La sécurité est un enjeu central de l’archivage électronique. Un système d’archivage électronique (SAE) doit garantir la conservation des documents dans le temps, tout en préservant leur intégrité, leur traçabilité, leur confidentialité et leur accessibilité. Pour répondre à ces exigences, différents cadres normatifs et dispositifs de certification permettent d’encadrer les pratiques et d’évaluer la fiabilité des systèmes d’archivage électronique. Mais quelles sont ces références et quelles garanties apportent elles concrètement ?
1. Norme NF Z42-013 : le référentiel de l’archivage électronique
La NF Z42-013 définit les exigences et recommandations fonctionnelles, organisationnelles et de sécurité applicables à la conception et à l’exploitation d’un système d’archivage électronique. Son objectif est de permettre la conservation des archives dans des conditions propres à préserver et à démontrer leur intégrité pendant toute leur durée de conservation. La norme encadre notamment les processus liés au versement, à la conservation, à l’accès, à la communication et à l’élimination des archives. Elle porte également sur la traçabilité des opérations, la sécurité du système, la gestion des accès et l’organisation du service d’archivage.
Sa nouvelle version de 2020 a par ailleurs modernisé le cadre technique de la norme afin de prendre en compte l’évolution des architectures et technologies utilisées pour l’archivage électronique, notamment les environnements cloud. La NF Z42-013 constitue ainsi une référence pour évaluer les conditions dans lesquelles un SAE peut préserver la fiabilité, l’intégrité et la traçabilité des documents archivés.
2. Norme NF Z42-026 : le référentiel de la numérisation fidèle
La NF Z42-026 concerne une étape distincte de la chaîne documentaire : la numérisation fidèle d’un document papier, afin de pouvoir conserver sa copie numérique et, sous réserve du respect des exigences applicables, supprimer l’original papier. La version actuellement en vigueur a été publiée en mars 2023 et remplace la version de 2017. Elle précise les exigences applicables à la prestation de numérisation, depuis la qualification de l’opérateur et le paramétrage de la chaîne de production jusqu’au processus de numérisation. Elle encadre également la production et la conservation des éléments permettant de démontrer la conformité du processus, notamment en matière d’intégrité, de traçabilité et de portabilité des éléments de preuve.
La norme peut s’appliquer à des opérations réalisées en interne ou par un prestataire, à des opérations de numérisation de stock comme de flux, et dans des organisations centralisées ou décentralisées. Elle intervient donc en amont de l’archivage : la NF Z42-026 sécurise le processus de numérisation fidèle, tandis que la NF Z42-013 encadre la conservation des documents numériques dans le SAE. La conformité à la NF Z42-026 peut notamment être reconnue au travers de la certification NF 544 – Prestations de numérisation fidèle de documents sur support papier.
3. Quelles certifications peuvent compléter la sécurité d’un SAE ?
La certification NF 461 permet de faire vérifier la conformité d’un SAE et des activités d’archivage associées aux exigences du référentiel de certification. Elle porte notamment sur la fidélité, l’intégrité, la pérennité et la traçabilité des documents archivés. La certification repose sur un audit et fait l’objet d’une surveillance régulière.
L’ISO/IEC 27001 : 2022 est, quant à elle, une norme internationale consacrée au système de management de la sécurité de l’information (SMSI). Elle définit les exigences permettant à une organisation de mettre en place une démarche structurée de gestion des risques liés à la sécurité de l’information. Elle couvre notamment la protection de la confidentialité, de l’intégrité et de la disponibilité des informations.
La conformité à cette norme peut être attestée par une certification ISO 27001, délivrée par un organisme indépendant après évaluation du système de management mis en place.
Enfin, la certification HDS (Hébergeur de données de santé) s’applique aux acteurs qui hébergent des données de santé à caractère personnel dans les conditions prévues par la réglementation. Le référentiel HDS s’appuie notamment sur l’ISO/IEC 27001 et ajoute des exigences spécifiques liées à l’hébergement des données de santé.
4. Quelles garanties de sécurité vérifier lors du choix d’un SAE ?
Une certification constitue un gage de conformité et un élément de confiance, mais elle ne suffit pas à elle seule à évaluer la sécurité d’un SAE. Le choix d’un dispositif doit également tenir compte de la nature des documents, de leur durée de conservation, de leur sensibilité et des obligations applicables. Il est également pertinent d’étudier les fonctionnalités de sécurité proposées par le SAE : chiffrement des données, gestion des droits d’accès, journalisation des opérations ou encore mécanismes de protection contre l’altération des documents. Selon les besoins de l’organisation et la durée de conservation des données, certaines solutions peuvent également intégrer des algorithmes résistants aux attaques quantiques, afin d’anticiper l’évolution des menaces.
L’objectif est donc d’évaluer à la fois le niveau de sécurité du SAE, les certifications dont il bénéficie et les fonctionnalités qu’il propose, en fonction des risques et des exigences propres aux documents archivés.
FAQ
Quelle est la différence entre NF Z42-013 et NF Z42-026 ?
La NF Z42-013 encadre le système et les processus d’archivage électronique. La NF Z42-026 concerne spécifiquement la numérisation fidèle de documents sur support papier et le contrôle de cette prestation.
ISO/IEC 27001 et NF 461 sont-elles complémentaires ?
La NF 461 porte spécifiquement sur le système d’archivage électronique et les activités d’archivage, tandis que l’ISO/IEC 27001 concerne plus largement le management de la sécurité de l’information. Les deux démarches peuvent donc être complémentaires.
La certification HDS est-elle obligatoire pour un SAE ?
Elle peut l’être lorsque le prestataire héberge des données de santé à caractère personnel dans le périmètre défini par la réglementation. L’Agence du Numérique en Santé précise notamment que l’hébergement d’un service d’archivage électronique de données de santé peut être soumis à l’obligation de certification HDS.
Sources de référence
- AFNOR – NF Z42-013 « Archivage électronique – Recommandations et exigences »
- AFNOR – NF Z42-026 « Numérisation fidèle »
- AFNOR Certification – NF Système d’archivage électronique (NF 461)
- ISO – ISO/IEC 27001:2022
- Agence du Numérique en Santé – Référentiels de certification HDS
- Légifrance – Article 1379 du Code civil