Énoncé de politique du prestataire de services de certification du secteur de la santé pendant la phase expérimentale

Transcription

1 Énoncé de politique du prestataire de services de certification du secteur de la santé pendant la phase expérimentale Identificateur d objet de politique (OID) : Date : 30 avril 2010 Version : 1.3

2 Table des matières 1. INTRODUCTION MISE EN CONTEXTE OBJET ACRONYMES DÉFINITIONS Certificat Dispositif Intervenant habilité Identificateur d objet Liste des numéros des certificats annulés (LNCA) Non-intervenant Objet Personne qui agit en se fondant sur un certificat Prestataire de services de certification (PSC) Prestataire de services de répertoire (PSR) Profil d accès Registre des intervenants Registre des titulaires de certificats (RTC) Répertoire des certificats Responsable d objet (RO) SécurSanté Titulaire de certificat DISPOSITIONS GÉNÉRALES RÔLES ET RESPONSABILITÉS Ministre de la Santé et des Services sociaux Prestataire de services de certification (PSC) Prestataire de services de répertoire (PSR) Gestionnaire des profils d accès (GPA) Agent de vérification de l identité (AVI) Responsable d objet (RO) Titulaire de certificat Version 1.3 Page 2 sur 35

3 2.1.8 Personne qui agit en se fondant sur un certificat L UTILISATION DES CERTIFICATS Usage approprié des certificats Restrictions et limites d utilisation d un certificat DESCRIPTION DES SERVICES DE CERTIFICATION PROCÉDURES RELATIVES À LA VÉRIFICATION DE L IDENTITÉ Identification et vérification de l identité lors de la délivrance d un certificat Identification et vérification de l identité au moment de la modification d un certificat Identification et vérification de l identité au moment de l annulation d un certificat PROCÉDURES OPÉRATIONNELLES RELATIVES À LA GESTION DES CERTIFICATS Délivrance d un certificat Mise à jour des renseignements contenus au certificat Annulation d un certificat à la demande d un tiers Registre des titulaires de certificats (RTC) PROCÉDURES RELATIVES À LA GESTION DES DISPOSITIFS Rôle et responsabilités du propriétaire du dispositif Remplacer un dispositif MESURES ET CONTRÔLES DE SÉCURITÉ PHYSIQUES ET ADMINISTRATIVES Mesures de sécurité physiques Mesures de sécurité administratives Compromission, corruption, désastre et reprise après sinistre MESURES DE SÉCURITÉ TECHNIQUE Génération et installation de paires de clés PROTECTION DE LA CLÉ PRIVÉE DE L AC Références aux modules cryptographiques Contrôles d accès aux clés privées Conservation de clés privées pour dépôt Prise de copies pour la clé privée et conservation Archivage des clés privées CONTRÔLE DE SÉCURITÉ INFORMATIQUE DONNÉES D ACTIVATION Activation des clés privées des utilisateurs ou des objets Procédures de contrôle PÉRIODE DE VALIDITÉ DES CERTIFICATS Version 1.3 Page 3 sur 35

4 3.10 PUBLICATION DES CLÉS FORMAT ET CONTENU DES CERTIFICATS Format des certificats Nom distinctif Contenu des certificats FORMAT ET CONTENU DE LA LISTE DES NUMÉROS DES CERTIFICATS ANNULÉS (LNCA) Format de la LNCA Contenu de la LNCA FORMAT ET CONTENU DU RÉPERTOIRE DES CERTIFICATS PÉRIODICITÉ ET PROCÉDURE DE MISE À JOUR DES CERTIFICATS ET DES LNCA POLITIQUE DE CONFIDENTIALITÉ TRAITEMENT DES PLAINTES CESSATION DES ACTIVITÉS ADMINISTRATION DE L ÉNONCÉ DE POLITIQUE DU PSC Publication de l énoncé de politique du PSC Procédure de modification de l énoncé de politique du PSC et approbation Garanties Sanctions Disposition finale Version 1.3 Page 4 sur 35

5 1. Introduction 1.1 Mise en contexte Les conditions de mise en œuvre de la deuxième phase du projet expérimental du Dossier de santé du Québec (conditions de mise en œuvre), par le ministre de la Santé et des Services sociaux (ministre), introduisent la mise en place de services de certification permettant notamment de délivrer des certificats d authentification de personne et d objet. La Régie de l assurance maladie du Québec (Régie) est identifiée, à l article 52 des conditions de mise en œuvre, comme prestataire de services de certification (PSC) pour le projet expérimental et, à ce titre, elle doit publier un énoncé de politique. Ainsi, dans son rôle de PSC, la Régie doit mettre en œuvre une autorité de certification pour le secteur de la santé. Cette autorité de certification émettrice relève d une autorité de certification racine ayant une portée gouvernementale au Québec. 1.2 Objet Le présent énoncé de politique édicte les règles applicables aux services de certification du secteur de la santé offerts par la Régie à titre de PSC. Il vise notamment à : o permettre à une personne qui veut agir en se fondant sur un certificat de prendre connaissance des niveaux de confiance rattachés aux services de certification et de répertoire; o indiquer les principales responsabilités et obligations auxquelles sont astreints les intervenants impliqués dans la prestation des services de certification visés par le présent énoncé de politique. 1.3 Acronymes AC : Autorité de certification AVI : Agent de vérification de l identité GPA : Gestionnaire des profils d accès GRTC : Gestionnaire du registre des titulaires de certificats LNCA : Liste des numéros des certificats annulés MSSS : Ministère de la Santé et des Services sociaux PSC : Prestataire de services de certification PSR : Prestataire de services de répertoire RTC : Registre des titulaires de certificats Version 1.3 Page 5 de 35

6 1.4 Définitions Certificat Un certificat est un ensemble de données dont le contenu minimal est défini à l article 48 de la Loi concernant le cadre juridique des technologies de l information (L.R.Q. c. C-1.1). Le certificat est signé à l aide de la clé privée du PSC et sert à établir un ou plusieurs faits, notamment confirmer l identité d une personne Dispositif Un dispositif est un support matériel qui sert à entreposer un certificat délivré à une personne, lorsque le niveau de confiance du certificat le requiert, et qui doit répondre aux normes concernant les dispositifs cryptographiques utilisés dans le cadre des services de certification du secteur de la santé pendant la phase expérimentale Intervenant habilité Sont des intervenants habilités, les personnes identifiées à l article 12 des conditions de mise en œuvre, détenant un certificat et un profil d accès Identificateur d objet Il s agit du numéro inscrit dans le certificat d un titulaire faisant référence au présent énoncé de politique indiquant de quel type de certificat il s agit et quelles règles lui sont applicables Liste des numéros des certificats annulés (LNCA) La LNCA est un moyen pour confirmer la validité d un certificat. Cette liste contient donc une référence (le numéro de série du certificat) à un certificat qui est non valide, la date à laquelle cette référence a été inscrite et, le cas échéant, la raison de l inscription Non-intervenant Toute personne qui n est pas un intervenant habilité au sens de l article 12 des conditions de mise en œuvre mais qui doit détenir un certificat pour les besoins de ses fonctions dans le cadre du projet expérimental Objet Tout système informatique utilisé pour transmettre ou pour recevoir communication de renseignements ou d informations dans le cadre du projet expérimental Personne qui agit en se fondant sur un certificat Toute personne, physique ou morale, qui fait confiance à un certificat ou à une signature associée à un certificat qui lui est présenté et sur la base duquel elle communique ou reçoit communication d un renseignement ou d une information dans le cadre du projet expérimental. Version 1.3 Page 6 de 35

7 1.4.9 Prestataire de services de certification (PSC) La Régie agit à titre de PSC. Celui-ci est chargé d administrer et d opérer des services de certification permettant la délivrance et la gestion des certificats requis pour la mise en œuvre du projet expérimental. Le PSC est ainsi responsable de l ensemble des aspects administratifs et technologiques associés à la délivrance des clés et des certificats ainsi qu aux opérations subséquentes reliées à leur cycle de vie, à l exception de la vérification de l identité, laquelle relève des agents de vérification de l identité (AVI) Prestataire de services de répertoire (PSR) La Régie agit à titre de PSR. Celui-ci est chargé d offrir des services de répertoire permettant notamment de confirmer la validité d un certificat conformément aux conditions de mise en œuvre et aux meilleures pratiques Profil d accès Le profil d accès constitue l ensemble des privilèges d accès attribués à un titulaire de certificat Registre des intervenants Ce registre permet d établir l identification unique des intervenants du secteur de la santé et des services sociaux, y compris les non intervenants à l égard de qui un certificat est demandé. Il est utilisé notamment pour confirmer l inscription d une personne au registre, ainsi que le statut professionnel des intervenants qui doivent obtenir un certificat ou qui en sont déjà titulaires, le cas échéant Registre des titulaires de certificats (RTC) Ce registre, constitué en vertu des conditions de mise en œuvre et sous la responsabilité du PSC, sert entre autres à consigner les renseignements préalablement recueillis lors de la vérification de l identité d une personne au moment de la délivrance de son certificat, l historique des activités relatives au cycle de vie du certificat ainsi que le lien entre le responsable d objet et les objets sous sa responsabilité Répertoire des certificats Ce répertoire contient les informations relatives aux certificats délivrés et il sert notamment à produire la LNCA Responsable d objet (RO) Le propriétaire de l objet ou celui qui en a le contrôle est d office le RO, à moins qu'il n'autorise spécifiquement une autre personne à agir à ce titre. Le RO a pour tâches d administrer et de rendre compte d un objet impliqué dans le Dossier de santé. Il est responsable d effectuer la demande afin d obtenir un certificat pour les objets sous sa responsabilité SécurSanté Nom donné à l infrastructure à clé publique dans le secteur de la santé. Version 1.3 Page 7 de 35

8 Titulaire de certificat Une personne ou un objet ayant un certificat valide. Version 1.3 Page 8 de 35

9 2. Dispositions générales 2.1 Rôles et responsabilités Ministre de la Santé et des Services sociaux Le ministre assure l encadrement des services de certification et de répertoire requis pour la mise en œuvre du projet expérimental du Dossier de santé du Québec (Dossier de santé), dont les conditions de sa mise en œuvre ont été décrétées par le gouvernement le 23 avril 2008, et celles de sa deuxième phase, le 18 juin À ce titre, le ministre est notamment responsable : - d approuver toute entente prise par le PSC ou le PSR avec un tiers concernant la prestation de services de certification ou de services de répertoire offerts dans le secteur de la santé; - de nommer les agents de vérification de l identité conformément à la Directive ministérielle sur les règles et modalités de gestion relatives aux services de certification et aux services de répertoire offerts dans le secteur de la santé pendant la phase expérimentale; - d assurer la coordination des actions posées par les différents acteurs impliqués dans la prestation des services de certification et de répertoire; - de s assurer que le PSC et le PSR respectent les exigences des conditions de mise en oeuvre, du présent énoncé et de toute autre règle ou modalité de gestion, notamment en ce qui concerne la gestion de la sécurité de l information Prestataire de services de certification (PSC) La Régie agit à titre de PSC. Celui-ci est chargé d administrer et d opérer des services de certification permettant la délivrance et la gestion des certificats requis pour la mise en œuvre du projet expérimental. Le PSC est ainsi responsable de l ensemble des aspects administratifs et technologiques associés à la délivrance des clés et des certificats ainsi qu aux opérations subséquentes reliées à leur cycle de vie, à l exception de la vérification de l identité, laquelle relève des agents de vérification de l identité (AVI). Le PSC est notamment responsable : - de délivrer et de gérer les certificats conformément aux conditions de mise en oeuvre et aux meilleures pratiques dans le domaine, notamment en s assurant que les vérifications nécessaires sont effectuées avant de confirmer les éléments contenus aux certificats; - de prendre un énoncé de politique en vertu de l article 52 des conditions de mise en œuvre et de le publier sur le site Internet du ministère de la Santé et des Services sociaux (MSSS); - de recueillir et de consigner dans un registre, soit le registre des titulaires de certificats (RTC), les renseignements relatifs à ces titulaires, conformément à l article 62 des conditions de mise en œuvre; - d effectuer les vérifications nécessaires pour confirmer l inscription d un utilisateur au registre des intervenants; Version 1.3 Page 9 de 35

10 - d effectuer les vérifications nécessaires pour confirmer le statut professionnel d une personne; - d inscrire, lors du processus de délivrance d un certificat, les renseignements nécessaires au RTC; - de corriger, lorsque nécessaire, les renseignements des titulaires consignés au RTC; - de communiquer ces renseignements dans les limites prévues aux conditions de mise en œuvre; - de produire et transmettre au PSR l information sur les certificats annulés; - de soumettre au ministre, pour approbation, toute entente avec un tiers concernant la prestation de services de certification; - de voir à l évolution des services de certification pour répondre aux besoins du secteur de la santé; - d assurer l arrimage avec tous les partenaires impliqués dans la prestation des services de certification; - de rendre compte de ses activités au ministre par la production d un rapport de gestion; - de mettre en œuvre des moyens adéquats et conformes aux conditions de mise en oeuvre et aux meilleures pratiques pour assurer la sécurité des clés et des certificats, ainsi que la protection des renseignements consignés au RTC; - de collaborer aux vérifications demandées par le sous-ministre adjoint aux technologies de l information au MSSS, ainsi qu à l évaluation du projet expérimental prévue à l article 120 des conditions de mise en oeuvre, conformément à l article 3 de ces conditions Prestataire de services de répertoire (PSR) La Régie agit à titre de PSR. Celui-ci est chargé d offrir des services de répertoire permettant de confirmer la validité d un certificat conformément aux exigences prévues aux conditions de mise en œuvre et aux meilleures pratiques. Le PSR est notamment responsable : - d inscrire au répertoire les numéros des certificats annulés, le nom de tout PSC dûment désigné, ainsi que tout autre renseignement prévu dans son énoncé de politique pris en vertu de l article 64 des conditions de mise en œuvre; - de publier son énoncé de politique sur le site Internet du MSSS ; - de mettre en œuvre des moyens adéquats et conformes aux meilleures pratiques pour assurer la sécurité des services de répertoire; - d assurer la conservation des listes de numéros des certificats annulés et des renseignements qui y sont associés; - d offrir un service de vérification de certains éléments relatifs aux certificats; - de soumettre au ministre, pour approbation, toute entente avec un tiers concernant la prestation de services de répertoire; - de collaborer aux vérifications demandées par le sous-ministre adjoint aux technologies de l information au MSSS, ainsi qu à l évaluation du projet expérimental prévue à l article 120 des conditions de mise en oeuvre, conformément à l article 3 de ces conditions; - de voir à l évolution des services de répertoire pour répondre aux besoins du secteur de la santé; Version 1.3 Page 10 de 35

11 - d assurer l arrimage avec tous les partenaires impliqués dans la prestation des services de répertoire; - de rendre compte de ses activités au ministre par la production d un rapport de gestion Gestionnaire des profils d accès (GPA) Un GPA effectue les demandes de services en vue de délivrer un certificat pour une personne à son emploi ou sous sa direction et, le cas échéant, dans le cas d une personne membre d un ordre professionnel qui a un statut de travailleur autonome et qui exerce sa profession dans un centre exploité par un établissement, un groupe de médecine de famille, un cabinet privé de professionnel ou un centre médical spécialisé où agit ce gestionnaire, s il est autorisé à cette fin par cette personne. Plus spécifiquement, le GPA est responsable : - des autorisations d obtention et d utilisation des certificats pour les personnes qui sont à son emploi ou sous sa direction; - de s assurer que le profil d accès attribué à une personne à son emploi ou sous sa direction ou, s il y a lieu, à une personne membre d un ordre professionnel qui a un statut de travailleur autonome et qui exerce sa profession dans un centre exploité par un établissement, un groupe de médecine de famille, un cabinet privé de professionnel ou un centre médical spécialisé où agit ce gestionnaire, s il est autorisé à cette fin par cette personne, correspond au profil d accès auquel cette personne a droit en vertu des conditions de mise en œuvre et qui est nécessaire à l exercice de ses fonctions Agent de vérification de l identité (AVI) L AVI est chargé de vérifier l identité de la personne à l égard de qui un certificat est demandé. L AVI doit obtenir du PSC la confirmation que la personne est inscrite au registre des intervenants. L AVI doit également obtenir du PSC la confirmation du statut professionnel d une personne, lorsque applicable. Plus spécifiquement, l AVI est responsable, entre autres : - d effectuer les vérifications dans des locaux sécurisés 1 conformément aux normes de sécurité physique établies par le ministre et confirmer au PSC les vérifications qu il effectue; - de juger de la qualité des documents qui lui sont présentés. En cas de doute sur la validité ou l authenticité des documents présentés, il doit les refuser; - de faire signer le formulaire d engagement approprié; - de remettre, lors d une vérification de l identité concluante, le certificat déposé sur un dispositif au titulaire, lorsque le niveau de confiance le requiert ; - de s assurer que le certificat émis est propre au titulaire et aux clés cryptographiques générées sur un dispositif, le cas échéant, dans ses locaux sécurisés selon la procédure formelle ; - de déclarer au PSC toute tentative d usurpation d identité dont il est témoin dans le cadre de ses fonctions; 1 En conformité avec les critères du document nommé: Critères de sécurité physique concernant l Agent de vérification de l identité (AVI) des services de certification de la santé pendant la phase expérimentale. Version 1.3 Page 11 de 35

12 - d inscrire, lors de la délivrance d un certificat, les renseignements nécessaires au répertoire des certificats et au gestionnaire du registre des titulaires de certificats (GRTC); - de la sécurité de l accès aux dispositifs vierges et de leur utilisation Responsable d objet (RO) Les responsabilités du RO sont, entre autres, les suivantes : - d obtenir un certificat de SécurSanté avant de faire une demande de certificat pour un objet sous sa responsabilité; - d effectuer la demande d émission de certificat pour l objet dont il est responsable, en précisant quel profil d accès doit être attribué à l objet; - de confirmer au PSC : l existence de l objet; l usage permis de l objet (il le fait en déterminant le type d objet); la localisation de l objet; l existence et l identité du propriétaire de l objet ou de celui qui en a le contrôle. - de générer les clés cryptographiques sur l objet et de transmettre au PSC l information requise pour permettre la création du certificat de cet objet; - de recevoir le certificat attribué à l objet et voir à son installation sur l objet en question; - de voir à ce que les mesures de sécurité adéquates soient prises pour protéger le certificat sur l objet. Ainsi, il doit prendre les mesures nécessaires pour assurer la confidentialité et la sécurité de la clé privée associée au certificat de l objet; - de procéder au renouvellement du certificat de l objet sous sa responsabilité, avant son échéance; - de soumettre, lorsque requis, une demande d annulation du certificat d objet sous sa responsabilité Titulaire de certificat Le titulaire d un certificat utilise son dispositif pour accéder, lorsque requis et selon son profil d accès, aux actifs informationnels du réseau de la santé ou de la Régie ou pour accomplir une fonction de gestion, de maintenance ou de support technique auprès des intervenants habilités au sens de l article 12 des conditions de mise en œuvre, ou encore pour réaliser un mandat de pilotage, d exploitation ou de surveillance à l égard des différentes fonctionnalités mises en place dans le cadre du projet expérimental confié par le sous-ministre adjoint aux technologies de l information au MSSS. Plus spécifiquement, le titulaire est responsable, entre autres, : - de fournir à l AVI les renseignements nécessaires pour permettre la délivrance d un certificat et de signer le formulaire d engagement approprié; Version 1.3 Page 12 de 35

13 - d assurer la confidentialité et la sécurité de sa clé privée et ne permettre à quiconque de les utiliser, et, le cas échéant, prendre les moyens nécessaires pour que son dispositif demeure en tout temps sous son contrôle ; - de préserver la confidentialité du mot de passe permettant de s authentifier ou, le cas échéant, de déverrouiller son dispositif; - de signaler immédiatement la perte ou le vol de son dispositif; - de respecter toute autre condition d utilisation émise par le PSC et portée à sa connaissance Personne qui agit en se fondant sur un certificat Celui qui veut agir en se fondant sur un certificat doit vérifier : 1 l intégrité du certificat ; 2 que sa période de validité n est pas expirée ; 3 qu il n est pas suspendu ou annulé. De plus, lorsque le certificat est utilisé pour accéder au Dossier de santé ou à un système d information de l un des domaines mis en place par les conditions de mise en œuvre, ou encore, à tout autre actif informationnel qui requiert l utilisation d un certificat, celui qui agit en se fondant sur le certificat doit s assurer que la vérification à l effet que le certificat n est pas suspendu ou annulé est effectuée auprès du prestataire de services de répertoire, que le certificat a été délivré par la Régie, à titre de prestataire de services de certification dans le secteur de la santé et qu il correspond au niveau de confiance requis. 2.2 L utilisation des certificats Usage approprié des certificats Les certificats délivrés par le PSC ne peuvent servir qu aux fins prévues par les conditions de mise en œuvre et de la présente politique. Ils sont utilisés pour permettre : - l accès aux actifs informationnels du réseau de la santé ou de la Régie, par exemple, aux intervenants habilités d accéder au Dossier de santé d une personne; - l accomplissement d une fonction de gestion, de maintenance ou encore de support technique auprès des intervenants habilités au sens de l article 12 des conditions de mise en œuvre; - La réalisation d un mandat de pilotage, d exploitation ou de surveillance à l égard des différentes fonctionnalités mises en place dans le cadre du projet expérimental confié par le sous-ministre adjoint aux technologies de l information au MSSS. Les deux tableaux ci-dessous démontrent, pour chaque type de certificat que le PSC peut délivrer, les utilisations permises et l identificateur d objet qui lui est attribué. Tous les certificats délivrés en vertu du présent énoncé de politique doivent indiquer au moins un identificateur d objet correspondant à son type. Version 1.3 Page 13 de 35

14 Chaque certificat comporte une clé publique à laquelle est associée une clé privée (externe au certificat). De plus, un gabarit spécifique (modèle ou type de certificat) est associé à chaque certificat afin d indiquer les stratégies d application qui lui sont applicables (notamment authentification et chiffrement), lesquelles réfèrent aux identificateurs d objet mentionnés cidessous. Version 1.3 Page 14 de 35

15 Tableau 1 Certificats affectés à des personnes physiques Identificateur d objet : Modèle ou type de certificat Utilisation permise Acteurs visés 1. Certificat d authentification - Signature électronique Titulaire, incluant les GPA - Authentification du titulaire 2. Certificat d authentification et - Signature électronique requête de certificats - Authentification du titulaire AVI - Requêtes d émission de certificats 3. Certificat d authentification et - Signature électronique d accès à l infrastructure - Authentification du titulaire Agent du PSC et exploitant - Ouverture de session Windows (login) 4. Certificat de recouvrement de - Signature électronique clé - Chiffrement de la clé Agent du PSC - Agent de récupération - Ouverture de session Windows (login) Tableau 2 Certificats affectés à des objets Identificateur d objet : Modèle ou type de certificat Utilisation permise Acteurs visés a) Certificat d authentification - Signature électronique Objet SSL - Chiffrement de la clé Objet SSL - Authentification du serveur - Authentification du client b) Certificat d authentification - Signature électronique Objet IPSEC - Chiffrement de la clé Objet IPSEC - Sécurité IP IKE intermédiaire c) Certificat d horodatage - Signature électronique -Enregistrement des informations de date Objet Restrictions et limites d utilisation d un certificat Les certificats ne peuvent être utilisés à l extérieur du secteur de la santé. Version 1.3 Page 15 de 35

16 3. Description des services de certification 3.1 Procédures relatives à la vérification de l identité Identification et vérification de l identité lors de la délivrance d un certificat La vérification de l identité (voir les responsabilités de l AVI à la section 2.1.5) doit se faire en personne dans les locaux sécurisés de l AVI 2 et nécessite la présentation d au moins deux documents émanant d une autorité gouvernementale reconnue qui confirment l identité de la personne, dont l un doit comporter sa photographie. Si l AVI a un doute sur la qualité des documents qui lui sont présentés, sur leur validité ou leur authenticité, il doit les refuser et mettre ainsi fin au service demandé. De plus, il doit signaler un incident de sécurité au PSC. L AVI doit obtenir du PSC la confirmation que la personne est inscrite au registre des intervenants. L AVI doit également obtenir du PSC la confirmation du statut professionnel d une personne, lorsque applicable. Pour assurer la prestation de services de certification, les renseignements recueillis sont consignés et maintenus dans le RTC. Ces renseignements peuvent être notamment recueillis auprès de la personne qui requiert un certificat et du GPA. Ces derniers doivent informer le PSC de tout changement affectant les renseignements qu ils ont fournis Pour les intervenants habilités et les non-intervenants La vérification de l identité doit se faire selon les modalités établies à la section Pour les objets Seule une personne qui détient un certificat à titre de responsable d objet peut faire une demande de délivrance d un certificat pour l objet dont il est responsable. L AVI aura préalablement effectué la vérification de l identité du responsable d objet, selon les modalités établies à la section Le PSC doit vérifier les éléments suivants, selon un processus formel: - que le responsable d objet est le propriétaire de l objet ou celui qui en a le contrôle, ou qu il a été dûment autorisé à agir à ce titre; - l existence et l identifiant de l objet; - l usage autorisé de l objet, le cas échéant; - la localisation de l objet, le cas échéant; - l existence et l identité ou l identification du propriétaire de l objet ou de celui qui en a le contrôle Identification et vérification de l identité au moment de la modification 2 Idem Version 1.3 Page 16 de 35

17 d un certificat La modification d un certificat est la résultante de la mise à jour des renseignements concernant un titulaire de certificat, engendrant une réémission de son certificat. Les renseignements admissibles à être modifiés sur le certificat sont les suivants : - Les noms et le prénom du titulaire - Le profil d accès (catégorie d intervenants) Pour les intervenants habilités et les non-intervenants Pour procéder à la modification d un certificat, la vérification de l identité doit se faire selon ce qui est établi à la section Pour les objets Pour apporter des modifications à un certificat attribué à un objet, le certificat doit être annulé et un nouveau doit être délivré. À cet effet, les sections traitant de la délivrance et de l annulation d un certificat pour un objet sont applicables Identification et vérification de l identité au moment de l annulation d un certificat L annulation d un certificat consiste à rendre un certificat inactif, donc inutilisable de manière permanente. Cette opération peut être effectuée par le PSC. Lorsque le PSC est avisé d un changement qui pourrait affecter l état d un certificat 3 par le GPA, la Régie ou par le titulaire lui-même, il a le pouvoir de prendre la décision de l annuler si les circonstances le justifient. Certaines situations pourraient toutefois exiger des vérifications avant de procéder à l'annulation du certificat. L annulation d un certificat ne requiert aucune vérification de l identité du titulaire Pour les intervenants habilités et les non-intervenants L annulation du certificat ne requiert aucune vérification de l identité du titulaire Pour les objets L annulation d un certificat pour un objet ne requiert pas de vérification de l identité. Seul le PSC peut exécuter cette opération et l authentification à l aide de son dispositif constitue une vérification de l identité suffisante pour procéder. 3.2 Procédures opérationnelles relatives à la gestion des certificats Les requêtes ou demandes de services au PSC sont soit sous forme de formulaire transmis par courriel, soit simplement sous forme de courriel dans certains cas. Elles doivent être accompagnées du certificat de la personne qui requiert les services. Celles-ci sont conservées par le PSC. 3 Par exemple, la radiation temporaire d un professionnel ou l usage non autorisé de son dispositif. Version 1.3 Page 17 de 35

18 Le PSC communique avec la personne qui requiert les services et celle concernée par les services, si nécessaire, au moyen d un courriel Délivrance d un certificat Un certificat est délivré par le PSC : - sur demande d une personne autorisée (voir ); - sur demande du RO, lorsqu il s agit d un certificat attribué à un objet sous sa responsabilité; - suite à une vérification de l identité en personne par un AVI, dans ses locaux sécurisés. Lorsque l identité de l utilisateur est établie, le certificat est associé à des clés cryptographiques et est inscrit sur un dispositif, lorsque le niveau de confiance le requiert; - suite à la vérification du statut professionnel, lorsque l obtention du profil requiert l appartenance à un ordre professionnel; - suite à la corroboration des informations d identité reçues Personnes pouvant demander la délivrance Les personnes pouvant demander la délivrance d un certificat sont : - un GPA, pour les personnes à son emploi ou sous sa direction ; - la personne elle-même : dans le cas des personnes membres d un ordre professionnel qui ont un statut de travailleur autonome; dans le cas des personnes qui agissent à titre de GPA, d AVI ou de RO; dans le cas des personnes qui assument des fonctions relatives aux services de certification. Toutefois, un GPA peut demander la délivrance d un certificat au nom d une personne membre d un ordre professionnel qui a un statut de travailleur autonome et qui exerce sa profession dans un centre exploité par un établissement, un groupe de médecine de famille, un cabinet privé de professionnel ou un centre médical spécialisé où agit ce gestionnaire, s il est autorisé à cette fin par cette personne Procédure de délivrance Pour une personne : Le GPA soumet au PSC les demandes de délivrance de certificats pour les personnes à son emploi ou sous sa direction et, le cas échéant, pour une personne membre d un ordre professionnel qui a un statut de travailleur autonome et qui exerce sa profession dans un centre exploité par un établissement, un groupe de médecine de famille, un cabinet privé de professionnel ou un centre médical spécialisé où agit ce gestionnaire, s il est autorisé à cette fin par cette personne, et confirme le profil d accès à leur attribuer. Dans le cas des personnes qui peuvent elles-mêmes demander un certificat, celles-ci soumettent leur demande de délivrance au PSC. Le PSC vérifie, lorsque applicable, le statut professionnel de la personne au registre des Version 1.3 Page 18 de 35

19 intervenants, si le professionnel y est inscrit. Si le statut professionnel n est pas confirmé, le PSC met fin au traitement en refusant, dans le RTC, qu un certificat soit émis à cette personne. Lorsque le statut professionnel est confirmé, le PSC inscrit la personne visée au RTC et il autorise, dans ce même registre, qu un certificat soit émis, ce qui permet à l AVI de voir l occurrence de cette demande. Le PSC avise ensuite l AVI qu il peut prendre rendez-vous avec la personne visée par la demande de délivrance pour vérifier l identité de celle-ci, conformément à ce qui est prévu à la section Lors de la rencontre avec l AVI, une fois la vérification de l identité complétée, l AVI émet le certificat au titulaire. Les clés cryptographiques requises pour l émission du certificat du titulaire sont générées sur un dispositif, lorsque le niveau de confiance le requiert. Le titulaire saisit alors son mot de passe qui est conservé sur le dispositif. Le numéro de série du dispositif est enregistré dans le RTC. Pour un objet : Le RO, lui-même titulaire d un certificat, soumet au PSC une demande de délivrance de certificat pour l objet sous sa responsabilité, par courriel auquel est joint son certificat. La demande est accompagnée de la requête PKCS#10 effectuée sur l'objet, requête qui génère les clés cryptographiques nécessaires à l'émission du certificat objet. Le PSC inscrit l objet visé au RTC avec le profil d accès demandé. Le PSC délivre le certificat d objet en utilisant les clés cryptographiques reçues et l achemine au RO afin qu il soit installé sur l objet Délai de traitement d une demande de délivrance Pour délivrer un certificat à un intervenant habilité ou à un non-intervenant, la requête doit passer par le PSC et nécessite une rencontre en personne avec un AVI. Le PSC et l AVI doivent agir dans des délais raisonnables. Pour un objet, le RO soumet la demande qui sera traitée par le PSC, ce dernier procédera alors à la délivrance du certificat et le transmettra au RO pour son installation sur l objet Mise à jour des renseignements contenus au certificat Personne pouvant demander la mise à jour des renseignements contenus au certificat La demande de mise à jour des renseignements contenus au certificat peut être faite par le GPA au PSC, ou initiée d office par le PSC Traitement d une demande de mise à jour Le demande de mise à jour est prise en charge par le PSC, qui doit notamment : - valider l admissibilité de la demande; - confirmer le changement auprès du registre des intervenants, si le changement porte sur la catégorie principale; - annuler le certificat; - modifier les renseignements dans le RTC; Version 1.3 Page 19 de 35

20 - autoriser l émission du nouveau certificat. L AVI doit : - procéder à la vérification de l identité du titulaire de certificat, conformément à ce qui est prévu à la section 3.1.1; - s assurer que l identité présentée correspond aux données inscrites dans le RTC; - procéder à la délivrance du certificat. Le RTC et la LNCA sont mis à jour Délai de traitement d une demande de mise à jour La demande est prise en charge dès sa réception par le PSC Annulation d un certificat à la demande d un tiers Personne pouvant informer le PSC Le PSC peut procéder à une enquête afin de déterminer si le certificat d un titulaire doit être annulé. Les personnes pouvant s adresser au PSC pour faire une telle requête sont : - les personnes responsables des AVI et celles responsables des GPA; - le GPA, pour les personnes à son emploi ou sous sa direction; - la Régie, pour les personnes inscrites au RTC; - l ordre professionnel, pour ses membres; - le RO, pour le ou les objets sous sa responsabilité; - l AVI, lors d une déclaration d un incident de sécurité. Les circonstances pouvant entraîner une enquête du PSC sont notamment : - des doutes quant à une usurpation d'identité; - la perte ou le vol d un dispositif; - le non respect par un titulaire d un certificat des conditions d utilisation relatives à l usage de son certificat; - la non inscription au tableau de l Ordre, pour un certificat attribué à une personne à titre de membre d un ordre professionnel; - une décision prise à son initiative Traitement d une demande d annulation par un tiers Seul le PSC traite les demandes d annulation de certificat faites par un tiers. Une demande d annulation par un tiers doit être transmise par courriel au PSC et est traitée comme suit : - le PSC doit s assurer que la demande provient d une personne autorisée à demander ce service et que la demande d annulation est justifiée; - il doit vérifier, le cas échéant, le statut professionnel du titulaire concerné; - le PSC avise des résultats de la demande la personne qui l a initiée et celle visée par cette demande; Version 1.3 Page 20 de 35

21 - la LNCA et le RTC sont mis à jour. Le motif qui a conduit à l annulation n est pas publié, il est seulement consigné au RTC Délai de traitement d une demande d annulation par un tiers Une fois son enquête ou ses vérifications terminées et s il décide d annuler le certificat, le PSC doit procéder immédiatement à l annulation du certificat dans le système Registre des titulaires de certificats (RTC) Le RTC est sous la responsabilité du PSC. Il s agit d un dépôt de données dans lequel sont consignés les renseignements concernant les personnes à l égard desquelles un certificat est demandé. Version 1.3 Page 21 de 35

22 Contenu du RTC Le RTC comprend, outre les renseignements concernant les personnes à l égard desquelles un certificat est demandé, l historique des actions effectuées sur un certificat, l information nécessaire pour assurer l imputabilité des actions posées (par exemple, quel agent du PSC a effectué telle action, à quelle date et pour quelle raison) ainsi que le lien entre le RO et les objets sous sa responsabilité Caractéristiques des données inscrites au RTC Les renseignements consignés au RTC ne peuvent être utilisés que pour les fins de l exercice des fonctions du prestataire de services de certification. Sur demande du ministre, le PSC l informe du fait qu une personne n est pas ou n est plus titulaire d un certificat et, le cas échéant, de la date à laquelle elle a pris connaissance du motif qui a conduit à la suspension ou à l annulation de ce certificat, ainsi que de la date à laquelle elle a suspendu ou annulé ce certificat Accès aux données du RTC Seuls les agents du PSC peuvent consulter l ensemble des renseignements contenus au RTC pour fins de vérification. Cependant, dans le cadre de leurs fonctions d AVI, ceux-ci peuvent consulter une partie des renseignements contenus au RTC, selon leurs droits d accès Mise à jour du RTC La mise à jour du RTC s effectue en temps réel. 3.3 Procédures relatives à la gestion des dispositifs Seul le PSC dispose des outils nécessaires pour initialiser ou réinitialiser un dispositif Rôle et responsabilités du propriétaire du dispositif La personne qui détient le dispositif est le titulaire de certificat. Elle est appelée «propriétaire du dispositif». À cet effet, son rôle et ses responsabilités sont celles énumérées au paragraphe Remplacer un dispositif Circonstances pouvant entraîner le remplacement d un dispositif Lorsqu un dispositif est défectueux, abîmé, perdu, volé, verrouillé par le titulaire ou qu il est devenu inutilisable, une demande de remplacement doit être soumise au PSC selon la procédure indiquée au paragraphe 3.2. L AVI procède ensuite au remplacement du dispositif, ainsi qu au certificat qui y est rattaché. Version 1.3 Page 22 de 35

23 Traitement d une demande de remplacement d un dispositif Une demande de remplacement d un dispositif est traitée comme suit : - le PSC doit annuler le certificat et aviser l AVI qu il peut prendre rendez-vous avec le titulaire; - le titulaire doit se présenter devant l AVI afin de faire vérifier son identité; - l'avi demande au système de délivrer un nouveau certificat pour le titulaire et de l associer au nouveau dispositif remis; - l AVI s assure que le nouveau dispositif remis au titulaire fonctionne adéquatement; - l AVI récupère l ancien dispositif, lorsqu'il n'est pas perdu ou volé, et l'envoie au PSC afin qu'il procède à sa réinitialisation pour le remettre en circulation Délai de traitement d une demande de remplacement d un dispositif La demande de remplacement d un dispositif est prise en charge dès sa réception par l AVI, qui prend rendez-vous avec le propriétaire dans les meilleurs délais. 3.4 Mesures et contrôles de sécurité physiques et administratives Mesures de sécurité physiques Pour le centre de gestion des clés et des certificats Le PSC est responsable de s assurer que l endroit où sont hébergés les serveurs contenant les applications nécessaires pour assurer la gestion des certificats, notamment l AC racine, les AC subordonnées émettrices, le répertoire des certificats et le RTC, sont localisés dans une zone de sécurité conforme aux normes minimales et respectent les exigences suivantes : les murs de la zone de sécurité doivent être renforcés allant du vrai plancher au vrai plafond ou au plafond suspendu avec système de détection d intrusion par le plafond suspendu; la porte de la zone de sécurité doit être munie d un verrou de sécurité; l accès à la zone de sécurité ne doit être possible qu à partir d une autre zone à accès contrôlé et non depuis une zone à accès public; la zone de sécurité doit être pourvue d un système de surveillance ou, lorsque la surveillance n est pas possible, d un système de détection d intrusion actif en l absence d une personne autorisée; la zone de sécurité doit être pourvue d un panneau d identification limitant l accès au personnel autorisé seulement, affiché en évidence près des portes d accès; la zone de sécurité doit être branchée à un bloc ou à une source d alimentation sans 4 Pour le RTC et le GRTC, les exigences relatives aux locaux par rapport aux mesures et contrôles de sécurité sont celles énoncées dans l annexe 1 de l Énoncé de politique du prestataire de services de répertoire du secteur de la santé pendant la phase expérimentale. Version 1.3 Page 23 de 35

24 coupure qui assure une alimentation électrique continue conforme aux niveaux de services offerts aux détenteurs de certificat. Cette source d alimentation doit être conforme aux normes reconnues de protection contre le feu; la zone de sécurité doit être munie d un système de climatisation pour la régulation de la température et de l humidité. Ce système de climatisation doit être conforme aux normes reconnues de protection contre le feu; la zone de sécurité doit être pourvue d une procédure documentée de destruction des documents confidentiels et des supports contenant de tels documents; la zone de sécurité doit être pourvue d une procédure documentée concernant la gestion des personnes habilitées et de contrôle des accès de ces individus; l utilisation de deux serrures indépendantes à clés spécifiques par porte sur le cabinet; la mise en place d un processus de gestion des clés permettant de respecter le principe selon lequel deux personnes indépendantes doivent toujours être présentes lorsque des activités se tiennent sur les composantes du cabinet; la mise en place d un journal pour enregistrer chaque fois que le cabinet est ouvert et la raison pour laquelle il est ouvert; la mise en place d une caméra dédiée qui permet de filmer en tout temps les activités qui peuvent se tenir sur les composantes du cabinet. De plus, les mesures nécessaires doivent être en place afin de : s assurer que l accès sur place ou à distance au centre de gestion des certificats est limité aux seules personnes autorisées par lui; s assurer que toute personne qui n est pas un employé autorisé du PSC et qui doit avoir accès aux serveurs du centre de gestion des certificats soit accompagnée et surveillée par une personne autorisée; s assurer qu un journal des accès au site d hébergement et aux applications du centre de gestion des certificats est tenu à jour et vérifié périodiquement; s assurer que tous les supports amovibles et documents sur support papier contenant de l information confidentielle en clair soient entreposés de manière à ce que seules les personnes autorisées y aient accès; établir des procédures de conservation, de transfert et de destruction des renseignements confidentiels sur supports magnétique et papier; mettre le serveur de l AC racine hors ligne une fois ses clés cryptographiques générées; entreposer le serveur de l AC racine dans un endroit sécuritaire à accès restreint et contrôlé Pour les Autorités de certification (AC) En ce qui concerne l'ac racine, cette infrastructure est indépendante de tout branchement réseau. Les serveurs des AC subordonnées émettrices doivent être branchées au réseau et être disponibles. Ils doivent être entreposés dans un espace sécurisé dont l accès est contrôlé selon les modalités de Version 1.3 Page 24 de 35

25 Pour les AVI L AVI doit prendre toutes les mesures nécessaires pour protéger les renseignements confidentiels recueillis lors de la vérification de l identité. L AVI doit empêcher l accès au poste de travail utilisé pour la prestation des services de certification. Son poste de travail doit respecter les caractéristiques de configuration émises par le ministre ou par le PSC. L AVI doit exercer ses fonctions dans des locaux sécurisés, tel que prescrit par le document Critères de sécurité physique concernant l Agent de vérification de l identité (AVI) des services de certification de la santé pendant la phase expérimentale Pour les GPA Le GPA doit prendre toutes les mesures nécessaires pour protéger les renseignements confidentiels recueillis lorsqu il complète une demande de services pour les personnes qui sont à son emploi ou sous sa direction et, le cas échéant, pour une personne membre d un ordre professionnel qui a un statut de travailleur autonome et qui exerce sa profession dans un centre exploité par un établissement, un groupe de médecine de famille, un cabinet privé de professionnel ou un centre médical spécialisé où agit ce gestionnaire, s il est autorisé à cette fin par cette personne. Son poste de travail doit respecter les caractéristiques de configuration émises par l infrastructure de la Couche d accès à l information de santé (CAIS) Pour les titulaires de certificats Le titulaire de certificat doit conserver sa clé privée sur un dispositif, lorsque le niveau de confiance le requiert, lequel doit demeurer en tout temps sous son contrôle. Le titulaire de certificat doit prendre les mesures nécessaires afin d assurer la sécurité et la confidentialité de sa clé privée et de son mot de passe. À cette fin, il doit s assurer de terminer sa session, et de retirer du poste de travail son dispositif, le cas échéant, lorsqu il a terminé ses opérations. Un RO doit, de plus, s assurer que l accès aux objets sous sa responsabilité et sur lesquels un certificat est installé sont protégés conformément aux meilleures pratiques Conservation et destruction des supports physiques Tous les supports servant au stockage de l information doivent être soit effacés de manière à ce que les informations ne puissent y être récupérées, soit détruits de façon permanente avant d être mis au rebut Mesures de sécurité administratives Toute personne qui accède au centre de gestion de clés et de certificats par l intermédiaire de réseaux partagés doit s authentifier au système à l aide d un dispositif contenant un certificat valide Pour le PSC et son personnel Le PSC doit s assurer que la séparation des tâches est respectée. Il doit de plus, afin de maintenir Version 1.3 Page 25 de 35

26 la sécurité et l intégrité des services de certification, s assurer que les fonctions liées à des tâches critiques soient réparties entre plus d un de ses agents. Un agent du PSC ne peut occuper en même temps les fonctions d AVI ou de GPA, ou des fonctions associées au PSR Séparation des tâches Au moins deux agents du PSC doivent collaborer pour effectuer les tâches suivantes : a) déterminer et modifier la période de validité des clés; b) gérer les identificateurs d objet; c) déterminer et modifier la période de validité de la LNCA; d) faire toute opération relative à l attribution de droits et de privilèges des agents du PSC; e) mettre à jour la clé privée de signature de l AC racine ou d une AC subordonnée émettrice Agent du PSC Les personnes impliquées dans la gestion des certificats doivent : a) avoir reçu la formation nécessaire pour accomplir leurs tâches; b) n effectuer aucune tâche qui risque de les placer en situation de conflit d intérêts avec les responsabilités qui leur incombent dans le cadre de leurs fonctions; c) ne pas occuper les fonctions d AVI ou de GPA, ou des fonctions associées au PSR Conservation et archivage des dossiers Tous les documents ou dossiers relatifs à un titulaire de certificat doivent être conservés par le PSC pour une durée de dix ans Sanctions Lorsque le PSC a des motifs raisonnables de douter de la fiabilité ou de la compétence d un de ses agents, il doit immédiatement prendre les moyens nécessaires pour lui interdire tout accès au centre de gestion des certificats Pour les AVI L AVI doit, en conformité avec la section 4.3 de la Directive ministérielle sur les règles et les modalités de gestion relatives aux services de certification et aux services de répertoire offerts dans le secteur de la santé pendant la phase expérimentale: a) avoir reçu la formation prescrite pour accomplir ses tâches et signer l engagement; b) n effectuer aucune tâche qui risque de les placer en situation de conflit d intérêts avec les responsabilités qui leur incombent dans le cadre de leurs fonctions; c) ne pas occuper des fonctions associées au PSC, ou de GPA Pour les GPA Le GPA doit : a) avoir reçu la formation prescrite pour accomplir ses tâches; Version 1.3 Page 26 de 35