3091 12.8.2.8 Gestion des preuves L’organisation doit définir, et documenter dans une procédure et mettre en œuvre une gestion adéquate des preuves: a) du fonctionnement du SDC-D (voir 10.11.1) b) des activités effectuées par le personnel concerné (voir 10.11.1 et 10.11.2) Autres informations Si des règles définies dans le cadre d’un projet de dématérialisation sont contraires à celles actuellement mises en œuvre par l’organisation en matière d’administration, d’opérations et de sécurité du système de dématérialisation SDC-D et en matière d’exécution des activités des processus sous-jacents au processus de dématérialisation, il convient d’effectuer une analyse de risques liée à ces règles afin d’identifier et d’évaluer les risques pouvant impacter l’organisation. Il convient que les options adoptées pour les risques évalués ainsi que le plan de traitement du risque soient définis, documentés et approuvés par les parties prenantes. Si les risques évalués sont trop élevés et ne peuvent pas être mitigés à un niveau acceptable pour l’organisation, il convient de reconsidérer le projet de dématérialisation. 12.9 Conservation (objectif de sécurité additionnel à la Norme internationale ISO/IEC 27002:2013) Objectif: assurer la gestion correcte et sécurisée des documents numériques et des archives numériques dans le cadre du processus de conservation. L’organisation doit intégrer les principes d’authenticité, de fiabilité et d’exploitation dans la définition, la mise en exploitation et l’utilisation de son système de conservation SDC-C. 12.9.1 Système de conservation SDC-C (mesure de sécurité additionnelle à la Norme internationale ISO/ IEC 27002:2013) 12.9.1.1 Mesure L’organisation doit pouvoir démontrer que le système de conservation SDC-C est composé d’actifs techniques et de mécanismes de sécurité: a) répondant aux besoins des clients (internes ou externes à l’organisation) du processus de conservation b) permettant de garantir l’authenticité, la fiabilité et l’exploitation des documents numériques et des archives numériques gérés par ce système. NOTE: Un système de conservation SDC-C est un système composé d’un ensemble d’actifs techniques permettant le stockage temporaire des documents numériques en vue de leur archivage, leur conversion en archives numériques, leur suppression et la conservation des archives numériques aussi longtemps que nécessaire, leur exploitation, leur restitution partielle ou totale, leur transfert et leur suppression. Exigences de mise en œuvre 12.9.1.2 Description détaillée du système de conservation SDC-C Une description détaillée du système de conservation SDC-C doit être définie et maintenue en: a) identifiant et en documentant les actifs techniques supportant les processus sous-jacents au processus de conservation, à savoir: 1. la collecte des documents numériques 2. la création et la conservation des archives numériques 3. la restitution, le transfert et la suppression des archives numériques b) identifiant, en évaluant et en documentant de manière régulière les possibilités techniques du SDC-C, comme par exemple les suivantes: 1. nombre maximum de documents numériques ou poids total maximum de documents numériques pouvant être transmis en une seule fois au SDC-C 2. débit de transmission des documents numériques vers le SDC-C 3. délai de réponse du SDC-C 4. fréquence d’émissions des lots de documents numériques à archiver électroniquement par le SDC-C 5. poids maximum du document numérique pouvant être transmis au SDC-C en vue de son archivage 6. protocoles sécurisés de transmission d’informations, de documents numériques et d’archives numériques, comme par exemple SFTP, TLS, PPP, L2TP et IPSec NOTE: L’identification et l’évaluation des possibilités techniques du SDC-C sont indispensables pour assurer sa conformité avec les besoins des clients (internes ou externes à l’organisation) Mémorial A – N° 150 du 4 août 2015