Niveau 4 — Archivage électronique

Du document vivant à l'archive : le SAE

Un système d'archivage électronique (SAE) conserve des documents numériques dans des conditions qui garantissent leur valeur dans le temps. Là où la GED gère des documents qu'on modifie, le SAE conserve des documents figés.

GED et SAE : deux rôles complémentaires

Les exigences d'un SAE

• Intégrité : un document archivé ne peut plus être modifié, et toute altération est détectable.
• Traçabilité : chaque opération (versement, consultation, communication, élimination) est inscrite dans un journal.
• Pérennité : le document reste lisible pendant toute sa durée de conservation.
• Confidentialité : seules les personnes autorisées y accèdent.
• Disponibilité : le document peut être retrouvé et restitué quand on en a besoin.

Le versement

Le passage d'un document de la GED vers le SAE s'appelle le versement. Il intervient à un moment défini : signature d'un contrat, clôture d'un dossier, fin d'un exercice. Au versement, le SAE vérifie le format, enregistre les métadonnées, calcule l'empreinte et applique la règle de conservation.

Intégrité et preuve : empreinte, horodatage, journal

Comment prouver qu'un fichier n'a pas été modifié depuis son archivage ? En combinant trois outils : l'empreinte cryptographique, l'horodatage et le journal.

L'empreinte cryptographique

Une fonction de hachage comme SHA-256 calcule, à partir du contenu d'un fichier, une empreinte de 256 bits, écrite sous la forme de 64 caractères hexadécimaux. Ses propriétés :

• le même fichier donne toujours la même empreinte ;
• la moindre modification (une virgule, un pixel) donne une empreinte totalement différente ;
• il est impossible en pratique de retrouver le fichier à partir de l'empreinte, ou de fabriquer un autre fichier ayant la même.

Au versement, le SAE calcule et enregistre l'empreinte. Pour vérifier l'intégrité, il la recalcule et compare : identique, le document est intact ; différente, il a été altéré. Vous pouvez l'essayer sur la page Modules d'ARCHIVA360.

L'horodatage

L'empreinte prouve que le document n'a pas changé, mais pas depuis quand. L'horodatage associe une date et une heure certaines à l'empreinte. Pour qu'il soit opposable, il est délivré par un tiers de confiance (autorité d'horodatage) qui signe le couple empreinte + date.

Le journal

Le journal (audit trail) enregistre chaque opération : qui, quoi, quand, depuis où, quelle action. Pour être fiable, il doit lui-même être protégé contre la modification, par exemple en chaînant les empreintes de ses entrées : chaque entrée inclut l'empreinte de la précédente, si bien qu'une modification casse la chaîne.

Et la blockchain ?

Une blockchain peut servir de registre public d'empreintes. On n'y inscrit jamais le document lui-même (coût, confidentialité, impossibilité d'effacer), seulement son empreinte. C'est une option de preuve complémentaire, pas une obligation.

Signature électronique

La signature électronique permet d'identifier le signataire et de manifester son consentement au contenu d'un document électronique. Elle garantit aussi que le document n'a pas été modifié après signature.

Comment ça marche

La signature électronique avancée repose sur la cryptographie à clé publique. Le signataire dispose d'une clé privée, qu'il est seul à contrôler, et d'un certificat délivré par une autorité de certification, qui associe sa clé publique à son identité. Signer, c'est chiffrer l'empreinte du document avec la clé privée ; vérifier, c'est la déchiffrer avec la clé publique et la comparer à l'empreinte recalculée.

Les niveaux de signature

On distingue généralement plusieurs niveaux de fiabilité : une signature simple (une case cochée, une image de signature), une signature avancée (liée de façon unique au signataire, avec détection des modifications) et une signature qualifiée (avec un dispositif sécurisé et un certificat qualifié). Plus l'enjeu juridique est fort, plus le niveau requis est élevé.

Le cadre ivoirien

En Côte d'Ivoire, la loi n°2013-546 relative aux transactions électroniques reconnaît l'écrit électronique, et le décret n°2014-106 précise les conditions de l'écrit et de la signature électroniques. L'ANSSI Côte d'Ivoire recense ces textes.

Signer puis archiver

Une signature électronique doit pouvoir être vérifiée des années plus tard, alors que les certificats expirent. D'où l'importance d'archiver le document signé avec ses éléments de preuve : certificat, jeton d'horodatage, dossier de preuve du prestataire. ARCHIVA360 s'appuie sur des prestataires de signature de confiance et archive ces éléments avec le document.

Le cadre ivoirien et la protection des données

ADA démarre en Côte d'Ivoire notamment parce que le pays dispose d'un cadre identifié pour l'écrit électronique et l'archivage. Ce module présente les repères essentiels. Il ne remplace pas l'avis d'un juriste.

Les textes de référence

Les autorités

L'ARTCI (Autorité de régulation des télécommunications/TIC de Côte d'Ivoire) est l'autorité de protection des données personnelles. L'ANSSI Côte d'Ivoire recense les textes relatifs à la sécurité des systèmes d'information et à la confiance numérique.

Archives et données personnelles

Les archives regorgent de données personnelles : dossiers du personnel, dossiers clients, dossiers patients, pièces d'identité. La protection des données s'applique donc pleinement à l'archivage :

• finalité : on conserve pour une raison définie ;
• durée limitée : on ne garde pas indéfiniment des données personnelles sans justification ;
• sécurité : accès restreint, journalisation, chiffrement ;
• droits des personnes : accès, rectification, opposition, selon les conditions prévues par la loi.

La posture professionnelle

Travailler avec un archiviste, un juriste, un expert en cybersécurité et un spécialiste de la protection des données. Documenter les choix. Et ne jamais présenter un dispositif comme « conforme à tout » sans validation juridique et technique indépendante.