3095 12.9.1.4 Preuves de la conformité Les preuves de la conformité du fonctionnement du SDC-C et des activités effectuées par le personnel concerné par rapport aux politiques et aux procédures liées au processus de conservation exécuté par l’organisation doivent être conservés en utilisant des supports de stockage pérennes pour une conservation appropriée aussi longtemps que nécessaire. Les preuves suivantes doivent être conservées: a) journaux d’événements du SDC-C b) les événements liés aux documents et archives numériques traités par le SDC-C c) rapports d’activités des utilisateurs du SDC-C d) rapports de mises à jour du SDC-C, d’incidents ou de changements liés au SDC-C e) jetons d’horodatage générés dans le cadre du fonctionnement du SDC-C et des activités des utilisateurs du SDC-C f) signatures électroniques des utilisateurs du SDC-C NOTE: L’organisation doit pouvoir démontrer la validité de la signature électronique d’un utilisateur du SDC-C aussi longtemps que nécessaire en démontrant qu’au moment de la signature électronique le certificat électronique qualifié de l’utilisateur était valide et issu d’une autorité de certification reconnue. Plusieurs techniques sont possibles à cette fin comme par exemple les suivantes: 1. utilisation du protocole de vérification en ligne de certificats (OCSP) de l’autorité de certification émettrice du certificat électronique qualifié 2. horodatage du rapport d’activités signé et récupération de la liste de révocation des certificats (CRL) publiée régulièrement par l’autorité de certification émettrice du certificat électronique qualifié. Il convient d’utiliser des supports de stockage pérenne pour une conservation appropriée des archives numériques aussi longtemps que nécessaire. 12.9.1.5 Conformité par rapport aux lois et aux règlements en vigueur au Luxembourg a) le système de conservation SDC-C et les mécanismes de sécurité associés doivent être conformes aux lois et aux règlements en vigueur au Luxembourg. b) le fonctionnement du SDC-C et celui des mécanismes de sécurité du SDC-C doivent être évaluables par un tiers pouvant attester de la conformité de leur fonctionnement et des activités effectuées par le personnel concerné par rapport à la description détaillée du système de conservation SDC-C et par rapport aux spécifications des mécanismes de sécurité du SDC-C. Cette évaluation doit permettre de s’assurer que les documents numériques collectés ont été correctement conservés sous la forme d’archives numériques et par la suite supprimés, et que ces archives ont été correctement exploitées, restituées, transférées ou supprimées. L’organisation doit en particulier pouvoir démontrer que le niveau général de sécurité du SDC-C est conforme aux bonnes pratiques en la matière, notamment en démontrant que les actifs critiques du SDC-C et les mécanismes de sécurité, comme par exemple les mécanismes cryptographiques, ont été évalués et certifiés par des organismes indépendants spécialisés dans ce type de revues ou qu’ils sont conformes à des normes ou des référentiels reconnus et qu’ils sont utilisés conformément aux bonnes pratiques en la matière. NOTE: La Norme ETSI TS 102 176-1 [8] énumère des algorithmes cryptographiques et recommande une durée de validité de leur utilisation. Tout changement significatif programmé (modification d’actifs techniques critiques, suppression d’un mécanisme critique de sécurité) du SDC-C doit être justifié et faire l’objet d’une approbation préalable des clients (internes ou externes à l’organisation) du processus de conservation et qui sont impactés par ce changement. La description détaillée du système de conservation SDC-C et les spécifications des mécanismes de sécurité du SDC-C doivent être revues par le responsable du processus de conservation de manière régulière (au moins une fois par an) suite à une modification significative du SDC-C et du processus de conservation. 12.9.2 Utilisation correcte du système de conservation SDC-C (mesure de sécurité additionnelle à la Norme internationale ISO/IEC 27002:2013) 12.9.2.1 Mesure Les procédures d’administration, d’opérations et de sécurité du système de conservation SDC-C et d’exploitation du processus de conservation doivent être définies, mises en œuvre et respectées par le personnel concerné (de l’organisation et des fournisseurs). Ces procédures doivent être considérées dans la définition et la mise en œuvre des projets de conservation. Mémorial A – N° 150 du 4 août 2015