Archivage électronique sécurisé

1. Archivage électronique sécurisé Groupe de travail « Imagerie et archivage numérique » COTER Télémédecine 19 juin 2008 Dr Christine Riou, Rozenn Riou

2. Plan • Définition • Contexte légal • Normes • Organismes et groupes de travail sur le sujet • Documents produits

3. Définition L’archivage électronique sécurisé est défini comme : « l’ensemble des modalités de conservation et de gestion des archives électroniques ayant une valeur juridique lors de leur établissement, cet archivage garantissant la valeur juridique jusqu’au terme du délai durant lequel les droits y afférents peuvent exister. »

4. Contexte légal • Archivage à valeur probante • Valeur légale du document électronique • Article 1316-1 du code civil "L'écrit sous forme électronique est admis en preuve au même titre que l'écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité."  Impact sur les conditions d’établissement et de conservation d’un écrit à titre de preuve

5. Contexte légal • Décret n°2002-535 du 18 avril 2002 relatif à l’évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l’information  Impact sur la certification de la sécurité offerte par les produits et services en matière d’archivage électronique • Décret 2007-960 du 15 mai 2007 Confidentialité des informations médicales conservées sur support informatique ou transmises par voie électronique En cas d’accès par des professionnels de santé aux informations médicales à caractère personnel conservées sur support informatique ou de leur transmission par voie électronique, l’utilisation de la CPS est obligatoire • Les établissements ont trois ans pour s’y conformer

6. Valeur légale du document électronique • Distinguer • Documents numériques créés à partir de documents papier par numérisation • Document numérique = copie • Conditions pour valeur légale : assurer la fidélité et la durabilité du document • Conditions matérielles et processus audité (norme NZ42013) • Certification (réponse Archives Départementales) • Support d’archivage non réinscriptible • Pérennité support , matériel et format • Documents créés directement sous forme numérique • Document numérique = original • Conditions pour valeur légale : • Identification de la personne dont il émane • Etablissement et conservation dans des conditions garantissant son intégrité : scellement et conservation sur support non réinscriptible et pérenne pour la conservation dans un format lisible dans le temps

7. Normes • Normes encadrant l ’archivage électronique • Norme NF Z 42-013 (Décembre 2001) Spécifications relatives à la conception et à l ’exploitation des systèmes informatiques en vue d ’assurer la conservation et l ’intégrité des documents stockés dans ces systèmes Support : disque optique WORM (Write Once Read Many) Contrainte : vérification annuelle des supports migration des supports et des formats tous les 5 ans audit annuel • Norme NF Z 43-400 (Septembre 2005) Archivage des données électroniques COM/COLD (Computer Output Microform, Computer Output Laser Disk) Support : microforme, durée de conservation 100 ans possibilité d ’associer un enregistrement sur disque WORM

8. Normes • Normes encadrant l ’archivage électronique • Projet ISO 18509 Stockage à long terme des données dans les systèmes informatiques Reprise de la norme NF Z 42-013 Support : extension de la notion de WORM méthode d’enregistrement dont la la propriété intrinsèque est d’empêcher tout effacement, toute réécrirure et toute modification Ne fait pas référence ni à un type de support (ex: optique) ni à à un format spécifique (ex: disque ou bande) • Norme ISO 14721, modèle OAIS (Open Archival Information System) Modèle de référence pour l’implantation technique de SAE dans un but de préservation à long terme • Modèle d’information • Modèle fonctionnel

9. Normes • Norme ISO/19005-1 = PDF/A : • définition du format PDF/A-1 • manière de développer un outil de visualisation de fichier conforme à ce format • garantir la sécurité et la fiabilité de la diffusion et des échanges de documents électroniques • garantir la possibilité future de toujours disposer d'un outil de visualisation • Mais le problème de la légalité du document, au sens juridique du terme, n'est pas pris en compte par cette norme.

10. Normes • MOREQ : Modèle d’exigence pour l’organisation de l’archivage électronique (mars 2001, traduction française novembre 2004) • MOREQ2 (février 2008), • Elaboré par la commission européenne • Définit les exigences fonctionnelles pour l’archivage électronique à des fins de preuve à l’aide d’un système d’archivage électronique.

11. Organismes et groupes de travail • Direction des Archives de France (DAF) • Direction générale de la Modernisation de l’Etat (DGME) • Agence pour le Développement de l’Administration Electronique (ADAE) devenue le Service pour le Développement de l’Administration Electronique (SDAE) • Direction Centrale de la Sécurité des Systèmes d’Information (DCSSI) • Groupe Pérennisation des Informations Numériques (PIN) • http://vds.cnes.fr/pin/ • Nombreuses formations sur le sujet

12. Documents produits • Etude sur l’archivage électronique sécurisé publiée par la DCSSI (septembre 2006) http://www.ssi.gouv.fr/fr/confiance/archivage.html • Standard d’échange de données pour l’archivage électronique établi par la DAF et l’ADAE publié sur site de la DGME (mars 2006) http://www.archivesdefrance.culture.gouv.fr/gerer/archives-electroniques/standard/ Modèle pour les transactions des services d’archives (transfert, communication, modification, élimination, restitution) Format des messages

13. Documents produits • Projet PIL@E Marché lancé par la DAF concernant la réalisation d’une plate-forme électronique pilote http://www.archivesdefrance.culture.gouv.fr/gerer/archives-electroniques/platesformes/ concerne les archives nativement numériques produites par les services centraux de l’état • Les archives électroniques, Manuel pratique Direction des Archives de France, février 2002, 73 p. http://www.archivesdefrance.culture.gouv.fr/static/1062 • Les archives électroniques, Manuel à l’usage des archivistes Conseil International des Archives, 2005, 69 p. http://www.ica.org/sites/default/files/ICA%20Study16%20FR.pdf

14. Etude sur l’archivage électronique • Etude sur l’archivage électronique sécurisé publiée par la DCSSI (septembre 2006) • Référentiel sur lequel s’appuyer pour mettre en œuvre une politique d’archivage sécurisé • Plan : Memento (synthèse de l’étude) Enjeux juridiques Etat de l’art juridique, technique et organisationnel, offres logicielles La politique d’archivage et les pratiques d’archivage Grille d’audit Cahier des charges pour un SAE

15. Quelques points clefs • Valeur juridique des archives repose : • L’identification/authentification de l’origine de l’archive • L’intégrité des archives • L’intelligibilité/lisibilité des archives • La durée et perennité de l’archive • Traçabilité des différentes opérations (versement, consultation, migration, élimination) • La disponibilité et l’accessibilité des archives • Ensemble du document qui doit être archivé dans des conditions de nature à préserver les qualités qu’il remplit à son établissement (imputabilité, intégrité) • cad document + signature, datation, traçabilité, caractéristiques du document, opérations l’encadrant • Vérification des signatures originelles des documents numériques avant versement, les résultats de la vérification devant figurer dans les métadonnées du document • Le recours à un tiers archiveur (prestataire de droit privé) est exclue de principe sauf à titre exceptionnel et de manière encadrée

16. Quelques points clefs • Contraintes • Formats et supports • Migrations • Organisation • Modèle OAIS • Norme NF Z42-013 • ISO 15489 sur record Management • Moreq • Architecture du SAE Basée sur le modèle OAIS et ses 5 grandes fonctions • Les entrées ou versements • Le stockage ou conservation • La gestion des données descriptives • Les accès ou la consultation • l’administration

17. Quelques points clefs • Le coût • Investissements • Matériel informatique • Matériel réseau • Matériel de télécommunication • Matériels liés à la sécurité : (firewall, cartes de contrôle d’accès) • Logiciels : archivage, backup, redondance… • Prestations de mise en place • formations • Exploitation • Télécommunication • Locaux sécurisés • Personnel • Maintenance • support • Autres coûts • Consommables : bandes, disques… • Augmentation de capacité • migration