Tous les articles par Françoise Banat-Berger

Création de l’administrateur général des données

Nous avions déjà annoncé, voici quelques mois, la nomination prochaine d’un administrateur général des données, dont l’importance était apparue en raison des enjeux majeurs que représente pour l’État la gouvernance des données numériques.

Aujourd’hui vient d’être publié le décret n° 2014-1050 du 16 septembre 2014 instituant cet administrateur général. Celui-ci est naturellement placé sous l’autorité du Premier ministre et rattaché au secrétariat général pour la Modernisation de l’action publique.

Son action a trois objectifs :

  1. l’évaluation des politiques publiques,
  2. l’amélioration et la transparence de l’action publique
  3. la stimulation de la recherche et de l’innovation.

Son périmètre d’action concerne les services centraux et déconcentrés de l’État, ainsi que ses établissements publics, même si les collectivités territoriales et autres personnes privées chargées d’une mission de service public peuvent également le saisir sur toute utilisation des données des administrations par leurs services.

Dans ce cadre, il pourra être amené à conseiller des évolutions législatives et réglementaires et proposera au Premier ministre, après concertation avec les ministères concernés, la position française en matière de données dans les négociations internationales et européennes.

Pour ce faire, il coordonne l’action des administrations en matière d’inventaire, de gouvernance, de production, de circulation et d’exploitation des données dans le respect de la protection des données personnelles et des secrets protégés par la loi. Les administrations doivent lui communiquer, lorsqu’il en fait la demande, des informations nécessaires à l’inventaire des données qu’elles produisent (liste des champs, contexte technique, processus de collecte et mise à jour, jeu de données illustratif).

Plus précisément, il propose au Premier ministre des stratégies d’exploitation des données produites, reçues ou collectées, y compris en s’appuyant sur des entreprises innovantes. Il élabore des outils, référentiels et méthodologies en vue d’une meilleure exploitation de ces données et d’un plus grand usage des sciences des données au sein des administrations. Il contribue à l’amélioration de l’interopérabilité des données et des applications des services publics et, dans ce cadre, peut travailler à la sémantisation de ces données. Il conduit enfin des expérimentations sur l’usage des données.

Une bonne gestion et une bonne conservation des archives publiques, que sont les données produites et reçues par les administrations dans l’exercice de leurs missions, participent à cette bonne gouvernance des données. L’administration des archives sera, en conséquence, un des partenaires importants du nouvel administrateur général des données.

Publication du règlement eIDAS

Le Parlement européen et le Conseil de l’Union européenne ont publié au Journal officiel de l’Union européenne du 28 août 2014 le règlement (UE) n° 910/2014 du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur, qui abroge la directive 1999/93/CE relative à la signature électronique.

Ce règlement a pour objectif la mise en place du marché unique numérique en créant les conditions appropriées pour la reconnaissance mutuelle des outils clés entre les pays, tels que l’identification électronique, les documents électroniques, les signatures électroniques et les services de fourniture électronique, ainsi que pour la mise au point de services interopérables d’administration en ligne dans toute l’Union européenne.

La directive 1999/93/CE du Parlement européen et du Conseil régissait les signatures électroniques, mais sans fournir de cadre transfrontalier complet pour des transactions électroniques sécurisées et fiables. C’est la raison pour laquelle le règlement renforce et développe les acquis de l’ancienne directive.

Ce règlement fixe :

  1. d’une part, les conditions dans lesquelles un État membre reconnaît les moyens d’identification électronique des personnes physiques et morales qui relèvent d’un schéma d’identification électronique d’un autre État membre.
  2. d’autre part, des règles applicables aux services de confiance, en particulier pour les transactions électroniques.
  3. Enfin, il instaure un cadre juridique pour les services de signatures électroniques, de cachets électroniques, d’horodatages, de documents électroniques, d’envoi recommandé électronique et les services de certificats pour l’authentification de sites internet.

Sa date d’exécution est variable suivant les parties mais est fixée, pour la majorité des dispositions, au 1er juillet 2016. Le règlement s’applique à l’ensemble des États de l’Union européenne (sans besoin de transposition). S’agissant de la France, ce règlement aura des impacts sur la réglementation déjà existante dans ce domaine (1) et sur le Référentiel général de sécurité (voir la présentation de la version 2.0 du RGS sur notre carnet de recherche).

Outre les dispositions générales, le règlement s’articule autour des trois parties suivantes :

 

1) L’identification électronique

La délivrance de ce moyen d’identification relève d’un schéma d’identification électronique qui figure sur une liste publiée par la Commission européenne au Journal officiel de l’Union européenne. Ce schéma détermine les spécifications de trois niveaux de garantie des moyens d’identification délivrés : « faible », « substantiel » et « élevé ».

Le niveau de garantie « substantiel » doit permettre de « réduire substantiellement le risque d’utilisation abusive ou d’altération de l’identité  », tandis que le niveau de garantie « élevé » doit permettre « d’empêcher l’utilisation abusive ou l’altération de l’identité ».

Les schémas de différents niveaux sont interopérables et, pour ce faire, un cadre d’interopérabilité doit être établi conformément aux critères énoncés par le règlement. C’est au plus tard le 18 septembre 2015 que la Commission doit fixer les spécifications techniques, normes et procédures sur la base desquelles ces différents niveaux seront spécifiés, ainsi que le cadre d’interopérabilité.

2) Les services de confiance

Il est acté que les États membres désignent un service de contrôle établi sur leur territoire ou sur celui d’un autre État membre avec qui un accord aura été passé. Ce service contrôlera les prestataires de services de confiance qualifiés.

Plus généralement, le règlement précise les exigences de sécurité pour les différents services de confiance :

  • les prestataires de service de confiance, la signature électronique avancée, les certificats qualifiés (annexe I),
  • les dispositifs de création de signature électronique qualifiés (annexe II),
  • la validation des signatures électroniques qualifiées, des cachets électroniques avancés, des certificats qualifiés de cachet électronique (annexe III),
  • les horodatages électroniques qualifiés, les services d’envoi recommandés électroniques qualifiés ou encore les certificats qualifiés d’authentification de site internet (annexe IV).

Il est demandé que chaque État membre établisse, tienne à jour et publie des listes de confiance de prestataires de services de confiance, ainsi que des services de confiance qualifiés qu’ils fournissent. Leurs spécifications techniques et formats seront arrêtés au plus tard le 18 septembre 2015. L’inscription sur la liste vaudra aux prestataires concernés de pouvoir utiliser le label de confiance de l’Union.

S’agissant des signatures électroniques, le règlement précise bien que l’effet juridique d’une signature électronique qualifiée est équivalent à celui d’une signature manuscrite. La signature qualifiée qui repose sur un certificat qualifié délivré par un État membre est reconnue en tant que telle dans tous les autres États membres. Il est acté que la Commission établit, publie et met à jour une liste des dispositifs certifiés de création de signature électronique qualifiée. Le règlement fait également mention d’un service de conservation qualifié des signatures électroniques qualifiées qui ne peut être fourni que par un prestataire de services de confiance qualifié qui utilise des procédures et des technologies permettant d’étendre la fiabilité des signatures électroniques au-delà de leur période de validité technologique.

Le règlement se prononce sur les cachets électroniques qui ont les mêmes fonctions qu’une signature électronique mais qui sont délivrés, non par une personne physique mais par une personne morale. Ce sont des signatures réalisées avec un certificat serveur. Comme pour la signature électronique, un cachet électronique qualifié qui repose sur un certificat qualifié délivré par un État membre est reconnu en tant que tel par les autres États membres. Le même processus est prévu pour les horodatages électroniques qualifiés.

C’est également au plus tard le 18 septembre 2015 que seront définis les formats de référence des signatures électroniques ou des cachets électroniques, ou les méthodes de référence lorsque d’autres formats seront utilisés.

3) Les documents électroniques

Le règlement rappelle que l’effet juridique et la recevabilité d’un document électronique comme preuve en justice ne peuvent être refusés au seul motif que ce document se présente sous une forme électronique.

 

Notes

(1) Décrets et arrêtés relatifs à la signature électronique, à l’évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l’information, aux accusés de réception électroniques, à l’identification électronique, à l’horodatage électronique… (retour au texte)

Villeneuve-d’Ascq : une expérience concrète d’évaluation, tri et collecte de données relatives aux animateurs vacataires

Dans le cadre du projet AD-ESSOR d’accompagnement des collectivités territoriales pour le développement de l’archivage électronique, poursuivons avec Céline Sename, chargée des archives électroniques aux Archives municipales de Villeneuve-d’Ascq, la présentation de l’expérience de sa collectivité en matière d’archivage électronique.

Trois services de la mairie de Villeneuve-d’Ascq utilisent une application utile au recrutement et au suivi de carrière des animateurs vacataires de la ville (services Enfance, Jeunesse et Sports). Alimentée de 1994 à 2011, cette base de données comporte un peu plus de 4500 dossiers.

Un projet de changement d’application métier est lancé en 2010-2011. Sur la sollicitation du chef de projet informatique, les Archives interviennent conjointement avec la correspondante Informatique et Libertés afin d’évaluer les données concernées : définition de contenu, attribution des délais de conservation et des sorts finaux, analyse des procédures internes de gestion…

Plusieurs réunions se tiennent afin de cerner le périmètre de l’application. Le service Enfance qui coordonne ce chantier côté services métier, présente le contenu de l’application aux Archives.

Il apparaît vite que derrière une seule et même application informatique se cache plusieurs séries organiques de documents, avec des modalités de traitement différentes. Ici, des données de carrière avec délai de conservation long et susceptibles d’être remobilisées régulièrement (fourniture d’attestations aux anciens animateurs et, ponctuellement, d’informations sur les animateurs aux services employeurs) ; là, des données relatives au recrutement (dates et avis des jurys) à éliminer à l’issue d’une DUA de deux ans.

D’abord, nous procédons à l’instruction d’une demande de visa d’élimination auprès des Archives départementales au sujet des données de recrutement dont la DUA est échue. Les données plus récentes sont reprises dans la nouvelle application. Ce visa est obtenu sans difficulté et est l’occasion d’une communication conjointe Archives – DSI aux chefs de service et au directeur général concernés. Cette communication est faite symboliquement au moment de la signature officielle du bordereau d’élimination à envoyer ensuite aux AD.

En parallèle, nous entamons la réflexion et les tests sur les données de carrière. Nous les traitons quasiment comme des archives définitives, vu leur DUA. Deux besoins sont vite identifiés : des données de synthèse doivent être consultables facilement et sans délai ; la nécessité de conserver une base de données quasi complète de manière pérenne.

Nous choisissons donc de conserver deux jeux de données : une série d’attestations au format pdf, identifiées par le nom de l’animateur et son numéro matricule ; et le contenu de la base au format xml.

L’application métier permet des exports en xml. Tout son contenu à quelques exceptions près est exporté par le chef de projet chargé de la ré-informatisation. Nous nous sommes beaucoup questionnés sur la structure à donner à ce fichier xml. Fallait-il une présentation basée sur les animateurs ou bien sur les centres dans lesquels ils avaient travaillé ? Nous avons simplement fait le choix de respecter la structure d’origine de la base : par animateur.

Quant aux fichiers pdf, ils ont été réalisés par le référent de la DSI sur Business Object. Cela nous a permis de sélectionner les données utiles aux attestations : identification succincte et liste des affectations avec dates. À ces informations, nous avons ajouté le logo de la ville et un cadre de signature pour permettre la validation de cette fiche par la direction des Ressources humaines lorsque les anciens animateurs réclament ce document dans le cadre d’une procédure de validation d’acquis d’expérience. Le plus complexe a donc été à ce sujet de définir la procédure à suivre entre Archives, services producteurs et DRH ; de créer le modèle d’attestation en faisant en sorte que les informations tiennent sur un recto-verso maximum.

Un conseil à l’issue de ce travail : procéder à une lecture fine des données archivées une fois les exports réalisés, l’idéal étant de faire cette vérification avec un correspondant issu du service producteur. Nous avons en effet constaté plusieurs mois après la réalisation des exports qu’il y avait eu un problème de format de date dans les fichiers pdf : au lieu d’obtenir des dates au format jj/mm/aaaa, nous avions obtenu un format j/mm/aaaa… Les pdf ont donc été générés une 2e fois pour rectifier le tir.

Le bordereau de versement a été rédigé manuellement par les Archives. Les fichiers électroniques ont été cotés en série W. Les données xml ou pdf sont consultées environ une fois par mois, soit à la demande d’anciens animateurs, soit à la demande d’un des services producteurs.

Céline Sename
chargée des archives électroniques aux Archives municipales de Villeneuve-d’Ascq

Villeneuve-d’Ascq, une démarche volontaire et artisanale d’archivage électronique

Dans le cadre du projet AD-ESSOR d’accompagnement des collectivités territoriales pour le développement de l’archivage électronique, nous avons proposé à Céline Sename, chargée des archives électroniques aux Archives municipales de Villeneuve-d’Ascq, de présenter son expérience de mise en place d’un archivage électronique dans une collectivité, même avec des moyens limités.

 

En l’absence de commande politique et de moyens financiers dédiés à l’archivage électronique, on aurait tôt fait de baisser les armes et de renoncer… Pourtant, comme pour beaucoup de nos travaux d’archivistes, il faut d’abord démontrer concrètement leur utilité avant d’obtenir le cadre et les ressources nécessaires.

Atout de taille : l’archivage électronique s’intègre parfaitement à deux lames de fond qui font évoluer et rationaliser la gestion des systèmes d’information (SI) dans nos collectivités : le Référentiel général de sécurité (RGS) et la loi Informatique et Libertés qui réclament une mise en conformité progressive des SI. Un premier angle d’attaque consiste donc à contacter puis à s’allier avec les personnes référentes dans ces domaines.

Puis, une deuxième démarche consiste à éliminer des données, ou en tout cas les repérer et les signaler aux responsables informatiques. Quand on pense archivage électronique, on a sans doute trop tendance à penser d’abord aux données à conserver, alors qu’elles ne représentent pas la majorité. Comme face à un local d’archives bondé, on peut donc d’abord s’atteler à procéder aux éliminations afin de dégager le terrain et valoriser les documents à conserver.

La direction informatique apprécie aussi d’obtenir auprès des Archives des informations fiables et le fait de détruire les données dans les règles, après accord du service producteur et des Archives départementales. Plusieurs séries de données ont donc obtenu un visa d’élimination à Villeneuve-d’Ascq : registre électronique des demandes de carte d’identité et de passeport, enregistrement du courrier, suivi et organisation des visites médicales des agents, aides sociales légales, recrutement des animateurs vacataires…

Cette démarche a aussi un effet très rassurant : le travail y est strictement le même que pour le papier. Le plus difficile est de trouver le bon interlocuteur puis la bonne unité de compte pour estimer la volumétrie !

Sans être associé à un projet transversal d’envergure, comme la mise en place d’une GED, d’un e-parapheur,… on peut tout simplement se tenir informé des projets d’informatisation ou de ré-informatisation de services pour émettre des alertes à adresser soit à la direction informatique, soit au service producteur.

Vient ensuite le moment de collecter. En l’absence de SAE ou d’espace de stockage dédié, on pourrait se dire que c’est trop téméraire… Sans doute ! Mais notre histoire nous démontre à ce jour le contraire. Après avoir sondé l’organisation générale de la sécurité du SI de la collectivité (merci Astaré !), il s’avère que la situation villeneuvoise est loin d’être catastrophique. Rassurant donc. Avec l’appui de la DSI, nous avons simplement créé un dossier spécifique parmi nos dossiers bureautiques, à l’intérieur duquel les accès et droits d’écriture sont très restreints, pour stocker les premières données à conserver. Une première solution de stockage, à usage provisoire.

À ce jour, nous y stockons : délibérations municipales, données sociales, données de carrière et quelques archives intermédiaires relatives au courrier. Ces archives représentent environ 1 Go de données non parfaites, puisque nous avons en majorité des formats pdf et xml, mais aussi quelques fichiers xls que nous ne désespérons pas de convertir prochainement.

Ces actions ont progressivement fait l’objet d’une communication interne d’abord ciblée (chefs de service et directeurs généraux concernés), puis générale (comité de direction et outils de communication interne).

En janvier dernier, avec l’appui de la direction informatique, nous avons obtenu un budget de 40 000 € pour l’acquisition d’un système d’archivage électronique. Puis, suite à l’appel à projet ministériel relatif à l’archivage numérique, nous avons élargi le périmètre du projet en menant sur quelques semaines une réflexion sur l’architecture de stockage des données. L’obtention d’une subvention nous permet aujourd’hui d’envisager l’acquisition du SAE ainsi que de baies de stockage dédiées, avec des conditions de sécurité renforcées.

Céline Sename
chargée des archives électroniques aux Archives municipales de Villeneuve-d’Ascq

 

Présentation de la nouvelle version du référentiel général de sécurité

Le nouveau référentiel général de sécurité publiée le 24 juin 2014 remplace la première version publiée par arrêté du Premier ministre le 6 mai 2010. Il vient compléter les règles et les recommandations relatives aux certificats électroniques et contremarques de temps et permet la qualification des prestataires d’audit de la sécurité des systèmes d’information.

Le référentiel général de sécurité (RGS), rédigé par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et le Secrétariat général pour la modernisation de l’action publique (SGMAP), fournit un ensemble de règles et de bonnes pratiques en matière de sécurité des systèmes d’information. Il s’adresse aux autorités administratives (DSI, RSSI et chefs de projet) et aux prestataires qui collaborent à leurs travaux de sécurisation.

Le RGS doit permettre aux autorités administratives de conformer leurs systèmes d’information (SI) aux exigences de sécurité afin de protéger les données (notamment à caractère personnel) qu’elles exploitent, à la fois dans les relations qu’elles entretiennent entre elles, mais également avec tout autre organisme.

De même, il doit servir aux prestataires pour adapter leurs solutions en fonction des besoins. Un mécanisme de labellisation est d’ailleurs prévu par le référentiel.

Pour rendre conformes les systèmes d’information au RGS, les autorités administratives peuvent appliquer une démarche en 5 étapes :

  • Analyse des risques
  • Définition des objectifs de sécurité
  • Choix et mise en œuvre des mesures appropriées de protection et de défense
  • Homologation de sécurité
  • Suivi opérationnel de la sécurité

Le RGS 2.0 se décompose en dix chapitres. Les deux premiers servent d’introduction, rappelant le contexte de rédaction du document et les étapes à respecter pour être conforme au référentiel. Les parties 3 à 4 décrivent techniquement les différentes règles de sécurité à appliquer. Les deux suivantes traitent de la qualification des prestataires et de leurs produits ainsi que de la validation des certificats. Le chapitre 7 est un guide de recommandations à destination des autorités administratives. Les deux derniers chapitres fournissent des indications de planning de mise en conformité et des références vers des annexes.

Les bonnes pratiques et les usages énumérés par le RGS 2.0, en matière de méthodologie, de procédures et d’organisation sont les suivants :

1) Organisation de la sécurité des systèmes d’information

Pour atteindre cet objectif, l’autorité administrative doit mettre en place :

  • une organisation qui supporte les responsabilités de la sécurité des systèmes. Elle doit être dotée de moyens matériels suffisants pour exercer sa fonction et assurer la gestion des risques et des incidents qui pourraient en découler. Elle peut s’appuyer sur une chaîne SSI basée elle-même sur un RSSI, OSSI, correspondants SSI….
  • un système de management de la sécurité des systèmes d’information permettant de planifier, de mettre en place des mesures de protection et de vérifier l’adéquation des procédures par rapport aux objectifs.
  • une politique de sécurité (PSSI) générale ou modifiée en fonction des besoins de l’autorité administrative.

2) Implication des instances décisionnelles

Les instances décisionnelles des autorités administratives doivent s’impliquer dans la sécurisation des SI. Ce sont elles qui définissent les objectifs et qui sont responsables des orientations à prendre en matière de sécurisation.

3) Adaptation des efforts de protection aux enjeux de sécurité

Il est important d’adapter la sécurité des SI aux enjeux des systèmes eux-mêmes et aux besoins des autorités administratives. De cette manière, la mise à disposition des moyens financiers et humains peut être plus efficace.

4) Adoption d’une démarche globale

Toutes les démarches de sécurité à mettre en œuvre doivent être pensées de manière globale et cohérente. L’application de cette règle évite la dispersion des moyens et des efforts. D’autre part, les prises de décisions doivent être réalisées à tous les niveaux hiérarchiques.

La problématique de sécurité doit être impérativement pensée en amont d’un projet, durant la phase de définition des besoins fonctionnels d’un SI, pour éviter des surcoûts tardifs, pour favoriser l’efficacité des mesures et pour favoriser l’appropriation de ces mesures par les équipes chargées de les appliquer.

5) Sensibilisation du personnel

Tous les agents d’une autorité administrative ainsi que les utilisateurs tiers doivent suivre une formation pour être sensibilisés aux procédures de sécurité.

La compréhension des enjeux permettant de réduire les risques encourus par les SI, les formations doivent être régulières.

6) Prise en compte des contraintes de sécurité dans les contrats et les achats

Il est primordial d’insérer dans les cahiers des charges des exigences en matière de sécurité, conformément à la politique définie au sein de l’autorité administrative. Les demandes peuvent porter sur la maintenance des applications, la prise en compte des failles, ainsi que la capacité des prestataires à répondre de manière appropriée à des incidents ou à des crises.

En ce qui concerne les offres de services dites « en nuage », certains risques spécifiques doivent être pris  en compte. Les exigences de sécurité doivent être en adéquation avec cette réalité.

7) Mise en place de mécanismes de défense

En plus des mécanismes de protection, les autorités administratives doivent également adopter des mesures de défense de leurs SI, pour détecter les malveillances, tracer les opérations et conserver les preuves d’infractions.

8) Utilisation des produits et des prestataires labellisés

La qualification est un label qui permet d’attester la confiance à accorder à des produits de sécurité et aux prestataires, ainsi que leur conformité au RGS. Il est nécessaire que les autorités administratives aient recours à des produits ou à des prestataires labellisés.

9) Élaboration de plans de traitement d’incidents et reprise d’activité

Les responsables de la sécurité des SI doivent prévoir des incidents de sécurité et donc mettre en place des plans de continuité d’activité et des plans de reprise d’activité.

10) Réalisation d’audits réguliers et d’une veille sur les menaces

Il est recommandé que les autorités administratives réalisent des audits de sécurité régulièrement. Elles peuvent utiliser les services de prestataires tiers qui ont, si possible, obtenu une qualification.

Parallèlement, il est indispensable de mettre en œuvre une veille technique sur les menaces de vulnérabilité afin d’y répondre de manière adéquat lorsque c’est nécessaire.

11) Privilégier l’interopérabilité

Le RGS 2.0 considère que la question de l’interopérabilité est importante pour permettre à l’administration électronique d’évoluer. Il est en effet indispensable que les autorités administratives et leurs partenaires puissent échanger de l’information entre SI.

 

Principales différences entre le RGS 1.0 et le RGS 2.0

La nouvelle version du RGS fournit essentiellement des informations complémentaires sur les questions du certificat électronique et de la contremarque de temps. Ces principes sont cités dans la première version du référentiel, mais ils font l’objet d’un développement plus détaillé dans la nouvelle.

Par exemple, au sujet du certificat électronique, il est désormais possible de disposer :

  • de certificats à mono-usage pour les fonctions d’authentification de personne physique ou de serveur, de signature, de cachet et de confidentialité ;
  • de certificats à double usage pour les fonctions d’authentification de personne physique et de signature électronique.

De même, le RGS 2.0 présente de nouveaux critères pour qualifier les prestataires d’audit. En se basant sur des référentiels associés (également consultables sur le site de l’ANSSI), les autorités administratives peuvent se baser sur des critères précis d’évaluation.

Le RGS 2.0 propose enfin un certain nombre de nouvelles recommandations relatives à sa mise en application par les autorités administratives.

 

Une version de transition

La nouvelle version du référentiel est dite « de transition » entre une première version liée à la mise en œuvre de l’administration électronique et une troisième version qui se fondera sur la réglementation européenne en cours d’évolution.

Les autorités administratives doivent être en conformité avec le référentiel au plus vite. Cependant, des mesures transitoires pourront encore s’appliquer pour les services de certification et d’horodatage électroniques.

 

Pour consulter le RGS 2.0, rendez-vous sur cette page.

Baptiste Nichele,

Bureau du traitement et de la conservation