{"html": "

l’intégrité de ce document numérique à partir de sa création jusqu’à sa restitution, son transfert ou sa suppression.

\n

Par conséquent cette empreinte digitale doit être: a. associée à ce document numérique en tant que métadonnée de contrôle b. utilisée comme un identifiant unique du document numérique lors de son stockage, de sa restitution ou de son transfert pour maintenir son intégrité durant l’exécution du processus de dématérialisation 5. une intégrité dans le temps des journaux d’événements Il convient en particulier de s’assurer de: a. l’établissement d’un schéma de liaison pour lier les évènements enregistrés d’un journal entre eux permettant de détecter toute suppression d’événements survenus par le passé b. l’horodatage régulier, par exemple une fois par jour, des journaux d’événements par une autorité d’horodatage qualifiée.

\n
e)mécanismes de contrôle régulier de l’intégrité du SDC-D pour s’assurer que:
\n
1.le fonctionnement du SDC-D n’a pas été altéré suite à des: a. opérations de maintenance ou des mises à jour Mémorial A – N° 150 du 4 août 2015 3087 b. remplacements d’actifs du SDC-D comme par exemple les scanners ou des composants de ces actifs comme par exemple les supports de stockage 2. les fichiers de configurations du SDC-D n’ont pas été modifiés de manière non autorisée 3. l’intégrité des documents numériques stockés, des métadonnées associées ainsi que des journaux d’événements est préservée;
\n
f)mécanismes de vérification de l’adéquation du nombre de documents analogiques en entrée (ou du nombre de pages composant ces documents) avec le nombre de documents (ou de pages) en sortie (numériques et analogiques rejetés);
\n
g)mécanismes de vérification du contenu des documents numériques résultant de la numérisation de documents analogiques pour s’assurer de la reproduction conforme à l’original L’organisation doit exercer une vérification du contenu des documents numériques par rapport aux documents analogiques si la destruction de ces derniers est programmée à la suite de leur numérisation;
\n
h)mécanismes de destruction sécurisée des documents analogiques (voir 10.7.2) et de suppression de documents numériques, comme par exemple une réécriture multiple sur les informations ne permettant plus de les retrouver en l’état.
\n

12.8.1.4 Preuves de la conformité Les preuves de la conformité du fonctionnement du SDC-D et des activités effectuées par le personnel concerné par rapport aux politiques et aux procédures liées au processus de dématérialisation exécuté par l’organisation doivent être conservées en utilisant des supports de stockage pérennes pour une conservation appropriée aussi longtemps que nécessaire.

\n

En particulier, les preuves suivantes doivent être conservées:

\n
a)journaux d’événements du SDC-D
\n
b)les événements liés aux documents analogiques et numériques traités par le SDC-D
\n
c)rapports d’activités des utilisateurs du SDC-D
\n
d)rapports de mises à jour du SDC-D, d’incidents ou de changements liés au SDC-D
\n
e)jetons d’horodatage générés dans le cadre du fonctionnement du SDC-D et des activités des utilisateurs du SDC-D
\n
f)signatures électroniques des utilisateurs du SDC-D.
\n

NOTE: La validité de la signature électronique d’un utilisateur du SDC-D doit pouvoir être vérifiée aussi longtemps que nécessaire en démontrant qu’au moment de la signature électronique le certificat électronique qualifié de l’utilisateur était valide et issu d’une autorité de certification reconnue.

\n

Plusieurs techniques sont possibles à cette fin comme par exemple les suivantes:

\n
1.utilisation du protocole de vérification en ligne de certificats (OCSP) de l’autorité de certification émettrice du certificat électronique qualifié 2. horodatage du rapport d’activités signé et récupération de la liste de révocation des certificats (CRL) publiée régulièrement par l’autorité de certification émettrice du certificat électronique qualifié.
\n

12.8.1.5 Conformité par rapport aux lois et aux règlements en vigueur au Luxembourg

\n
a)le système de dématérialisation SDC-D et les mécanismes de sécurité associés doivent être conformes aux lois et aux règlements en vigueur au Luxembourg
\n
b)le fonctionnement du SDC-D et celui des mécanismes de sécurité du SDC-D doivent être évalués par un tiers pouvant attester de la conformité de son fonctionnement et des activités effectuées par le personnel concerné par rapport à la description détaillée du système de dématérialisation SDC-D et par rapport aux spécifications des mécanismes de sécurité du SDC-D.
\n

Cette évaluation doit permettre de s’assurer que les documents analogiques collectés ont été correctement traités, restitués, transférés ou détruits et que les documents numériques ont été correctement créés, stockés de manière temporaire, restitués, transférés ou supprimés.

\n

L’organisation doit en particulier démontrer que le niveau général de sécurité du SDC-D est conforme aux bonnes pratiques en la matière, notamment en démontrant que les actifs critiques du SDC-D et les mécanismes de sécurité, comme par exemple les mécanismes cryptographiques, ont été évalués et certifiés par des organismes indépendants spécialisés dans ce type de revues ou qu’ils sont conformes à des normes ou des référentiels reconnus et qu’ils sont utilisés conformément aux bonnes pratiques en la matière.

\n

NOTE: La Norme ETSI TS 102 176-1 [8] énumère des algorithmes cryptographiques et recommande une durée de validité de leur utilisation.

\n

Tout changement significatif programmé (modification d’actifs techniques critiques, suppression d’un mécanisme critique de sécurité) du SDC-D doit être justifié et faire l’objet d’une approbation préalable des clients (internes ou externes à l’organisation) du processus de dématérialisation et qui sont impactés par ce changement.

\n

Mémorial A – N° 150 du 4 août 2015 3088 La description détaillée du système de dématérialisation SDC-D et les spécifications des mécanismes de sécurité du SDC-D doivent être revues par le responsable du processus de dématérialisation de manière régulière (au moins une fois par an), et suite à une modification significative du SDC-D et du processus de dématérialisation.

\n

12.8.2 Utilisation correcte du système de dématérialisation SDC-D (mesure de sécurité additionnelle à la Norme internationale ISO/IEC 27002:2013) 12.8.2.1 Mesure Les procédures d’administration, d’opérations et de sécurité du système de dématérialisation SDC-D et d’exploitation du processus de dématérialisation doivent être définies, mises en œuvre et respectées par le personnel concerné (de l’organisation et des fournisseurs).

\n

Ces procédures doivent être considérées dans la définition et la mise en œuvre des projets de dématérialisation.

\n

Exigences de mise en œuvre 12.8.2.2 Règles à suivre pour l’exécution des activités d’administration, d’opérations et de sécurité du système de dématérialisation SDC-D L’organisation doit définir et documenter les règles à suivre pour l’exécution des activités d’administration, d’opérations et de sécurité du système de dématérialisation SDC-D dans des procédures, dont les suivantes:

\n
a)gestion des accès au SDC-D et des privilèges associés aux comptes du SDC-D
\n
b)gestion des fonctionnalités d’administration, d’opérations et de sécurité du SDC-D et instructions pour les exécuter
\n
c)gestion de la configuration du SDC-D
\n
d)instructions du fonctionnement du SDC-D en mode dégradé, de son redémarrage et de sa récupération
\n
e)gestion des mécanismes de surveillance du SDC-D
\n
f)gestion des journaux d’événements du SDC-D et instructions pour leur exploitation
\n
g)gestion des mécanismes cryptographiques de sécurité du SDC-D, comme les suivants:
\n
1.mécanismes d’authentification et de signature des utilisateurs du SDC-D 2. protocoles sécurisés de transmission d’informations et de documents numériques 3. mécanismes d’intégrité des documents numériques et des journaux d’événements NOTE: Ces procédures de gestion doivent également adresser le remplacement des mécanismes cryptographiques pour lesquelles des vulnérabilités sont détectées. Leur remplacement ne doit pas altérer le fonctionnement et l’intégrité du SDC-D.
\n
h)gestion des mécanismes de contrôle régulier d’intégrité du SDC-D.
\n

NOTE: L’organisation doit s’assurer que l’intégrité du fonctionnement du SDC-D, des documents analogiques et numériques gérés par le SDC-D soit vérifiée de manière régulière, suite à une modification significative du SDC-D et du processus de dématérialisation.

\n

Pour les cas de perte d’intégrité du fonctionnement du SDC-D ou de documents analogiques ou numériques gérés par le SDC-D, l’organisation doit documenter dans une procédure les instructions précisant à partir de quel moment les procédures de gestion d’incidents doivent être activées, la manière dont les procédures de restauration doivent être utilisées et à quel moment les clients (internes ou externes à l’organisation) concernés et l’ILNAS doivent être avertis de cet incident.

\n
i)gestion des mécanismes de vérification de l’adéquation du nombre de documents analogiques (ou du nombre de pages composant ces documents) numérisés
\n
j)gestion des mécanismes de vérification du contenu des documents numériques
\n
k)gestion des mécanismes de destruction des documents analogiques et de suppression de documents numériques gérées par le SDC-D
\n
l)gestion des supports de stockage du SDC-D, de leur remplacement et de leur mise au rebut
\n
m)gestion des sauvegardes du SDC-D et des sauvegardes des documents numériques gérés par le SDC-D et de leur restauration respective
\n
n)gestion de la continuité et de la reprise du SDC-D même en cas de désastre
\n
o)gestion des changements du SDC-D
\n
p)gestion des incidents pouvant impacter le SDC-D
\n
q)maintenance des actifs techniques avec gestion du support des fournisseurs en cas de dysfonctionnement du SDC-D
\n
r)gestion des métadonnées de description et de contrôle associées aux documents numériques.
\n

Ces procédures doivent être mises en œuvre et respectées par le personnel concerné (de l’organisation et des fournisseurs).

\n

Mémorial A – N° 150 du 4 août 2015 3089 12.8.2.3 Règles à suivre dans le cadre de l’exécution des activités de dématérialisation Les règles à suivre dans le cadre de l’exécution des activités des processus suivants sous-jacents au processus de dématérialisation doivent être documentées:

\n
a)collecte des documents analogiques
\n
b)création et stockage temporaire des documents numériques
\n
c)stockage temporaire des documents analogiques
\n
d)restitution, transfert, destruction éventuelle des documents analogiques et suppression des documents numériques.
\n

NOTE: Il convient que la destruction des documents analogiques et la suppression des documents numériques gérés par l’organisation pour le compte d’un client (interne ou externe à l’organisation) soit uniquement réalisée à compter de la confirmation par écrit de la réception des documents numériques par le client et que ces documents constituent la reproduction fidèle des documents analogiques originaux.

\n

12.8.2.4 Exemples Voici des exemples de règles à suivre dans le cadre de l’exécution de certaines activités de processus sous-jacents au processus de dématérialisation:

\n
a)activité «déplacement du personnel de l’organisation vers le lieu de collecte des documents analogiques des clients»
\n

Il convient en particulier de respecter les règles suivantes:

\n
1.déplacement en équipe composée au minimum de 2 personnes 2. création d’un bordereau de récupération comprenant les spécifications liées aux documents analogiques à collecter, comme par exemple le nombre de cartons ou de documents, le poids des cartons et la nature des documents analogiques 3. identification de la personne du client soumettant les documents analogiques pour vérifier qu’elle figure bien sur la liste des personnes habilitées par le client à effectuer cette tâche 4. contrôle que les documents analogiques à collecter correspondent bien aux spécifications mentionnées sur le bordereau de récupération;
\n
b)activité «collecte effective des documents analogiques»
\n

Il convient en particulier de respecter les règles suivantes:

\n
1.chargement des documents analogiques dans des containers sécurisés et localisés dans le véhicule de transport 2. scellement des containers 3. approbation par la personne du client soumettant les documents analogiques de leur collecte adéquate;
\n
c)activité «conversion des documents analogiques en documents numériques»
\n

Il convient en particulier de respecter les règles suivantes:

\n
1.préparation des documents analogiques à dématérialiser en les regroupant par lot et assignement d’un identifiant unique à chaque document et à chaque lot 2. utilisation d’un mécanisme d’authentification appropriée et sécurisée par l’utilisateur du SDC-D afin d’accéder aux fonctionnalités du SDC-D pour effectuer la dématérialisation des documents analogiques 3. numérisation effective des documents analogiques contenus dans un lot avec l’insertion éventuelle de métadonnées de description et de contrôle NOTE: Il convient que la numérisation des documents analogiques contenus dans un lot ne démarre pas avant que le précédent lot de documents analogiques soit traité dans son entièreté, à moins que l’intégrité de la conversion en documents numériques des documents analogiques de ce précédent lot puisse être conservée et soit évaluable par un tiers pouvant attester de cette préservation d’intégrité.
\n
4.assignement d’un identifiant unique comme par exemple, une empreinte digitale à chaque document numérique résultant de la numérisation d’un document analogique 5. inventaire du nombre et des types d’erreurs survenues pendant le traitement du lot Si une erreur nécessite le retrait de documents analogiques, cette information doit être enregistrée dans le SDC-D comme une anomalie avec l’identifiant de chaque document concerné par cette erreur 6. vérification de l’adéquation du nombre de documents analogiques en entrée (ou du nombre de pages composant ces documents) avec le nombre de documents (ou de pages) en sortie (numériques et analogiques rejetés) pour le lot Il convient que cette vérification soit effectuée de manière automatique par le SDC-D ou de manière manuelle par l’utilisateur du SDC-D responsable de la numérisation de ce lot 7. vérification du contenu des documents numériques résultants de la numérisation de documents analogiques pour s’assurer de la reproduction conforme à l’original Mémorial A – N° 150 du 4 août 2015 3090 Il convient que cette vérification soit effectuée de manière automatique par le SDC-D ou de manière manuelle par l’utilisateur du SDC-D responsable de la numérisation de ce lot.
\n

Il convient de s’assurer de l’application du principe des quatre yeux si cette vérification est exclusivement effectuée manuellement, à savoir que cette vérification doit être effectuée par l’utilisateur du SDC-D responsable de la numérisation du lot, sous la supervision d’une tierce personne habilitée à cette tâche et pouvant attester de la reproduction fidèle du contenu des documents analogiques.

\n

Il convient de définir les conditions d’échantillonnage de cette vérification en fonction de la nature des documents, des besoins internes à l’organisation ou des clients et si une destruction des documents analogiques est programmée.

\n
8.génération d’une preuve énumérant de manière claire et explicite toutes les règles suivies pendant la dématérialisation des documents analogiques, les activités manuelles effectuées par l’utilisateur du SDC-D responsable du lot, les événements du SDC-D survenus pendant la numérisation des documents analogiques et les erreurs identifiées lors du traitement du lot 9. validation par écrit de cette preuve par l’utilisateur du SDC-D et du tiers impliqué dans la vérification manuelle du contenu des documents numériques en utilisant un dispositif sécurisé de création de signature et un certificat électronique qualifié répondant aux exigences définies par l’Union européenne en la matière 10. clôture du lot de documents analogiques à numériser et traitement des anomalies (retrait de documents à numériser) selon les procédures de gestion des incidents du SDC-D.
\n

Tout changement significatif (changement d’instructions d’exploitation des journaux d’événements, modification de la gestion des sauvegardes et de leur restauration) des procédures d’administration, d’opérations et de sécurité du système de dématérialisation SDC-D et des procédures d’exploitation du processus de dématérialisation doit être justifié et faire l’objet d’une approbation préalable des clients (internes ou externes à l’organisation) du processus de dématérialisation et qui sont impactés par ce changement.

\n

12.8.2.5 Exigences par rapport aux règles Les règles définies dans ces procédures doivent:

\n
a)être mises en œuvre et respectées par le personnel concerné (de l’organisation et des fournisseurs)
\n
b)être conformes aux lois et aux règlements en vigueur au Luxembourg
\n
c)respecter les bonnes pratiques en la matière définies dans des normes et des référentiels reconnus
\n
d)soient revues par le responsable du processus de dématérialisation de manière régulière (au moins une fois par an), suite à une modification significative du SDC-D et du processus de dématérialisation.
\n

L’exécution des procédures d’administration, d’opérations et de sécurité du système de dématérialisation SDC-D et des procédures d’exploitation du processus de dématérialisation doit être évaluable par un tiers pouvant attester de la conformité des activités effectuées par le personnel concerné par rapport aux règles définies dans ces procédures pour s’assurer que les documents analogiques ont été correctement collectés, utilisés, stockés, restitués, transférés ou détruits et que les documents numériques ont été correctement créés, stockés, exploités, restitués ou supprimés.

\n

Les preuves de la conformité des activités effectuées par le personnel concerné par rapport aux politiques et aux procédures liées au processus de dématérialisation exécuté par l’organisation doivent être conservées en utilisant des supports de stockage pérennes pour une conservation appropriée aussi longtemps que nécessaire.

\n

12.8.2.6 Preuves Les preuves suivantes doivent être conservées:

\n
a)bordereaux de récupération ou de livraison de documents analogiques
\n
b)rapports d’activités des utilisateurs du SDC-D
\n
c)rapports de mises à jour du SDC-D, d’incidents ou de changements liés au SDC-D
\n
d)rapports de revue des journaux d’événements du SDC-D.
\n

12.8.2.7 Information contenue dans la preuve Une preuve liée aux activités effectuées par le personnel concerné doit contenir en particulier les informations suivantes:

\n
a)Auteur(s) des activités effectuées
\n
b)Date(s) et heure(s) des activités effectuées
\n
c)Lieu(x) des activités effectuées
\n
d)Actif(s) utilisé(s) pour la réalisation de ces activités
\n
e)Descriptif des activités effectuées
\n
f)Problèmes ou erreurs rencontrés pendant la réalisation de ces activités
\n
g)Le client (interne ou externe).
\n

Mémorial A – N° 150 du 4 août 2015 3091 12.8.2.8 Gestion des preuves L’organisation doit définir, et documenter dans une procédure et mettre en œuvre une gestion adéquate des preuves:

\n
a)du fonctionnement du SDC-D (voir 10.11.1)
\n
b)des activités effectuées par le personnel concerné (voir 10.11.1 et 10.11.2) Autres informations Si des règles définies dans le cadre d’un projet de dématérialisation sont contraires à celles actuellement mises en œuvre par l’organisation en matière d’administration, d’opérations et de sécurité du système de dématérialisation SDC-D et en matière d’exécution des activités des processus sous-jacents au processus de dématérialisation, il convient d’effectuer une analyse de risques liée à ces règles afin d’identifier et d’évaluer les risques pouvant impacter l’organisation.
\n

Il convient que les options adoptées pour les risques évalués ainsi que le plan de traitement du risque soient définis, documentés et approuvés par les parties prenantes.

\n

Si les risques évalués sont trop élevés et ne peuvent pas être mitigés à un niveau acceptable pour l’organisation, il convient de reconsidérer le projet de dématérialisation.

\n

12.9 Conservation (objectif de sécurité additionnel à la Norme internationale ISO/IEC 27002:2013) Objectif: assurer la gestion correcte et sécurisée des documents numériques et des archives numériques dans le cadre du processus de conservation.

\n

L’organisation doit intégrer les principes d’authenticité, de fiabilité et d’exploitation dans la définition, la mise en exploitation et l’utilisation de son système de conservation SDC-C.

\n

12.9.1 Système de conservation SDC-C (mesure de sécurité additionnelle à la Norme internationale ISO/ IEC 27002:2013) 12.9.1.1 Mesure L’organisation doit pouvoir démontrer que le système de conservation SDC-C est composé d’actifs techniques et de mécanismes de sécurité:

\n
a)répondant aux besoins des clients (internes ou externes à l’organisation) du processus de conservation
\n
b)permettant de garantir l’authenticité, la fiabilité et l’exploitation des documents numériques et des archives numériques gérés par ce système.
\n

NOTE: Un système de conservation SDC-C est un système composé d’un ensemble d’actifs techniques permettant le stockage temporaire des documents numériques en vue de leur archivage, leur conversion en archives numériques, leur suppression et la conservation des archives numériques aussi longtemps que nécessaire, leur exploitation, leur restitution partielle ou totale, leur transfert et leur suppression.

\n

Exigences de mise en œuvre 12.9.1.2 Description détaillée du système de conservation SDC-C Une description détaillée du système de conservation SDC-C doit être définie et maintenue en:

\n
a)identifiant et en documentant les actifs techniques supportant les processus sous-jacents au processus de conservation, à savoir:
\n
1.la collecte des documents numériques 2. la création et la conservation des archives numériques 3. la restitution, le transfert et la suppression des archives numériques
\n
b)identifiant, en évaluant et en documentant de manière régulière les possibilités techniques du SDC-C, comme par exemple les suivantes:
\n
1.nombre maximum de documents numériques ou poids total maximum de documents numériques pouvant être transmis en une seule fois au SDC-C 2. débit de transmission des documents numériques vers le SDC-C 3. délai de réponse du SDC-C 4. fréquence d’émissions des lots de documents numériques à archiver électroniquement par le SDC-C 5. poids maximum du document numérique pouvant être transmis au SDC-C en vue de son archivage 6. protocoles sécurisés de transmission d’informations, de documents numériques et d’archives numériques, comme par exemple SFTP, TLS, PPP, L2TP et IPSec NOTE: L’identification et l’évaluation des possibilités techniques du SDC-C sont indispensables pour assurer sa conformité avec les besoins des clients (internes ou externes à l’organisation) Mémorial A – N° 150 du 4 août 2015 3092
\n
c)identifiant et en évaluant de manière régulière les capacités techniques du SDC-C et en les documentant.
\n

Le responsable du processus de conservation doit revoir les capacités techniques du SDC-C de manière régulière (au moins une fois par an), et suite à une modification significative du SDC-C et suite à un changement:

\n
1.impactant le fonctionnement de l’organisation ou la gestion opérationnelle du SDC-C 2. issu des besoins des clients (intégration d’un nouveau projet client, modification d’un projet client existant) 3. de nature légale et réglementaire ayant un impact sur le processus de conservation.
\n

NOTE: La connaissance des capacités techniques du SDC-C est indispensable à l’organisation pour assurer la disponibilité du SDC-C, la définition adéquate des projets de conservation, la planification appropriée des ressources de l’organisation en matière de conservation et la projection des futurs dimensionnements du SDC-C.

\n

12.9.1.3 Mécanismes de sécurité du système de conservation SDC-C L’organisation doit établir et documenter les mécanismes de sécurité du système de conservation SDC-C permettant d’assurer l’authenticité, la fiabilité et l’exploitation des documents numériques et des archives numériques gérés par ce système.

\n

En particulier les mécanismes de sécurité suivants doivent être établis:

\n
a)mécanismes de gestion des accès au SDC-C Les accès aux actifs techniques du SDC-C, aux documents numériques et aux archives numériques gérés par le SDC-C doivent être protégés en:
\n
1.s’assurant que les conditions d’accès à ces actifs, à ces documents et ces archives s’appliquent à toute personne physique et à tout actif tentant d’y accéder 2. établissant une gestion adéquate des comptes des utilisateurs autorisés à accéder au SDC-C et des comptes techniques des actifs techniques du SDC-C, avec une capacité de révocation immédiate de ces comptes Un compte unique doit être attribué à un utilisateur et à un actif de manière à pouvoir identifier sans ambiguité les activités et les actions système effectuées 3. établissant des mécanismes d’authentification appropriés et sécurisés pour les comptes des utilisateurs autorisés et les comptes techniques des actifs techniques du SDC-C
\n
b)mécanismes de gestion des privilèges Une gestion des privilèges pour l’ensemble des comptes des utilisateurs du SDC-C et des comptes techniques des actifs techniques du SDC-C doit être établie.
\n

En particulier l’organisation doit s’assurer d’une séparation effective des activités d’administration, d’opérations et de sécurité du SDC-C en établissant des profils de privilèges pour les comptes des utilisateurs autorisés à accéder au SDC-C de manière à réduire les risques de conflits d’intérêts et d’accès non autorisés au SDC-C, aux documents et aux archives gérés par ce système.

\n

Il convient d’attribuer à un utilisateur du SDC-C un seul des profils de privilèges suivants. Pour des raisons liées au fonctionnement de l’organisation, il est toutefois acceptable qu’un utilisateur du SDC-C dispose à la fois du profil de privilèges d’administration et du profil de privilèges d’opérations.

\n
1.profil de privilèges d’administration Il convient qu’un utilisateur disposant de ce profil puisse créer, modifier ou supprimer des comptes du SDC-C, et définir, modifier ou supprimer des paramètres associés à la gestion opérationnelle du SDC-C.
\n

Il convient que cet utilisateur ne puisse pas accéder aux éléments suivants: a. paramètres de sécurité du SDC-C, comme par exemple les conditions d’authentification des utilisateurs et des actifs techniques du SDC-C b. paramètres de surveillance et de journalisation des évènements du SDC-C c. journaux d’événements du SDC-C. d. documents numériques et archives numériques gérés par le SDC-C.

\n
2.profil de privilèges d’opérations Il convient qu’un utilisateur disposant de ce profil puisse uniquement: a. exécuter les activités d’opérations du SDC-C b. accéder aux documents numériques et archives numériques gérés par le SDC-C et les traiter dans le cadre du processus de conservation.
\n

Il convient de s’assurer que toute conversion d’archives numériques dans un format autre que son format initial et que toute modification du calendrier de suppression d’archives numériques conservées nécessitent l’approbation de 2 utilisateurs disposant de ce profil et du client de ces archives.

\n

Il convient d’interdire toute autre manipulation pouvant modifier ou supprimer les archives numériques conservées.

\n

Mémorial A – N° 150 du 4 août 2015 3093 c. assigner à un profil de privilèges d’écriture et de lecture les éléments suivants auxquels un utilisateur disposant de ce profil aura accès: i. un répertoire système du SDC-C où des documents numériques peuvent être déposés en vue de leur archivage ii. des archives numériques 3. profil de privilèges de sécurité Il convient qu’un utilisateur disposant de ce profil puisse uniquement: a. définir, modifier ou supprimer les paramètres de sécurité du SDC-C, comme par exemple les conditions d’authentification des utilisateurs du SDC-C b. définir, modifier ou supprimer les paramètres de surveillance du SDC-C et de génération de journaux d’événements du SDC-C c. accéder aux journaux d’événements du SDC-C en vue de leur exploitation.

\n
4.profils de privilèges d’écriture et de lecture Il convient de définir un profil de privilèges d’écriture et de lecture pour les comptes du personnel d’un client et qui est autorisé à accéder à distance aux éléments suivants du SDC-C: a. un répertoire système du SDC-C où des documents numériques peuvent être déposés en vue de leur archivage b. des archives numériques (lecture seule).
\n

Il convient que ce profil limite l’accès exclusivement à ce répertoire et à ces archives, qui auront été au préalable assignés à ce profil par un utilisateur du SDC-C disposant d’un profil de privilèges d’opérations.

\n

Il convient de s’assurer que toute modification ou suppression des archives numériques créées qui n’était pas programmée lors de la définition du projet de conservation nécessite l’approbation de deux utilisateurs disposant du profil de privilèges d’opérations.

\n

L’organisation doit pouvoir démontrer que les profils de privilèges établis pour l’ensemble des comptes des utilisateurs du SDC-C et des comptes techniques des actifs techniques du SDC-C respectent le principe de séparation effective des activités d’administration, d’opérations et de sécurité du SDC-C.

\n
c)mécanismes de surveillance de manière à identifier, à enregistrer et à centraliser dans des journaux tous les événements en lien avec le SDC-C, en particulier:
\n
1.l’ensemble des activités effectuées par les comptes des utilisateurs du SDC-C, incluant les activités effectuées hors de conditions normales d’utilisation du SDC-C, comme par exemple: a. les tentatives de connexion d’utilisateurs hors des heures normales de bureau b. les activités effectuées par les utilisateurs dans un laps de temps plus court que la normale, pouvant conduire à suspecter qu’elles sont réalisées par des actifs techniques et non des personnes physiques c. la duplication de sessions utilisateurs 2. les événements système des actifs du SDC-C 3. les événements liés aux documents et archives numériques traités par le SDC-C 4. les erreurs et dysfonctionnements des actifs du SDC-C 5. les événements du SDC-C liés à la génération de journaux d’événements Les journaux d’événements générés doivent être exploitables, conservés et protégés contre toute manipulation et suppression non autorisée pour assurer une traçabilité aussi longtemps que nécessaire de tous les événements enregistrés par ces mécanismes de surveillance.
\n
d)mécanismes cryptographiques de sécurité devant assurer:
\n
1.une authentification appropriée et sécurisée protégeant l’accès aux actifs techniques du SDC-C, aux documents numériques et aux archives numériques gérés par le SDC-C Un dispositif sécurisé doit être utilisé, comme par exemple une carte à puce ou une clé USB cryptographique contenant un certificat électronique d’authentification, un token d’authentification ou des techniques de biométrie pour s’assurer de l’authentification sécurisée d’un utilisateur aux actifs techniques du SDC-C, aux documents numériques et aux archives numériques gérés par le SDC-C Il convient d’utiliser un dispositif de filtrage d’adresses IP associé à un moyen cryptographique, comme par exemple un certificat SSL, pour s’assurer de l’authentification sécurisée d’un actif technique du SDC-C aux autres actifs du SDC-C, aux documents numériques et aux archives numériques gérés par le SDC-C.
\n
2.une signature sécurisée des utilisateurs du SDC-C Un dispositif sécurisé doit être utilisé, pour permettre: a. à un utilisateur du SDC-C de signer électroniquement des rapports d’activités d’administration, d’opérations et de sécurité du SDC-C de manière à s’assurer de l’authenticité des activités effectuées b. à une personne de l’organisation de signer électroniquement les transmissions d’informations, de documents numériques et d’archives numériques à destination des clients (internes ou externes à l’organisation) et des autorités compétentes de manière à s’assurer de l’authenticité des envois.
\n

Mémorial A – N° 150 du 4 août 2015 3094 Le dispositif sécurisé de création de signature électronique et le certificat électronique qualifié utilisés doit répondre aux exigences définies par l’Union européenne en la matière.

\n

Il convient également d’utiliser des formats de signatures électroniques comme par exemple CAdES [5], XAdES [6] et PAdES [7] pour maintenir une pérennité de la signature électronique, des informations, des documents numériques et des archives numériques attachés à cette signature.

\n
3.une transmission sécurisée d’informations et de documents numériques Un protocole sécurisé (SFTP, TLS, PPP, L2TP et IPSec, …), doit être utilisé pour sécuriser la transmission d’informations, de documents numériques et d’archives numériques entre les éléments suivants: a. les actifs techniques du SDC-C, même pour ceux appartenant à un même réseau b. les parties concernées par le processus de conservation comme l’organisation, les clients (internes ou externes à l’organisation) et les autorités compétentes.
\n
4.une intégrité des documents numériques collectés par le SDC-C et des archives numériques générées par le SDC-C pour s’assurer que ces documents sont correctement stockés, traités et supprimés et que ces archives sont correctement crées, exploitées, restituées, transférés ou supprimées Il convient que pour chaque document numérique à archiver son empreinte digitale soit calculée par l’émetteur de ce document et transmise de manière sécurisée à l’organisation qui vérifiera l’intégrité du document numérique reçu en calculant et en obtenant une empreinte digitale identique à celle transmise par l’émetteur du document.
\n

Cette empreinte doit par la suite être: a. associée à l’archive numérique créée à partir du document numérique en tant que métadonnée de contrôle b. utilisée comme un identifiant unique de l’archive numérique lors de sa conservation, de son exploitation, de sa restitution ou de son transfert pour maintenir son intégrité durant l’exécution du processus de conservation.

\n

NOTE: L’utilisation de 2 empreintes digitales calculées à partir de 2 algorithmes de calcul d’empreintes digitales différents pour identifier des archives numériques gérées par le SDC-C peut apporter un niveau d’assurance supplémentaire dans la pérennité de l’intégrité des archives numériques en réduisant les risques liés à l’obsolescence cryptographique.

\n
5.une intégrité dans le temps des journaux d’événements Il convient en particulier de s’assurer de: a. l’établissement d’un schéma de liaison pour lier les évènements enregistrés d’un journal entre eux permettant de détecter toute suppression d’événements survenus par le passé b. l’horodatage régulier, par exemple une fois par jour, des journaux d’événements par une autorité d’horodatage qualifiée.
\n
e)mécanisme de détection et de suppression de codes malveillants contenus dans des documents numériques collectés en vue de leur archivage Au minimum un antivirus doit être utilisé pour vérifier que tous les documents numériques collectés en vue de leur archivage ne contiennent pas de codes malveillants, comme des virus, des chevaux de Troie et des vers de réseau.
\n

Cet antivirus doit être utilisé dès la réception par le SDC-C des documents numériques et avant le démarrage du processus de création des archives numériques.

\n

NOTE: L’emploi de deux antivirus différents doit apporter un niveau de sécurité supplémentaire pour lutter contre les codes malveillants.

\n
f)mécanismes de contrôle régulier de l’intégrité du SDC-C pour s’assurer que:
\n
1.le fonctionnement du SDC-C n’a pas été altéré suite à des: a. opérations de maintenance ou des mises à jour b. remplacements d’actifs du SDC-C comme par exemple la plate-forme d’archivage électronique ou des composants de ces actifs comme par exemple les supports de stockage 2. les fichiers de configurations du SDC-C n’ont pas été modifiés de manière non autorisée 3. l’intégrité des éléments suivants est préservée: a. documents numériques stockés b. archives numériques conservées et métadonnées associées c. journaux d’événements.
\n
g)mécanismes de suppression sécurisée des documents et archives numériques, comme par exemple une réécriture multiple sur les informations ne permettant plus de les retrouver en l’état
\n
h)mécanismes de conversion (si nécessaire) des archives numériques dans un format différent de leur format original.
\n

Mémorial A – N° 150 du 4 août 2015 3095 12.9.1.4 Preuves de la conformité Les preuves de la conformité du fonctionnement du SDC-C et des activités effectuées par le personnel concerné par rapport aux politiques et aux procédures liées au processus de conservation exécuté par l’organisation doivent être conservés en utilisant des supports de stockage pérennes pour une conservation appropriée aussi longtemps que nécessaire.

\n

Les preuves suivantes doivent être conservées:

\n
a)journaux d’événements du SDC-C
\n
b)les événements liés aux documents et archives numériques traités par le SDC-C
\n
c)rapports d’activités des utilisateurs du SDC-C
\n
d)rapports de mises à jour du SDC-C, d’incidents ou de changements liés au SDC-C
\n
e)jetons d’horodatage générés dans le cadre du fonctionnement du SDC-C et des activités des utilisateurs du SDC-C
\n
f)signatures électroniques des utilisateurs du SDC-C NOTE: L’organisation doit pouvoir démontrer la validité de la signature électronique d’un utilisateur du SDC-C aussi longtemps que nécessaire en démontrant qu’au moment de la signature électronique le certificat électronique qualifié de l’utilisateur était valide et issu d’une autorité de certification reconnue.
\n

Plusieurs techniques sont possibles à cette fin comme par exemple les suivantes:

\n
1.utilisation du protocole de vérification en ligne de certificats (OCSP) de l’autorité de certification émettrice du certificat électronique qualifié 2. horodatage du rapport d’activités signé et récupération de la liste de révocation des certificats (CRL) publiée régulièrement par l’autorité de certification émettrice du certificat électronique qualifié.
\n

Il convient d’utiliser des supports de stockage pérenne pour une conservation appropriée des archives numériques aussi longtemps que nécessaire.

\n

12.9.1.5 Conformité par rapport aux lois et aux règlements en vigueur au Luxembourg

\n
a)le système de conservation SDC-C et les mécanismes de sécurité associés doivent être conformes aux lois et aux règlements en vigueur au Luxembourg.
\n
b)le fonctionnement du SDC-C et celui des mécanismes de sécurité du SDC-C doivent être évaluables par un tiers pouvant attester de la conformité de leur fonctionnement et des activités effectuées par le personnel concerné par rapport à la description détaillée du système de conservation SDC-C et par rapport aux spécifications des mécanismes de sécurité du SDC-C.
\n

Cette évaluation doit permettre de s’assurer que les documents numériques collectés ont été correctement conservés sous la forme d’archives numériques et par la suite supprimés, et que ces archives ont été correctement exploitées, restituées, transférées ou supprimées.

\n

L’organisation doit en particulier pouvoir démontrer que le niveau général de sécurité du SDC-C est conforme aux bonnes pratiques en la matière, notamment en démontrant que les actifs critiques du SDC-C et les mécanismes de sécurité, comme par exemple les mécanismes cryptographiques, ont été évalués et certifiés par des organismes indépendants spécialisés dans ce type de revues ou qu’ils sont conformes à des normes ou des référentiels reconnus et qu’ils sont utilisés conformément aux bonnes pratiques en la matière.

\n

NOTE: La Norme ETSI TS 102 176-1 [8] énumère des algorithmes cryptographiques et recommande une durée de validité de leur utilisation.

\n

Tout changement significatif programmé (modification d’actifs techniques critiques, suppression d’un mécanisme critique de sécurité) du SDC-C doit être justifié et faire l’objet d’une approbation préalable des clients (internes ou externes à l’organisation) du processus de conservation et qui sont impactés par ce changement.

\n

La description détaillée du système de conservation SDC-C et les spécifications des mécanismes de sécurité du SDC-C doivent être revues par le responsable du processus de conservation de manière régulière (au moins une fois par an) suite à une modification significative du SDC-C et du processus de conservation.

\n

12.9.2 Utilisation correcte du système de conservation SDC-C (mesure de sécurité additionnelle à la Norme internationale ISO/IEC 27002:2013) 12.9.2.1 Mesure Les procédures d’administration, d’opérations et de sécurité du système de conservation SDC-C et d’exploitation du processus de conservation doivent être définies, mises en œuvre et respectées par le personnel concerné (de l’organisation et des fournisseurs).

\n

Ces procédures doivent être considérées dans la définition et la mise en œuvre des projets de conservation.

\n

Mémorial A – N° 150 du 4 août 2015 3096 Exigences de mise en œuvre 12.9.2.2 Règles à suivre pour l’exécution des activités d’administration, d’opérations et de sécurité du système de conservation SDC-C Les règles à suivre pour l’exécution des activités d’administration, d’opérations et de sécurité du système de conservation SDC-C, doivent être définies et de documentées dans des procédures, dont les suivantes:

\n
a)gestion des accès au SDC-C et des privilèges associés aux comptes du SDC-C
\n
b)gestion des fonctionnalités d’administration, d’opérations et de sécurité du SDC-C et instructions pour les exécuter
\n
c)gestion de la configuration du SDC-C
\n
d)instructions du fonctionnement du SDC-C en mode dégradé, de son redémarrage et de sa récupération
\n
e)gestion des mécanismes de surveillance du SDC-C
\n
f)gestion des journaux d’événements du SDC-C et instructions pour leur exploitation
\n
g)gestion des mécanismes cryptographiques de sécurité du SDC-C, comme les suivants:
\n
1.mécanismes d’authentification et de signature des utilisateurs du SDC-C 2. protocoles sécurisés de transmission d’informations, de documents numériques et d’archives numériques 3. mécanismes d’intégrité des documents numériques, des archives numériques et des journaux d’événements NOTE: Il convient que ces procédures de gestion adressent également le remplacement des mécanismes cryptographiques pour lesquelles des vulnérabilités sont détectées. Leur remplacement ne doit pas altérer le fonctionnement ni l’intégrité du SDC-C.
\n
h)gestion des mécanismes de détection et de suppression de codes malveillants NOTE: En cas de collecte par le SDC-C de documents numériques contenant des codes malveillants, l’organisation doit:
\n
1.avertir l’émetteur de ces documents dans les plus brefs délais afin qu’il mette en place des actions correctives appropriées 2. supprimer le code malveillant en utilisant des outils de détection et de suppression des codes malveillants (antivirus).S’il s’avère impossible de supprimer le code malveillant, le document doit être supprimé.
\n
i)gestion des mécanismes de contrôle régulier d’intégrité du SDC-C L’organisation doit s’assurer que l’intégrité du fonctionnement du SDC-C, des documents numériques et des archives numériques gérés par le SDC-C soit vérifiée de manière régulière, suite à une modification significative du SDC-C et du processus de conservation.
\n

Pour les cas de perte d’intégrité du fonctionnement du SDC-C, de documents numériques et d’archives numériques gérés par le SDC-C, l’organisation doit documenter dans une procédure les instructions précisant à partir de quel moment les procédures de gestion d’incidents doivent être activées, la manière dont les procédures de restauration doivent être utilisées et à quel moment les clients (internes ou externes à l’organisation) concernés et l’ILNAS doivent être avertis de cet incident.

\n
j)gestion des mécanismes de suppression des documents numériques et des archives numériques gérées par le SDC-C
\n
k)gestion des supports de stockage du SDC-C, de leur remplacement et de leur mise au rebut
\n
l)gestion des sauvegardes du SDC-C, des sauvegardes des documents numériques et des archives numériques gérés par le SDC-C et de leur restauration respective
\n
m)gestion de la continuité et de la reprise du SDC-C même en cas de désastre
\n
n)gestion des changements du SDC-C
\n
o)gestion des incidents pouvant impacter le SDC-C
\n
p)maintenance des actifs techniques avec gestion du support des fournisseurs en cas de dysfonctionnement du SDC-C
\n
q)gestion des métadonnées de description et de contrôle associées aux archives numériques.
\n

Ces procédures doivent être mises en œuvre et respectées par le personnel concerné (de l’organisation et des fournisseurs).

\n

12.9.2.3 Règles à suivre dans le cadre de l’exécution des activités de conservation L’organisation doit définir et documenter dans des procédures les règles à suivre dans le cadre de l’exécution des activités des processus suivants sous-jacents au processus de conservation:

\n
a)la collecte des documents numériques
\n
b)la création et la conservation des archives numériques NOTE: La conversion d’une archive numérique dans un format différent de son format initial ne doit s’appliquer que sur demande écrite du client (interne à l’organisation et externe) concerné par cette archive. Cette conversion est optionnelle et n’est pas obligatoirement proposée par l’organisation. Une identification et une évaluation des risques en matière de perte d’authenticité, de fiabilité et d’exploitation de l’archive numérique concernée doit été réalisée. Les risques évalués doivent être acceptés par le client concerné.
\n

Mémorial A – N° 150 du 4 août 2015 3097

\n
c)la restitution, le transfert et la suppression des archives numériques La suppression d’un document numérique collecté par l’organisation dans le cadre du processus de conservation doit uniquement être réalisée à compter de sa conservation effective en tant qu’archive numérique par le SDC-C.
\n

L’organisation doit notifier le client d’une suppression programmée d’une archive numérique du client si un calendrier de suppression spécifique à cette archive a été rédigé lors de la définition du projet de conservation.

\n

En cas d’absence de calendrier de suppression pour une archive numérique, l’organisation doit demander au préalable au client l’autorisation de la supprimer.

\n

12.9.2.4 Exemples Voici des exemples de règles à suivre pour certaines activités des processus sous-jacents:

\n
a)Activité «collecte des documents numériques»
\n

Exemples de règles à suivre pour cette activité:

\n
1.vérification du nombre de documents numériques collectés en vue de leur archivage électronique et de leur intégrité par rapport aux informations transmises par le client 2. surveillance de la remontée d’alertes du SDC-C pour s’assurer que les documents numériques collectés ne contiennent pas de codes malveillants 3. inventaire du nombre et des types d’erreurs survenues pendant la collecte des documents numériques Si une erreur nécessite le retrait de documents numériques, cette information doit être enregistrée dans le SDC-C comme une anomalie avec l’identifiant de chaque document concerné par cette erreur.
\n
4.génération par le SDC-C d’une preuve attestant de la collecte effective des documents numériques en les énumérant avec leur identifiant associé, en mentionnant la date et l’heure de leur collecte par le SDC-C et en signalant les erreurs survenues pendant leur collecte 5. validation par écrit de cette preuve par un utilisateur du SDC-C en utilisant un dispositif sécurisé de création de signature et un certificat électronique qualifié répondant aux exigences définies par l’Union européenne en la matière 6. horodatage de la preuve signée par une autorité d’horodatage qualifiée 7. transmission de la preuve signée et horodatée au client par l’utilisation d’un protocole sécurisé de transmission d’information.
\n

Tout changement significatif (changement d’instructions d’exploitation des journaux d’événements, modification de la gestion des sauvegardes et de leur restauration) des procédures d’administration, d’opérations et de sécurité du système de conservation SDC-C et des procédures d’exploitation du processus de conservation doit être justifié et faire l’objet d’une approbation préalable des clients (internes ou externes à l’organisation) du processus de conservation et qui sont impactés par ce changement.

\n

12.9.2.5 Exigences par rapport aux règles Les règles définies dans ces procédures doivent:

\n
a)être mises en œuvre et respectées par le personnel concerné (de l’organisation et des fournisseurs)
\n
b)être conformes aux lois et aux règlements en vigueur au Luxembourg
\n
c)respecter les bonnes pratiques en la matière définies dans des normes et des référentiels reconnus
\n
d)être revues par le responsable du processus de conservation de manière régulière (au moins une fois par an), suite à une modification significative du SDC-C et du processus de conservation.
\n

L’exécution des procédures d’administration, d’opérations et de sécurité du système de conservation SDC-C et des procédures d’exploitation du processus de conservation doit être évaluable par un tiers pouvant attester de la conformité des activités effectuées par le personnel concerné par rapport aux règles définies dans ces procédures pour s’assurer que les documents numériques ont été correctement collectés, utilisés et détruits, et que les archives numériques ont été correctement créées, exploitées, restituées, transférées ou supprimées.

\n

Il convient de conserver les preuves de la conformité des activités effectuées par le personnel concerné par rapport aux politiques et aux procédures liées au processus de conservation exécuté par l’organisation en utilisant des supports de stockage pérenne pour une conservation appropriée aussi longtemps que nécessaire.

\n

12.9.2.6 Preuves En particulier les preuves suivantes doivent être conservées:

\n
a)rapports de conversion d’un lot de documents numériques en archives numériques
\n
b)rapports d’activités des utilisateurs du SDC-C
\n
c)rapports de mises à jour du SDC-C, d’incidents ou de changements liés au SDC-C
\n
d)rapports de revue des journaux d’événements du SDC-C.
\n

Mémorial A – N° 150 du 4 août 2015 3098 12.9.2.7 Information contenue dans la preuve Une preuve liée aux activités effectuées par le personnel concerné doit contenir en particulier les informations suivantes:

\n
a)Auteur(s) des activités effectuées.
\n
b)Date(s) et heure(s) des activités effectuées
\n
c)Lieu(x) des activités effectuées
\n
d)Actif(s) utilisé(s) pour la réalisation de ces activités
\n
e)Descriptif des activités effectuées
\n
f)Problèmes ou erreurs rencontrés pendant la réalisation de ces activités
\n
g)Le client (interne ou externe).
\n

12.9.2.8 Gestion des preuves L’organisation doit définir, documenter dans une procédure et mette en œuvre une gestion adéquate des preuves:

\n
a)du fonctionnement du SDC-C (voir 10.12.1)
\n
b)des activités effectuées par le personnel concerné (voir 10.12.1 et 10.12.2) Autres informations Si des règles définies dans le cadre d’un projet de conservation sont contraires à celles actuellement mises en œuvre par l’organisation en matière d’administration, d’opérations et de sécurité du système de conservation SDC-C et en matière d’exécution des activités des processus sous-jacents au processus de conservation, il convient d’effectuer une analyse de risques afin d’identifier et d’évaluer les risques liés à ces règles et pouvant impacter l’organisation.
\n

Il convient que les options adoptées pour les risques évalués ainsi que le plan de traitement du risque soient définis, documentés et approuvés par les parties prenantes.

\n

Si les risques évalués sont trop élevés et ne peuvent pas être mitigés à un niveau acceptable pour l’organisation, il convient de reconsidérer le projet de conservation.

\n

14 Acquisition, développement et maintenance des systèmes d’information (clause existante de la Norme internationale ISO/IEC 27002:2013) 14.1 Exigences de sécurité applicables aux systèmes d’information (objectif de sécurité existant de la Norme internationale ISO/IEC 27002:2013) 14.1.1 Analyse et spécification des exigences de sécurité de l’information (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 14.1.1 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

\n

Exigences de mise en œuvre L’organisation doit s’assurer et pouvoir démontrer que les applications critiques et les systèmes d’information supportant le système de dématérialisation ou de conservation SDC-DC, SDC-D ou SDC-C sont réalisés en respectant des méthodes de développement sécurisé reconnues.

\n
15.Relations avec les fournisseurs (clause existante de la Norme internationale ISO/IEC 27002:2013) La clause 15 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:
\n

15.1 Sécurité de l’information dans les relations avec les fournisseurs (objectif de sécurité existant de la Norme internationale ISO/IEC 27002:2013) 15.1.2 La sécurité dans les accords conclus avec les fournisseurs (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 15.1.2 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

\n

Exigences de mise en œuvre L’organisation doit inclure les conditions suivantes dans le document contractuel établi avec le fournisseur supportant les processus de dématérialisation ou de conservation exécutés par l’organisation:

\n
a)des dispositions quant à la propriété des produits et des services, comme par exemple des documents et des applications, fournis par le fournisseur dans le cadre de son support aux processus de dématérialisation ou de conservation exécutés par l’organisation NOTE: Il est recommandé d’instaurer le principe de dépôts des codes source chez un tiers pour toute application fournie par le fournisseur à l’organisation.
\n

Mémorial A – N° 150 du 4 août 2015 3099

\n
b)des dispositions quant à la continuité de la délivrance des produits et des services fournis par le fournisseur dans le cadre de son support aux processus de dématérialisation ou de conservation exécutés par l’organisation, même en cas de désastre
\n
c)le respect de la politique de dématérialisation ou de la politique de conservation de l’organisation
\n
d)des mesures garantissant:
\n
1.une notification dans les plus brefs délais des changements sécuritaires appliqués aux actifs du fournisseur et de ses fournisseurs pouvant impacter les processus de dématérialisation ou de conservation exécutés par l’organisation 2. que les informations de l’organisation accédées par le fournisseur et ses fournisseurs seront utilisées exclusivement pour les finalités pour lesquelles elles ont été rendues accessibles au fournisseur et à ses fournisseurs 3. que les changements de fournisseurs du fournisseur impliqués dans le support des processus de dématérialisation ou de conservation exécutés par l’organisation seront sujets à approbation préalable de l’organisation
\n
e)l’engagement du fournisseur à coopérer avec l’organisation dans le cadre d’investigations effectuées par l’organisation pour la résolution d’un incident pouvant impacter les services ou produits fournis à l’organisation par le fournisseur et dont l’origine présumée ou avérée est autre que le fournisseur ou ses fournisseurs
\n
f)le droit d’auditer les fournisseurs du fournisseur de manière équivalente à ce dernier et dans le périmètre de leur implication au niveau des processus de dématérialisation ou de conservation exécutés par l’organisation
\n
g)la conformité du fournisseur et de ses fournisseurs aux lois et aux règlements en vigueur au Luxembourg
\n
h)les points de contacts de chaque partie concernée par le document contractuel, d’un point de vue contractuel, opérationnel et de la sécurité de l’information.
\n

15.1.4 La sécurité dans les accords avec les clients (mesure de sécurité additionnelle à la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 15.1.4 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

\n

Mesure L’organisation doit définir les conditions d’exécution des processus de dématérialisation ou de conservation processus, ainsi que les besoins de sécurité de l’information associés à ces processus avec le client (interne ou externe à l’organisation).

\n

L’organisation doit documenter ces conditions d’exécution et ces besoins de sécurité dans un document contractuel approuvé par le client et l’organisation.

\n

Exigences de mise en œuvre L’organisation doit identifier, déterminer et documenter dans un document contractuel les éléments suivants avec le client dans le cadre de l’établissement d’un projet de dématérialisation ou de conservation:

\n
a)le besoin en informations du client liées aux processus de dématérialisation ou de conservation NOTE: Les informations suivantes sont par exemple susceptibles d’être transmises par l’organisation au client, sous réserve au préalable de son acceptation par écrit d’un engagement de confidentialité:
\n
1.document attestant le statut de «PSDC» de l’organisation selon les exigences de sécurité et les mesures de sécurité définis dans la présente règle technique 2. politiques et procédures de l’organisation supportant les processus de dématérialisation ou de conservation 3. profil (résumé de l’expérience professionnelle et des qualifications) du personnel (de l’organisation et des fournisseurs) impliqué dans les processus de dématérialisation ou de conservation 4. description des fournisseurs supportant les processus de dématérialisation ou de conservation, comme par exemple l’autorité de certification délivrant les certificats électroniques qualifiés et l’autorité d’horodatage qualifiée délivrant les jetons d’horodatage qualifiés
\n
b)la description détaillée du projet de dématérialisation ou de conservation, en prenant en compte les aspects techniques, opérationnels, de sécurité de l’information, légaux et réglementaires Cette description doit se baser et faire référence aux politiques et aux procédures supportant les processus de dématérialisation ou de conservation préalablement établies par l’organisation.
\n

La description détaillée du projet de dématérialisation ou de conservation doit inclure les éléments suivants:

\n
1.domaine d’application du projet (documents du client à dématérialiser ou à collecter): a. Les documents du client concernés par le projet de dématérialisation ou de conservation doivent être identifiés, leur nature, comme par exemple fiscale, légale ou commerciale, et les processus actuels du client à l’origine de la création de ces documents.
\n

NOTE: Si ces processus impactent également d’autres documents, ces derniers doivent être listés de manière à valider qu’ils ne font pas partie du domaine d’application du projet.

\n

Mémorial A – N° 150 du 4 août 2015 3100 b. L’organisation doit identifier et évaluer les risques associés à la perte d’authenticité, de fiabilité et d’exploitation des documents concernés par le projet.

\n

Chaque risque identifié devrait être évalué selon une méthode d’appréciation du risque définie et commune au client et à l’organisation, de manière à en faciliter la compréhension.

\n

Les options adoptées pour les risques évalués ainsi que le plan de traitement du risque doivent être définis, documentés et acceptés par le client et l’organisation.

\n

NOTE: Il convient d’utiliser l’analyse de risques effectué dans le cadre du SMSI et lié à l’établissement des processus de dématérialisation ou de conservation afin d’identifier et d’évaluer les risques spécifiques aux documents concernés par le projet.

\n
2.éléments opérationnels et techniques nécessaires à la collecte des documents à dématérialiser ou à conserver: a. format, grammage (dans le cadre la dématérialisation) et structure des documents à collecter b. type de collecte (manuelle, automatique) des documents c. moment de collecte des documents, volumétrie et fréquence de collecte d. exigences et niveaux de classification, incluant la définition de la durée de rétention, des documents collectés (analogiques et numériques), des documents numériques résultant de la numérisation des documents analogiques ou des archives numériques NOTE 1: Il est recommandé que le client définisse avec l’organisation les niveaux de classification des documents concernés par le projet, leur durée de rétention respective et les droits d’accès associés.
\n

Ces droits doivent être mis en œuvre par l’organisation aussi longtemps que des documents concernés par le projet sont sous sa responsabilité.

\n

Si le client émet des exigences particulières en matière de classification de documents ou d’archives numériques ou de règles d’accès, il appartient à l’organisation d’identifier et d’évaluer les risques inhérents à cette demande.

\n

Les options adoptées pour les risques évalués ainsi que le plan de traitement du risque doivent être définis, documentés et acceptés par le client et l’organisation.

\n

NOTE 2: Le client doit être sensibilisé quant au fait qu’il est responsable des exigences de classification définies et appliquées à ses documents (documents collectées, documents numériques ou archives numériques). e. calendriers et méthodes de restitution, de transfert, de destruction et de suppression des documents collectés (analogiques et numériques), des documents numériques résultant de la numérisation des documents analogiques ou des archives numériques NOTE: Les événements déclencheurs, comme le début effectif de la durée légale de rétention des documents ou des archives numériques, doivent être considérés dans la définition des calendriers de destruction et de suppression de ces documents ou de ces archives.

\n
3.Au minimum, un niveau de classification de «confidentiel» doit être assigné par défaut par l’organisation pour tout type de document confié par un client et pour lequel le client n’a pas défini spécifiquement de niveau de classification et les mesures associées. L’organisation doit aussi s’assurer que le client est informé de mesures associées au niveau de classification «confidentiel», au minimum en les incluant au contrat.
\n
4.éléments nécessaires à la création des documents numériques résultant de la numérisation des documents analogiques ou des archives numériques: a. les métadonnées de description, comme l’identification des clients, la nature des documents concernés par le projet Les métadonnées doivent inclure les sources à partir desquelles elles ont été capturées. b. les métadonnées de contrôle associées à l’exécution de la dématérialisation ou de la conservation et générées par les actifs techniques (scanners, plateforme d’archivage) du système de dématérialisation ou de conservation SDC c. format et structure des documents numériques résultant de la numérisation des documents analogiques ou des archives numériques à créer d. délai de création des documents numériques résultants de la numérisation des documents analogiques ou des archives numériques à partir du moment où les originaux ont été collectés, comme par exemple, dans les 24 heures suivant leur collecte e. conditions de stockage temporaire des documents numériques résultant de la numérisation des documents analogiques et de leur disponibilité dans le temps, même en cas d’indisponibilité du système de dématérialisation SDC-D f. conditions de conservation aussi longtemps que nécessaire des archives numériques et de leur disponibilité dans le temps, même en cas d’indisponibilité du système de conservation SDC-C g. conditions de conversion (si nécessaire) des archives numériques dans un format différent que le format initial 5. éléments nécessaires à la restitution, au transfert, à la destruction et à la suppression des documents collectés (analogiques et numériques), des documents numériques résultant de la numérisation des documents analogiques ou des archives numériques:
\n

Mémorial A – N° 150 du 4 août 2015 3101 a. mécanismes d’autorisation relatifs aux processus de restitution, de transfert, de destruction et de suppression b. conditions de restitution, de transfert, de destruction et de suppression des documents collectés (analogiques et numériques), des documents numériques résultant de la numérisation des documents analogiques ou des archives numériques Exemples de conditions:

\n
1.utilisation d’un transporteur ou d’un conditionnement spécifique dans le cadre de la restitution des documents analogiques 2. utilisation d’une déchiqueteuse pour la destruction des documents analogiques 3. utilisation de méthodes sécurisées et reconnues pour la suppression des archives numériques Ces conditions doivent être mises en application et supervisées de manière appropriée. c. Les informations relatives à la traçabilité de la dématérialisation ou de la conservation des documents et archives numériques concernés par le projet et qui devraient être conservées par l’organisation aussi longtemps que nécessaire
\n
c)La base de référence des mesures de sécurité et les mesures additionnelles mises en exploitation au niveau du système de dématérialisation ou de conservation SDC permettant d’assurer l’authenticité, la fiabilité et l’exploitation des documents collectés (analogiques et numériques), des documents numériques et des archives numériques du client pendant l’exécution des processus de dématérialisation ou de conservation A partir des spécifications des mécanismes de sécurité, l’organisation doit définir les mesures organisationnelles et techniques de la sécurité de l’information à mettre en œuvre dans le cadre du projet de dématérialisation ou de conservation pour protéger les éléments suivants tout au long de l’exécution des processus de dématérialisation ou de conservation:
\n
1.les documents collectés (analogiques et numériques) 2. les documents numériques résultant de la numérisation des documents analogiques 3. les archives numériques.
\n
d)les niveaux de service liés à l’exécution du système de dématérialisation ou de conservation SDC NOTE: L’Annexe D décrit des exemples de niveaux de service liés à l’exécution des processus de dématérialisation ou de conservation.
\n
e)la gestion des changements organisationnels et techniques pouvant impacter les processus de dématérialisation ou de conservation, ainsi que le système de dématérialisation ou de conservation SDC
\n
f)la gestion des incidents (majeurs) impactant les processus de dématérialisation ou de conservation, ainsi que le système de dématérialisation ou de conservation SDC
\n
g)le processus et les modalités à appliquer pour l’évaluation des services ainsi que l’acceptation des services par le client
\n
h)le plan des tests pour s’assurer du respect de la définition du projet de dématérialisation ou de conservation pendant sa mise en œuvre
\n
i)les rôles et responsabilités du client et de l’organisation dans le cadre de la mise en œuvre du projet et les conséquences en cas de non-respect de ces rôles et de ces responsabilités Il convient que le client s’engage en particulier à:
\n
1.respecter les dispositions définies dans le document contractuel établi avec l’organisation et relatif à son projet de dématérialisation ou de conservation défini avec l’organisation 2. soumettre à l’organisation des documents analogiques à dématérialiser ou numériques à conserver qui n’entravent pas les lois et réglementations applicables au Luxembourg et conformément aux dispositions définies dans le document contractuel encadrant le projet, comme par exemple le format et la structure des archives numériques à créer Si tel était le cas, il convient que le client s’engage à en informer l’organisation dans les plus brefs délais et à assumer les conséquences de la soumission de documents dans un format, une structure ou d’une nature différente de celle définie dans le document contractuel.
\n
3.informer l’organisation dans un délai raisonnable de tout changement des exigences et du niveau de classification associés aux documents collectés (analogiques et numériques), des documents numériques résultant de la numérisation des documents analogiques ou des archives numériques 4. prendre des précautions adéquates lors de: a. l’accès aux documents numériques résultant de la numérisation des documents analogiques ou aux archives numériques b. l’accès et l’utilisation du système de dématérialisation ou de conservation SDC 5. fournir et maintenir une liste de personnes autorisées à: a. soumettre et à récupérer des documents analogiques b. accéder aux documents numériques résultant de la numérisation des documents analogiques ou aux archives numériques Mémorial A – N° 150 du 4 août 2015 3102 c. utiliser le système de dématérialisation ou de conservation SDC d. demander la destruction et la suppression des documents collectés (analogiques et numériques), des documents numériques résultant de la numérisation des documents analogiques ou des archives numériques.
\n

L’organisation doit en particulier s’engager à:

\n
1.respecter les dispositions définies dans le document contractuel établi avec le client et relatif au projet de dématérialisation ou de conservation du client 2. informer le client de tout changement et incident significatif pouvant impacter: a. les documents du client, en particulier: i. les documents collectés (analogiques et numériques) ii. les documents numériques résultant de la numérisation des documents analogiques iii. les archives numériques b. les processus de dématérialisation ou de conservation utilisés par le client ou pour son compte c. le système de dématérialisation ou de conservation SDC utilisé par le client ou pour son compte.
\n

Tout changement significatif doit être justifié, documenté et accepté par le client.

\n

Si la notification d’un changement significatif ne pouvait pas être effectuée avant son établissement, l’organisation doit en informer le client dans les meilleurs délais, analyser et évaluer les risques éventuels dus à ce changement pouvant impacter le client.

\n

Les risques jugés inacceptables doivent être traités par des actions correctives approuvées par le client.

\n
3.informer dans les plus brefs délais le client en cas de survenance d’incidents pouvant impacter: a. les documents du client b. les processus de dématérialisation ou de conservation utilisés par le client ou pour son compte c. le système de dématérialisation ou de conservation SDC utilisé par le client ou pour son compte L’organisation doit effectuer les investigations nécessaires en vue de remédier aux incidents identifiés.
\n
4.informer dans les plus brefs délais le client en cas de tentatives d’accès aux documents du client gérés par l’organisation avec les identifiants de connexion du client et hors des conditions normales de leur utilisation, comme par exemple hors des heures normales de bureau 5. sensibiliser le client quant aux mesures de sécurité à mettre en œuvre pour un accès sécurisé aux documents numériques résultant de la numérisation des documents analogiques ou aux archives numériques Exemples de mesures de sécurité: a. sécurisation (protection des mots de passe, antivirus) des stations de travail et autres périphériques utilisés pour l’accès aux documents b. ne pas divulguer des identifiants de connexion à des personnes n’ayant pas l’autorisation du client de les connaître 6. documenter toutes les décisions relatives aux restitutions, aux transferts, aux destructions et aux suppressions des documents ou des archives numériques liés au client Il convient en particulier que l’organisation: a. notifie au préalable le client et dans un délai raisonnable de la destruction ou de la suppression programmée(s) des documents, conformément au calendrier de destruction ou de suppression associé et défini dans le cadre du projet de dématérialisation ou de conservation de ces documents b. obtienne l’approbation par écrit du client avant d’entamer la destruction ou la suppression de ses documents ou de ses archives numériques si aucun calendrier de destruction ou de suppression n’a été défini spécifiquement pour ces documents ou ces archives.
\n
j)points de contacts du client et de l’organisation, d’un point de vue contractuel, opérationnel et de la sécurité de l’information.
\n

18 Conformité La clause 18 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

\n

18.1 Conformité aux obligations légales et réglementaires 18.2.1 Revue indépendante de la sécurité de l’information (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 18.2.1 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

\n

Exigences de mise en œuvre L’approche et l’implémentation de la gestion de la sécurité de l’information (c.-à-d. objectifs de contrôle, mesures, politiques, processus et procédures pour la gestion de la sécurité de l’information) doivent être revues de manière indépendante à intervalle régulier et suite à des changements significatifs. La revue doit inclure les activités de dématérialisation et de conservation.

\n

Mémorial A – N° 150 du 4 août 2015 3103 Informations supplémentaires Des revues indépendantes doivent être réalisées en matière de gestion des risques pouvant impacter la stabilité financière de l’organisation, de manière à s’assurer de l’adéquation et de l’efficacité de l’approche de l’organisation en matière de gestion de ces risques.

\n

De telles revues doivent être réalisées par des personnes indépendantes du domaine concerné, par exemple des personnes de la fonction d’audit interne ou un organisme indépendant spécialisé dans ce type de revues, et disposant des compétences et de l’expérience nécessaires.

\n

Les résultats de ces revues indépendantes doivent être conservés en forme de documentation/preuves et les information appropriées transmises aux personnes impliquées dans la coordination de la gestion des risques liés à la perte de stabilité financière et à la perte de la capacité de couverture des responsabilités contractuelles et juridiques liés aux processus de dématérialisation ou de conservation, et à la direction.

\n

Les non-conformités doivent être traitées par des actions correctives adoptées par la direction.

\n

Annexe A (Informative) Le tableau suivant indique les clauses de la Norme internationale ISO/IEC 27001:2013 pour lesquelles des exigences complémentaires ont été définies dans la présente règle technique:

\n

Clauses de la Norme internationale ISO/IEC 27001:2013 4 Contexte de l’organisation Clauses de la règle technique d’exigences de sécurité et de mesures de sécurité des PSDC 6.2 Contexte de l’organisation 4.1 Compréhension de l’organisation et de son contexte 4.2 Compréhension des besoins et des attentes des parties intéressées 4.3 Détermination du domaine d’application du système de management de la sécurité de l’information 4.4 Système de management de la sécurité de l’information 5. Leadership 6.3 Leadership 5.1 Leadership et engagement 5.2 Politique 5.3 Rôles, responsabilités et autorités au sein de l’organisation 6 Planification 6.4 Planning 6.1 Actions liées aux risques et opportunités 6.2 Objectifs de sécurité de l’information et plans pour les atteindre 7 Support 7.1 Ressources 7.2 Compétence 7.3 Sensibilisation 7.4 Communication 7.5. Informations documentées 8. Fonctionnement 8.1 Planification et contrôle opérationnels 8.2. Appréciation des risques de sécurité de l’information 8.3 Traitement des risques de sécurité de l’information 9 Evaluation des performances 6.5 Evaluation des performances 9.1 Surveillance, mesures, analyse et évaluation 6.8 Amélioration continue 9.2 Audit interne 9.3 Revue de la direction Mémorial A – N° 150 du 4 août 2015 3104 Clauses de la Norme internationale ISO/IEC 27001:2013 Clauses de la règle technique d’exigences de sécurité et de mesures de sécurité des PSDC 10 Amélioration 10.1 Non-conformité et actions correctives 10.2 Amélioration continue Annexe B (Informative) Le contenu suivant énumère des exemples de risques liés à l’établissement (définition, mise en œuvre, maintenance et amélioration) des processus de dématérialisation ou de conservation.

\n

Risques communs liés à l’établissement des processus de dématérialisation et de conservation

\n
a)les mécanismes d’authentification du système de dématérialisation ou de conservation SDC-DC, SDC-D ou SDC-C sont indisponibles
\n
b)les identifiants des comptes des utilisateurs du système de dématérialisation ou de conservation SDC-DC, SDC-D ou SDC-C et des comptes techniques des actifs techniques du SDC sont altérés ou indisponibles
\n
c)les mots de passe des comptes des utilisateurs du système de dématérialisation ou de conservation SDC-DC, SDC-D ou SDC-C et des comptes techniques des actifs techniques du SDC ont été divulgués
\n
d)le système de dématérialisation ou de conservation SDC-DC, SDC-D ou SDC-C n’est plus accessible
\n
e)les profils de privilèges des comptes des utilisateurs du système de dématérialisation ou de conservation SDC-DC, SDC-D ou SDC-C ont été modifiés de manière non autorisée
\n
f)les journaux d’événements du système de dématérialisation ou de conservation SDC-DC, SDC-D ou SDC-C sont altérés
\n
g)les journaux d’événements du système de dématérialisation ou de conservation SDC-DC, SDC-D ou SDC-C ont été partiellement supprimés Risques liés à l’établissement du processus de dématérialisation
\n
a)la qualité de la numérisation n’est plus suffisante
\n
b)le contenu de documents numériques résultant de la numérisation de documents analogiques ne reflète plus le contenu original
\n
c)les documents numériques résultant de la numérisation des documents analogiques ont été altérés ou supprimés de manière non autorisée
\n
d)les documents analogiques ont été divulgués par inadvertance
\n
e)les documents analogiques ont été perdus avant leur numérisation
\n
f)la destruction des documents analogiques d’un client n’est pas réalisée selon les conditions définies dans le document contractuel établi entre le client et l’organisation Risques liés à l’établissement du processus de conservation
\n
a)la création d’archives numériques n’est pas possible en raison d’un dysfonctionnement du système de conservation SDC-C
\n
b)la restitution d’archives numériques n’est pas possible en raison d’un dysfonctionnement du système de conservation SDC-C
\n
c)les métadonnées de description et de contrôles associées à des archives numériques sont altérées
\n
d)les mécanismes de sauvegarde du système de conservation SDC-C sont en dysfonctionnement
\n
e)des archives numériques sont perdues en raison du remplacement de support de stockage du système de conservation SDC-C
\n
f)des archives numériques ne sont plus exploitables (intelligibles)
\n
g)des archives numériques sont supprimées par inadvertance
\n
h)des archives numériques ne sont pas supprimées conformément à leur calendrier de suppression.
\n

Annexe C (Informative) Le tableau suivant:

\n
a)montre les liens entre la Norme internationale ISO/IEC 27002:2013 et la règle technique d’exigences et de mesures des PSDC, plus particulièrement les modifications apportées (amendements, compléments, nouveaux Mémorial A – N° 150 du 4 août 2015 3105 objectifs de sécurité et nouvelles mesures de sécurité) à la Norme internationale ISO/IEC 27002:2013 en termes de gestion de la sécurité de l’information et de gestion opérationnelle spécifiques aux processus de dématérialisation et/ou de conservation exécutés par l’organisation Ces modifications sont définies à la clause 7 de la présente règle technique.
\n
b)énumère les clauses, les objectifs de sécurité et les mesures de sécurité à considérer par l’organisation dans le cadre de l’appréciation des risques liés à l’établissement des processus de dématérialisation ou de conservation.
\n

Les clauses, les objectifs de sécurité et les mesures de sécurité énumérés proviennent de la Norme internationale ISO/IEC 27002:2013, augmenté par le contenu de la clause 7 de la présente règle technique.

\n

Explications du tableau

\n
–#: numéro de la clause, de l’objectif ou de la mesure tel que défini dans la Norme internationale ISO/IEC 27002:2013 et à la clause 7 de la présente règle technique.
\n
–x.x: numéro d’une clause, d’un objectif de sécurité ou d’une mesure de sécurité défini dans la Norme internationale ISO/IEC 27002:2013
\n
–x.x: numéro d’un objectif ou d’une mesure de gestion de la sécurité de l’information ou de gestion opérationnelle défini à la clause 7 de la présente règle technique
\n
–Type: clause (C), objectif de sécurité (O) ou mesure de sécurité/exigences de mise en œuvre (M)
\n
–Intitulé: titre de la clause, de l’objectif de sécurité ou de la mesure de sécurité tel que défini dans la Norme internationale ISO/IEC 27002:2013
\n
–D: processus de dématérialisation exécuté par l’organisation
\n
–C: processus de conservation exécuté par l’organisation Liens entre la Norme internationale ISO/IEC 27002:2013 et la règle technique d’exigences et de mesures des PSDC Clauses, objectifs de sécurité et mesures de sécurité de la Norme internationale ISO/IEC 27002:2013 # Type Intitulé 5 C 5.1 5.1.1 Résumé des modifications apportées à la Norme internationale ISO/IEC 27002:2013 et définies dans la présente règle technique Domaines concernés par les objectifs de sécurité et les mesures de sécurité D C Politiques de sécurité de l’information X X O Orientations de la direction en matière de sécurité de l’information X X M Politiques de sécurité de l’information X X 5.1.2 M Revue des politiques de sécurité de l’information X X 5.2 O Politique de dématérialisation (nouvel objectif) X 5.2.1 M Document de politique de dématérialisation (nouvelle mesure) X 5.2.2 M Revue de la politique de dématérialisation (nouvelle mesure) X 5.3 O Politique de conservation (nouvel objectif) X 5.3.1 M Document de politique de conservation (nouvelle mesure) X 5.3.2 M Revue de la politique de conservation (nouvelle mesure) X 6 C Organisation de la sécurité de l’information 6.1 O Organisation interne Complément à l’objectif de sécurité 6.1.1 M Fonctions et responsabilités liées à la sécurité de l’information Complément à la mesure de sécurité 6.1.2 M Séparation des tâches Complément à la mesure de sécurité Mémorial A – N° 150 du 4 août 2015 X X X X X X X X 3106 Liens entre la Norme internationale ISO/IEC 27002:2013 et la règle technique d’exigences et de mesures des PSDC Clauses, objectifs de sécurité et mesures de sécurité de la Norme internationale ISO/IEC 27002:2013 # Type Intitulé 6.1.3 M Relations avec les autorités 6.1.4 M 6.1.5 Résumé des modifications apportées à la Norme internationale ISO/IEC 27002:2013 et définies dans la présente règle technique Domaines concernés par les objectifs de sécurité et les mesures de sécurité D C X X Relations avec des groupes de travail spécialisés X X M La sécurité de l’information dans la gestion de projet X X 6.2 O Appareils mobiles et télétravail X X 6.2.1 M Politique en matière d’appareils mobiles X X 6.2.2 M Télétravail X X 7.
\n

C La sécurité des ressources humaines X X 7.1 O Avant l’embauche X X 7.1.1 M Sélection des candidats X X 7.1.2 M Termes et conditions d’embauche X X 7.2 O Pendant la durée du contrat X X 7.2.1 M Responsabilités de la direction Complément à la mesure de sécurité X X 7.2.2 M Sensibilisation, apprentissage et Complément à la mesure de sécurité formation à la sécurité de l’information X X 7.2.3 M Processus disciplinaire X X 7.3 O Rupture, terme ou modification du contrat de travail X X 7.3.1 M Achèvement ou modification des responsabilités associées au contrat de travail X X 8 C Gestion des actifs X X 8.1 O Responsabilités relatives aux actifs X X Complément à la mesure de sécurité 8.1.1 M Inventaire des actifs X X 8.1.2 C Propriété des actifs Complément à la mesure de sécurité X X 8.1.3 O Utilisation correcte des actifs X X 8.1.4 M Restitution de actifs X X 8.2 O Classification de l’information X X 8.2.1 M Classification des informations Complément à la mesure de sécurité X X 8.2.2 M Marquage des informations Complément à la mesure de sécurité X X 8.2.3 M Manipulation des actifs X X 8.3.

\n

O Manipulation des supports X X 8.3.1 M Gestion des supports amovibles X X 8.3.2 M Mise au rebut des supports X X 8.3.3 M Transfert physique des supports X X 9.

\n

C Contrôle d’accès X X 9.1 O Exigences métier en matière de contrôle d’accès X X 9.1.1 M Politique de contrôle d’accès X X Complément à la mesure de sécurité Complément à la mesure de sécurité Mémorial A – N° 150 du 4 août 2015 3107 Liens entre la Norme internationale ISO/IEC 27002:2013 et la règle technique d’exigences et de mesures des PSDC Clauses, objectifs de sécurité et mesures de sécurité de la Norme internationale ISO/IEC 27002:2013 # Type Intitulé 9.1.2 M 9.2 Résumé des modifications apportées à la Norme internationale ISO/IEC 27002:2013 et définies dans la présente règle technique Domaines concernés par les objectifs de sécurité et les mesures de sécurité D C Accès aux réseaux et aux services en réseau X X O Gestion de l’accès utilisateur X X 9.2.1 M Enregistrement et désinscription des utilisateurs X X 9.2.2 M Maîtrise de la gestion des accès utilisateur X X 9.2.3 M Gestion des privilèges d’accès X X 9.2.4 M Gestion des informations secrètes d’authentification des utilisateurs X X 9.2.5 M Revue des droits d’accès utilisateur X X 9.2.6 M Suppression ou adaptation des droits d’accès X X 9.3 O Responsabilités des utilisateurs X X 9.3.1 M Utilisation d’informations secrètes d’authentification X X 9.4 O Contrôle de l’accès au système et aux applications X X 9.4.1 M Restriction d’accès à l’information X X 9.4.2 M Sécuriser les procédures de connexion X X 9.4.3 M Système de gestion des mots de passe X X 9.4.4 M Utilisation de programmes utilitaires à privilèges X X 9.4.5 M Contrôle d’accès au code source des programmes X X 10 C Cryptographie X X 10.1 O Mesures cryptographiques X X 10.1.1 M Politique d’utilisation des mesures cryptographiques X X 10.1.2 M Gestion des clés X X 11 C Sécurité physique et environnementale X X 11.1 O Zones sécurisées X X 11.1.1 M Périmètre de sécurité physique Complément à la mesure de sécurité X X 11.1.2 M Contrôles physiques des accès Complément à la mesure de sécurité X X 11.1.3 M Sécurisation des bureaux, des salles et des équipements X X 11.1.4 M Protection contre les menaces extérieures et environnementales X X 11.1.5 M Travail dans les zones sécurisées X X 11.1.6 M Zones de livraison et de chargement X X 11.2 O Matériels X X 11.2.1 M Emplacement et protection du matériel Complément à la mesure de sécurité X X Complément à la mesure de sécurité Mémorial A – N° 150 du 4 août 2015 3108 Liens entre la Norme internationale ISO/IEC 27002:2013 et la règle technique d’exigences et de mesures des PSDC Clauses, objectifs de sécurité et mesures de sécurité de la Norme internationale ISO/IEC 27002:2013 # Type Intitulé Résumé des modifications apportées à la Norme internationale ISO/IEC 27002:2013 et définies dans la présente règle technique Domaines

\n

concernés par les objectifs de sécurité et les mesures de sécurité D C 11.2.2 M Services généraux X X 11.2.3 M Sécurité du câblage X X 11.2.4 M Maintenance du matériel X X 11.2.5 M Sortie des actifs X X 11.2.6 M Sécurité du matériel et des actifs hors des locaux X X 11.2.7 M Mise au rebut ou recyclage sécurisé(e) du matériel X X 11.2.8 M Matériel utilisateur laissé sans surveillance X X 11.2.9 M Politique du bureau propre et de l’écran vide X X 12 C Sécurité liée à l’exploitation X X 12.1 O Procédures et responsabilités liées à l’exploitation X X 12.1.1 M Procédures d’exploitation documentées X X 12.1.2 M Gestion des changements X X 12.1.3 M Dimensionnement X X 12.1.4 M Séparation des environnements de développement, de test et d’exploitation X X 12.2 O Protection contre les logiciels malveillants X X 12.2.1 M Mesures contre les logiciels malveillants X X 12.3 O Sauvegarde X X 12.3.1 M Sauvegarde des informations X X 12.4 O Journalisation et surveillance X X 12.4.1 M Journalisation des événements X X 12.4.2 M Protection de l’information journalisée X X 12.4.3 M Journaux administrateur et opérateur X X 12.4.4 M Synchronisation des horloges X X 12.5 O Maîtrise des logiciels en exploitation X X 12.5.1 M Installation de logiciels sur des systèmes en exploitation X X 12.6 O Gestion des vulnérabilités techniques X X 12.6.1 M Gestion des vulnérabilités techniques X X 12.6.2 M Restrictions liées à l’installation de logiciels X X 12.7 O Considérations sur l’audit du système d’information X X 12.7.1 M Mesures relatives à l’audit des systèmes d’information X X Complément à la mesure de sécurité Complément à la mesure de sécurité Mémorial A – N° 150 du 4 août 2015 3109 Liens entre la Norme internationale ISO/IEC 27002:2013 et la règle technique d’exigences et de mesures des PSDC Clauses, objectifs de sécurité et mesures de sécurité de la Norme internationale ISO/IEC 27002:2013 # Type 12.8 O Dématérialisation (nouvel objectif) X 12.8.1 M Système de dématérialisation SDC-D (nouvelle mesure) X 12.8.2 M Utilisation correcte du système de dématérialisation SDC-D (nouvelle mesure) X 12.9 O Conservation (nouvel objectif) X 12.9.1 M Système de conservation SDC-C (nouvelle mesure) X 12.9.2 M Utilisation correcte du système de conservation SDC-C (nouvelle mesure) X 13 M 13.1 13.1.1 Intitulé Résumé des modifications apportées à la Norme internationale ISO/IEC 27002:2013 et définies dans la présente règle technique Domaines concernés par les objectifs de sécurité et les mesures de sécurité D C Sécurité des communications X X Management de la sécurité des réseaux X X Contrôle des réseaux X X 13.1.2 M Sécurité des services de réseau X X 13.1.3 M Cloisonnement des réseaux X X 13.2 O Transfert de l’information X X 13.2.1 M Politiques et procédures de transfert

\n

de l’information X X 13.2.2 M Accords en matière de transfert d’information X X 13.2.3 M Messagerie électronique X X 13.2.4 M Engagements de confidentialité ou de non-divulgation X X 14.

\n

C Acquisition, développement et maintenance des systèmes d’information X X 14.1 O Exigences de sécurité applicables aux systèmes d’information X X 14.1.1 M Analyse et spécification des exigences de sécurité de l’information X X Complément à la mesure de sécurité Mémorial A – N° 150 du 4 août 2015 3110 Liens entre la Norme internationale ISO/IEC 27002:2013 et la règle technique d’exigences et de mesures des PSDC Clauses, objectifs de sécurité et mesures de sécurité de la Norme internationale ISO/IEC 27002:2013 # Type Intitulé 14.1.2 M 14.1.3 Résumé des modifications apportées à la Norme internationale ISO/IEC 27002:2013 et définies dans la présente règle technique Domaines concernés par les objectifs de sécurité et les mesures de sécurité D C Sécurisation des services d’application sur les réseaux publics X X M Protection des transactions liées aux services d’application X X 14.2 O Sécurité des processus de développement et d’assistance technique X X 14.2.1 M Politique de développement sécurisé X X 14.2.2 M Procédures de contrôle des changements apportés au système X X 14.2.3 M Revue technique des applications après changement apporté à la plate-forme d’exploitation X X 14.2.4 M Restrictions relatives aux changements apportés aux progiciels X X 14.2.5 M Principes d’ingénierie de la sécurité des systèmes X X 14.2.6 M Environnement de développement sécurisé X X 14.2.7 M Développement externalisé X X 14.2.8 M Phase de test de la sécurité du système 14.2.9 M Test de conformité du système X X 14.3 O Données de test X X 14.3.1 M Protection des données de test X X 15 C Relations avec les fournisseurs X X 15.1 O Sécurité de l’information dans les relations avec les fournisseurs X X 15.1.1 M Politique de sécurité de l’information dans les relations avec les fournisseurs X X 15.1.2 M La sécurité dans les accords conclus avec les fournisseurs X X 15.1.3 M Chaine d’approvisionnement informatique X X 15.1.4 M 15.2 O Gestion de la prestation du service X X 15.2.1 M Surveillance et revue des services des fournisseurs X X 15.2.2 M Gestion des changements apportés dans les services des fournisseurs X X 16 C Gestion des incidents liés à la sécurité de l’information X X 16.1 O Gestion des incidents liés à la sécurité de l’information et améliorations X X 16.1.1 M Responsabilités et procédures X X Complément à la mesure de sécurité La sécurité dans les accords avec les clients (nouvelle mesure) Mémorial A – N° 150 du 4 août 2015 3111 Liens entre la Norme internationale ISO/IEC 27002:2013 et la règle technique d’exigences et de mesures des PSDC Clauses, objectifs de sécurité et mesures de sécurité de la Norme internationale ISO/IEC 27002:2013 # Type Intitulé 16.1.2 M 16.1.3 Résumé des modifications

\n

apportées à la Norme internationale ISO/IEC 27002:2013 et définies dans la présente règle technique Domaines concernés par les objectifs de sécurité et les mesures de sécurité D C Signalement des événements liés à la sécurité de l’information X X M Signalement des failles liées à la sécurité de l’information X X 16.1.4 M Appréciation des événements liés à la sécurité de l’information et prise de décision X X 16.1.5 M Réponse aux incidents liés à la sécurité de l’information 16.1.6 M Tirer des enseignements des incidents liés à la sécurité de l’information 16.1.7 M Recueil de preuves 17 C Aspects de la sécurité de l’information dans la gestion de la continuité de l’activité 17.1 O Continuité de la sécurité de l’information 17.1.1 M Organisation de la continuité de la sécurité de l’information 17.1.2 M Mise en œuvre de la continuité de la sécurité de l’information 17.1.3 M Vérifier, revoir et évaluer la continuité de la sécurité de l’information 17.2 O Redondances 17.2.1 M Disponibilité des moyens de traitement de l’information 18 C Conformité 18.1 O Conformité aux obligations légales et réglementaires 18.1.1 M Identification de la législation et des exigences contractuelles applicables 18.1.2 M Droits de propriété intellectuelle 18.1.3 M Protection des enregistrements 118.1.4 M Protection de la vie privée et protection des données à caractère personnel 18.1.5 M Réglementation relative aux mesures cryptographiques 18.2 O Revue de la sécurité de l’information 18.2.1 M Revue indépendante de la sécurité de l’information 18.2.2 M Conformité avec les politiques et les normes de sécurité 18.2.3 M Examen de la conformité technique Complément à la mesure de sécurité Mémorial A – N° 150 du 4 août 2015 3112 Annexe D (Informative) Le contenu suivant décrit des exemples de niveaux de service liés à l’exécution des processus de dématérialisation ou de conservation.

\n

Plage d’accessibilité du système de dématérialisation ou de conservation SDC-DC, SDC-D ou SDC-C Il convient que la plage d’accessibilité du SDC soit composée des éléments suivants:

\n
a)Nombre de jours d’accessibilité du SDC sur une semaine, comme par exemple 5 jours sur 7
\n
b)Heures d’ouverture quotidienne du SDC, comme par exemple de 8h00 à 20h00 Exemples de plages d’accessibilité du SDC 7j/7, 24h/24 7j/7, 8 h 00 – 20 h 00 5j/7, 8 h 00 – 20 h 00 5 j/7, 8 h 00 –12 h 00 et 14 h 00 –18 h 00 Taux de disponibilité du système de dématérialisation ou de conservation SDC-DC, SDC-D ou SDC-C Il convient de définir le taux de disponibilité du SDC pendant sa plage d’accessibilité.
\n

Exemples de taux de disponibilité du SDC 99,990 % 99,000 % 90,000 % Volumétrie des documents analogiques pouvant être transmis au SDC-D Il convient de définir la volumétrie des documents analogiques pouvant être récupérés par l’organisation pour le compte du client ou soumis par ce dernier au SDC-D.

\n

Cette volumétrie peut être estimée par exemple en fonction du nombre de documents analogiques ou de pages composant les documents analogiques à dématérialiser et pour une période donnée, comme par exemple par mois.

\n

Exemples de volumes de documents analogiques pouvant être transmis au SDC-D De 10.000 à 50.000 documents analogiques par mois Jusqu’à 100.000 pages de documents analogiques par mois De 1.000 à 9.999 documents analogiques par mois De 10.000 à 50.000 pages de documents analogiques par mois De 100 à 999 documents analogiques par mois De 1.000 à 9.999 pages de documents analogiques par mois Taux de vérification du contenu des documents numériques créés par le SDC-D Il convient de définir le taux de vérification de la qualité du contenu des documents numériques résultant de la numérisation de documents analogiques pour s’assurer de la reproduction conforme à l’original.

\n

Il convient que ce taux soit défini par principe d’échantillonnage en fonction de la nature et du niveau de classification des documents analogiques originaux.

\n

Exemples de taux de vérification du contenu des documents numériques créés par le SDC-D 100% documents numériques sont vérifiés (d’un point de vue du contenu) avec les documents analogiques originaux.

\n

50% documents numériques sont vérifiés (d’un point de vue du contenu) avec les documents analogiques originaux.

\n

10% documents numériques sont vérifiés (d’un point de vue du contenu) avec les documents analogiques originaux.

\n

5% documents numériques sont vérifiés (d’un point de vue du contenu) avec les documents analogiques originaux.

\n

Mémorial A – N° 150 du 4 août 2015 3113 Débit de transmission des documents numériques vers le SDC-C Il convient de définir la capacité du SDC-C à absorber des flux en entrée issus de la récupération par l’organisation des documents numériques du client ou de la soumission par ce dernier de ces documents.

\n

Exemples de débits de transmission des documents numériques vers le SDC-C 10 Go/h 1 Go/h 100 Mo/h 10 Mo/h Délai de réponse du SDC-C Il convient de définir le délai de réponse du SDC-C suite à une requête transmise par un utilisateur du SDC-C à des fins de restitution partielle ou totale d’archives numériques.

\n

Exemples de délais de réponse de SDC-C Moins de 30 secondes Entre 30 secondes et 2 minutes Entre 2 et 5 minutes Temps de mise à disposition par le SDC-C des informations restituées à l’utilisateur Il convient de définir un temps de mise à disposition «en ligne» des informations restituées à l’utilisateur, c’est-à-dire que ces informations sont accessibles de manière quasi immédiate sans que le délai de réponse standard du SDC-C soit à invoquer dans le cadre de la restitution de ces informations.

\n

Exemples de temps de mise à disposition par le SDC-C des informations restituées à l’utilisateur Jusqu’à 5 jours à compter de la réponse du SDC-C suite à la requête de l’utilisateur du SDC-C Jusqu’à 3 jours à compter de la réponse du SDC-C suite à la requête de l’utilisateur du SDC-C Jusqu’à 8 heures à compter de la réponse du SDC-C suite à la requête de l’utilisateur du SDC-C Le temps de la session utilisateur.

\n

Volumétrie des documents numériques pouvant être transmis au SDC-C Il convient de définir la volumétrie des documents numériques pouvant être récupérés par l’organisation pour le compte du client ou soumis par ce dernier au SDC-C.

\n

Cette volumétrie peut être estimée par exemple en fonction d’un volume global pour une période donnée, comme par exemple par mois, ou par le nombre de documents numériques à archiver électroniquement pouvant être transmis pour une période donnée.

\n

Exemples de volumes de documents numériques pouvant être transmis au SDC-C De 10,01 Go à 100 Go par mois Jusqu’à 1 million de documents numériques par mois De 1,01 à 10 Go par mois Jusqu’à 100 000 documents numériques par mois De 0 à 1 Go par mois Jusqu’à 1.000 documents numériques par mois Bibliographie Les normes suivantes doivent être considérées comme une assistance dans la mise en œuvre de la présente règle technique. Pour les références non datées, la dernière édition de la norme s’applique (y compris les éventuels amendements). [1] ISO 30301:2011, Information et documentation – Systèmes de gestion des documents d’activité – Exigences;

\n

Mémorial A – N° 150 du 4 août 2015 3114 [2] ISO 14721:2003, Systèmes de transfert des informations et données spatiales – Système ouvert d’archivage d’information – Modèle de référence; [3] ISO/IEC 15489:2001, Information et documentation – «Records management»; [4] ISO 23081, Information et documentation – Processus de gestion des enregistrements – Métadonnées pour les enregistrements; [5] ETSI TS 101 733, Electronic Signatures and Infrastructures (ESI); CMS Advanced Electronic Signatures (CAdES); [6] ETSI TS 101 903, XML Advanced Electronic Signatures (XAdES); [7] ETSI TS 102 778, Electronic Signatures and Infrastructures (ESI); PDF Advanced Electronic Signature Profiles; [8] ETSI TS 102 176-1, Electronic Signatures and Infrastructures (ESI); Algorithms and Parameters for Secure Electronic Signatures; Part 1: Hash functions and asymmetric algorithms; [9] ISO 9000:2005, Systèmes de management de la qualité – Principes essentiels et vocabulaire; [10] ISO 30300:2011, Information et documentation – Systèmes de gestion des documents d’activité – Principes essentiels et vocabulaire; [11] ISO/IEC 27000:2014, Information technology – Security techniques – Information security management systems – Overview and vocabulary.

\n

Règlement grand-ducal du 25 juillet 2015 relatif à la dématérialisation et à la conservation de documents.

\n

Nous Henri, Grand-Duc de Luxembourg, Duc de Nassau, Vu l’article 1334 du Code civil;

\n

Vu l’article 16 du Code de commerce;

\n

Vu les avis de la Chambre de commerce et de la Chambre des métiers;

\n

Notre Conseil d’État entendu;

\n

Sur le rapport de Notre Ministre de l’Économie et après délibération du Gouvernement en conseil:

\n

Arrêtons:

\n

Art. 1erCopies à valeur probante

\n

Constituent des copies à valeur probante les copies qui sont:

\n
a)réalisées aux termes d’un traitement qui n’altère pas et n’interprète pas les informations contenues dans l’original, mais se limite à constituer une image à l’identique de celui-ci;
\n
b)effectuées de façon systématique et sans lacunes;
\n
c)effectuées selon des instructions de travail qui sont conservées aussi longtemps que les copies; et
\n
d)conservées avec soin, dans un ordre systématique, et protégées contre toute altération.
\n

Art. 2Dématérialisation

\n

L’authenticité de la copie à valeur probante doit être garantie.

\n

A cette fin,

\n
a)le processus de transcription ne doit pas altérer le contenu et l’apparence de l’original;
\n
b)chaque copie probante doit comporter de manière systématique la date et l’heure de sa création;
\n
c)un historique détaillé et tenu à jour de la copie probante doit à tout moment être disponible.
\n

Art. 3Conservation électronique

\n
(1)Les copies à valeur probante et originaux numériques doivent être durables. Sont réputés remplir cette condition les copies à valeur probante et originaux numériques:
\n
a)conservés de manière à éviter toute modification ou altération; ou
\n
b)enregistrés dès leur création dans un document informatique sécurisé ou signé électroniquement au sens de l’article 1322-1 du Code civil.
\n
(2)Si, pour une raison quelconque, les copies à valeur probante ou originaux numériques sont transférés d’un support ou d’un format numérique à un autre, le détenteur doit démontrer leur concordance.
\n
(3)Les systèmes utilisés pour la conservation électronique des copies à valeur probante et originaux numériques:
\n
a)doivent comporter les sécurités nécessaires pour éviter toute modification ou altération; et
\n
b)doivent permettre de restituer à tout instant les documents sous une forme directement lisible en garantissant la fidélité à l’original.
\n

Mémorial A – N° 150 du 4 août 2015 3115

\n

Art. 4Copie à valeur probante par micrographie

\n

Les travaux doivent être surveillés par le détenteur ou par une personne qu’il a mandatée à ces fins.

\n

Les copies à valeur probante doivent permettre de déterminer l’ordre de prise de vue.

\n

Les diverses phases de la prise de vue doivent s’opérer strictement selon le schéma arrêté aux instructions de travail prévues à l’article 1er.

\n

L’indexation et le repérage des copies à valeur probante doivent permettre d’accéder à l’image d’un original dans un temps raisonnable.

\n

La prise de vue doit faire l’objet d’un procès-verbal contenant les indications suivantes:

\n
a)nature et sujet des originaux;
\n
b)date de la prise de vue;
\n
c)nom de l’opérateur responsable; et
\n
d)déclaration que les originaux ont été microfilmés de façon complète, régulière et sans altération.
\n

Cette déclaration, signée par l’opérateur responsable, doit être conservée, à moins qu’elle ne fasse l’objet d’une prise de vue à la suite des originaux microfilmés.

\n

La copie à valeur probante doit être parfaitement lisible. La fidélité de la copie à valeur probante doit être vérifiée avant la destruction de l’original.

\n

La copie à valeur probante doit entraîner une modification irréversible du support.

\n

La copie à valeur probante doit être toujours disponible pour consultation par les personnes qui ont accès aux informations qu’elle comporte.

\n

Art. 5Disposition abrogatoire

\n

Le règlement grand-ducal du 22 décembre 1986 pris en exécution des articles 1348 du Code civil et 11 du Code de commerce est abrogé.

\n

Les documents et les copies établis sur base des dispositions réglementaires prises en exécution des articles 1334 du Code civil ou de l’article 16 du Code de commerce et applicables avant la prise d’effet du présent règlement, gardent la valeur probante qui leur était conférée par ces dispositions réglementaires.

\n

Art. 6Entrée en vigueur

\n

Le présent règlement grand-ducal entre en vigueur le premier jour du troisième mois qui suit sa publication au Mémorial.

\n

Art. 7Disposition exécutoire

\n

Notre Ministre de l’Économie est chargé de l’exécution du présent règlement qui sera publié au Mémorial.

\n

Cabasson, le 25 juillet 2015.

\n

Henri Le Ministre de l’Économie, Étienne Schneider Editeur:

\n

Service Central de Législation, 43, boulevard F.-D. Roosevelt, L-2450 Luxembourg Imprimeur: Association momentanée Imprimerie Centrale / Victor Buck Mémorial A – N° 150 du 4 août 2015

", "next": 0}