des accès et actions, la conservation et l’export des journaux.

Mise en œuvre et accompagnement

Le déploiement est organisé service par service après analyse des besoins; l’estimation initiale porte sur environ 50 structures ou services. Le titulaire fournit un plan de déploiement, accompagne la prise en main et le démarrage, et remet documentation technique et fonctionnelle, procédures d’administration et de gestion des incidents, ainsi qu’un schéma simplifié de la solution après la première réunion suivant la notification.

Les formations portent notamment sur l’administration, l’utilisation, la maintenance et le support. Les supports sont personnalisés sans coût supplémentaire, en français, au format papier et/ou numérique compatible avec LibreOffice Writer, Microsoft Word ou PDF. Le titulaire remet les dossiers d’utilisation lorsqu’ils sont distincts et les feuilles d’émargement sont transmises après les sessions. Les formations peuvent se tenir à distance; les frais induits sont inclus dans les prix.

Hébergement, sécurité et données

Les données de santé sont hébergées par un hébergeur certifié HDS. La solution doit respecter le RGPD, la loi Informatique et Libertés, le Code de la santé publique, les référentiels MSSanté et ANS ainsi que le RGS. Les exigences de sécurité incluent le chiffrement en transit TLS 1.2 au minimum, le moindre privilège, le MFA, un WAF, un PCA/PRA et un test d’intrusion annuel par un tiers indépendant. Les vulnérabilités critiques identifiées doivent faire l’objet de correctifs et d’un plan de remédiation. Les incidents de sécurité majeurs sont signalés sous 48 h; un procès-verbal de destruction des données est remis au plus tard 180 jours après la fin des prestations. Un audit SSI peut être réalisé par Bordeaux Métropole, au plus une fois par an hors incident avéré.

La politique de sauvegarde suit la règle 3-2-1 : trois copies, deux types de support (disques et bandes) et une copie hors site, mise hors ligne une fois par mois; les sites doivent être géographiquement distincts. Les services hébergés par un tiers disposent d’au moins deux copies. Les sauvegardes sont quotidiennes, de préférence hors heures ouvrées; leur durée de rétention est définie selon les besoins métier et réglementaires. Les exigences de mots de passe comprennent au minimum 9 caractères pour les comptes utilisateurs et 16 pour les comptes à privilèges; trois types de caractères, quatre pour les comptes à privilèges; un renouvellement tous les 240 jours, ou 45 jours pour les comptes à privilèges; interdiction de réutiliser les six derniers mots de passe et blocage 30 minutes après cinq erreurs.

La reprise éventuelle de données comprend l’aide à la définition du périmètre et des formats, la préparation, la mise au format pivot, les itérations de mise en qualité et la validation quantitative par le titulaire; Bordeaux Métropole assure la validation qualitative définitive. La réversibilité prévoit l’accès aux données, à leur structure et aux éléments nécessaires au transfert, des livrables et de la coopération avec le nouveau titulaire. Les données sont restituées sous format ouvert et réutilisable, par connexion sécurisée de site à site ou, à défaut, sur support magnétique. La restitution de sauvegardes ou d’archives doit permettre leur exploitation ultérieure; après remise du support, les données doivent être disponibles sur l’environnement du titulaire sous 48 h au maximum. Le titulaire ne conserve pas les informations après leur restitution officielle, à l’exception des journaux d’accès conservés conformément à la loi.

Maintenance et assistance

La maintenance couvre les volets préventif, correctif, évolutif et réglementaire, y compris mises à jour mineures et majeures, corrections, télémaintenance et assistance sur site si nécessaire. Les composants logiciels, bibliothèques, frameworks, systèmes d’exploitation, middlewares et dépendances sont maintenus à un niveau de sécurité conforme à l’état de l’art. Sauf impossibilité technique justifiée, les correctifs critiques (CVSS ≥ 9 ou équivalent) sont appliqués sous 15 jours calendaires, les correctifs élevés sous 30 jours et ceux de niveau moyen ou faible sous 90 jours. Un composant en fin de support est remplacé ou mis à niveau sous six mois. Sur demande, le titulaire fournit un inventaire des composants (SBOM ou équivalent), leurs versions et la date de leur dernière mise à jour de sécurité.

L’assistance téléphonique est assurée les jours ouvrés, du lundi au vendredi, de 9 h à 19 h. Les délais d’intervention et de rétablissement attendus sont : incidents bloquants, GTI inférieure à 4 heures ouvrées et GTR inférieure à 1 jour ouvré; incidents majeurs, GTI inférieure à 4 heures ouvrées et rétablissement sous 2 jours; incidents mineurs, GTI inférieure à 1 jour ouvré et rétablissement sous 10 jours. Après contournement, la correction définitive est livrée sous 10 jours ouvrés pour un incident bloquant, critique ou urgent, et sous 30 jours ouvrés pour les autres incidents. Les interventions donnent lieu à une information préalable et à un compte rendu; les incidents sont suivis par fiches accessibles sur Internet.

Les évolutions majeures sont annoncées au moins 3 mois avant leur disponibilité et accompagnées d’une documentation en français détaillant l’installation, les évolutions fonctionnelles et de base de données, les incidences de paramétrage, les migrations et les formations éventuelles. Les modifications réglementaires sont intégrées selon un plan d’action proposé au plus tard 2 mois après leur publication ou entrée en application; les actions sont mises en œuvre dans l’année suivant la remise du plan. Une fonctionnalité d’intelligence artificielle ne peut être activée sans déclaration préalable et décision expresse formalisée de l’acheteur.

Le DQE d’évaluation prévoit notamment 30 abonnements de boîtes utilisateurs, 101 organisationnelles et 25 applicatives par an, ainsi que 55 licences individuelles et 101 licences multi-utilisateurs de chiffrement. Il prévoit aussi un portail de gestion annuel, 10 jours de formation, 50 heures de téléformation (20 participants au maximum), 95 ouvertures de boîtes et 95 jours de déploiement/configuration, 15 jours de gestion de projet, 2 jours de développement complémentaire, 25 jours de paramétrage, et un forfait chacun pour la reprise de données et la réversibilité.