Archives par mot-clé : Sécurité informatique

Stockage des données électroniques, SAE et système d’information des archives

Dans le cadre du projet AD-ESSOR d’accompagnement des collectivités territoriales pour le développement de l’archivage électronique, Céline Sename, chargée des archives électroniques aux Archives municipales de Villeneuve-d’Ascq, et Martine Dellettre, RSSI et CIL au sein de la DSI, rappellent l’importance de la sécurité informatique comme premier pas vers l’archivage électronique et évoque la question de l’articulation d’un système d’archivage électronique (SAE) avec un système d’information archivistique (dans ce cas, Avenio).

Les travaux en cours sur l’archivage électronique avec l’aboutissement de quelques opérations de collecte impliquent aussi une réflexion main dans la main avec la direction des Systèmes d’information (DSI) sur le stockage. Les contraintes techniques très normées pour les archives électroniques s’intègrent aux réflexions sur celles du système d’information (SI) global de la collectivité.

Une structure qui découle d’un consensus Archives / DSI

Quatre points cruciaux ont rapidement fait consensus :

  1. Périmètre : les archives électroniques font partie du SI de la collectivité, il s’agit de données comme les autres qui bénéficient donc du même socle commun de sécurisation. À ce socle commun se greffe un niveau d’exigence supérieur, adapté à la conservation des archives. Les volumes dédiés aux archives électroniques contiennent également les fonds d’archives numérisés.
  2. Sauvegarde : les archives électroniques constituent par nature des données statiques, les seules mises à jour réalisées étant celles liées aux métadonnées et aux migrations de format. Au quotidien, ce sont des données stables et figées, donc rassurantes pour les gestionnaires de serveurs, car elles ne nécessitent pas de sauvegardes heure par heure ou plusieurs fois par jour. Une sauvegarde quotidienne des données est donc jugée suffisante.
  3. Disponibilité : en cas de problème, de panne du système, est-ce que les archives électroniques doivent être re-mobilisables dans l’instant ? Un délai est-il tolérable ? Et quel est-il ? En l’état actuel de la collecte et des besoins en matière de consultation des données (intranet ou internet), un stockage sur plusieurs sites est prévu, avec des sauvegardes sur chaque site. Si un site tombe, un délai de remise en service est toléré, de l’ordre de 24h maximum.
  4. Pérennité, LE point névralgique : création d’un nouveau site de stockage pour dupliquer les archives électroniques.

Description de l’infrastructure de stockage

  • Architecture et espaces de stockage : les serveurs sont intégrés dans une infrastructure de virtualisation (VMware, ESX, vSphere). Le stockage se fait sur une baie de disques de type SAN et les disques sont en Raid 5.
  • Sécurité physique des locaux : accès restreint aux locaux abritant l’infrastructure du réseau (dont les serveurs). Sur le site principal : local doté d’un système de verrouillage électronique, climatisation et protection contre l’incendie, onduleur.
  • Sauvegardes : la solution de sauvegarde/restauration est Time Navigator (TiNa). Les sauvegardes sont au minimum quotidiennes. Elles sont de type Disk to Disk to Tape (baie SAN + robot et bibliothèque de bandes).
  • Protection du réseau, éléments principaux : compartimentation du réseau (DMZ, VLAN), firewall qui filtre les accès de l’intérieur vers l’extérieur et inversement, dispositif de filtrages des requêtes en entrée et sortie, antivirus.
  • Sécurisation des accès, traçabilité : annuaire LDAP de type Active directory, connexion sur authentification (politique de mot de passe fort et sécurisation des postes de travail), gestion raisonnée des habilitations aux ressources matérielles et logicielles, journalisation et surveillance des opérations de maintenance des logiciels et équipements, y compris dans les opérations réalisées à distance.
  • Dimension : étant donné le volume global du SI et sur la base d’un accroissement annuel actuel d’1 à 2 Go, on estime que la capacité de stockage nécessaire est légèrement supérieure à 1 To.

La composition de cette infrastructure ainsi que toutes les mesures de sécurité mises en œuvre s’appuient sur les recommandations de l’ANSSI (Agence nationale de la sécurité des systèmes d’information).

Articulation avec Avenio

Avenio a été déployé en 1999 à Villeneuve-d’Ascq. L’application répond aux attentes du service pour la gestion du papier notamment grâce à ses modules spécifiques pour la description des délibérations, des autorisations d’urbanisme et des documents figurés.
La solution adoptée pour l’archivage électronique consiste donc à acquérir un SAE qui assure la gestion des entrées, la planification de la pérennisation et la gestion des données électroniques collectées. Un interfaçage avec Avenio doit être mis en œuvre dont la faisabilité est garantie par les deux éditeurs impliqués.

Le maintien d’Avenio implique le renforcement de son rôle d’interface unique pour la recherche et pour l’accès en ligne aux archives (AvenioWeb). On s’épargne ainsi les inconvénients d’une éventuelle reprise de données avec risque de pertes d’information (tant par rapport aux modules spécifiques d’Avenio qu’aux données d’indexation très fournies dans notre service).

La conception de cette infrastructure a permis de renforcer l’équipe projet autour du SAE et a été l’occasion d’identifier et de définir plus finement les rôles et responsabilités de chacun. C’est l’ensemble du SI des Archives qui a été soumis à réflexion, de même que la place de celui-ci dans le SI de la collectivité.

À ce jour le déploiement des baies de stockage a commencé. Le SAE sera choisi avant la fin de cette année.

Céline Sename, chargée des archives électroniques aux Archives municipales de Villeneuve-d’Ascq

Martine Dellettre, RSSI et CIL au sein de la DSI de la ville de Villeneuve-d’Ascq

Présentation de la nouvelle version du référentiel général de sécurité

Le nouveau référentiel général de sécurité publiée le 24 juin 2014 remplace la première version publiée par arrêté du Premier ministre le 6 mai 2010. Il vient compléter les règles et les recommandations relatives aux certificats électroniques et contremarques de temps et permet la qualification des prestataires d’audit de la sécurité des systèmes d’information.

Le référentiel général de sécurité (RGS), rédigé par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et le Secrétariat général pour la modernisation de l’action publique (SGMAP), fournit un ensemble de règles et de bonnes pratiques en matière de sécurité des systèmes d’information. Il s’adresse aux autorités administratives (DSI, RSSI et chefs de projet) et aux prestataires qui collaborent à leurs travaux de sécurisation.

Le RGS doit permettre aux autorités administratives de conformer leurs systèmes d’information (SI) aux exigences de sécurité afin de protéger les données (notamment à caractère personnel) qu’elles exploitent, à la fois dans les relations qu’elles entretiennent entre elles, mais également avec tout autre organisme.

De même, il doit servir aux prestataires pour adapter leurs solutions en fonction des besoins. Un mécanisme de labellisation est d’ailleurs prévu par le référentiel.

Pour rendre conformes les systèmes d’information au RGS, les autorités administratives peuvent appliquer une démarche en 5 étapes :

  • Analyse des risques
  • Définition des objectifs de sécurité
  • Choix et mise en œuvre des mesures appropriées de protection et de défense
  • Homologation de sécurité
  • Suivi opérationnel de la sécurité

Le RGS 2.0 se décompose en dix chapitres. Les deux premiers servent d’introduction, rappelant le contexte de rédaction du document et les étapes à respecter pour être conforme au référentiel. Les parties 3 à 4 décrivent techniquement les différentes règles de sécurité à appliquer. Les deux suivantes traitent de la qualification des prestataires et de leurs produits ainsi que de la validation des certificats. Le chapitre 7 est un guide de recommandations à destination des autorités administratives. Les deux derniers chapitres fournissent des indications de planning de mise en conformité et des références vers des annexes.

Les bonnes pratiques et les usages énumérés par le RGS 2.0, en matière de méthodologie, de procédures et d’organisation sont les suivants :

1) Organisation de la sécurité des systèmes d’information

Pour atteindre cet objectif, l’autorité administrative doit mettre en place :

  • une organisation qui supporte les responsabilités de la sécurité des systèmes. Elle doit être dotée de moyens matériels suffisants pour exercer sa fonction et assurer la gestion des risques et des incidents qui pourraient en découler. Elle peut s’appuyer sur une chaîne SSI basée elle-même sur un RSSI, OSSI, correspondants SSI….
  • un système de management de la sécurité des systèmes d’information permettant de planifier, de mettre en place des mesures de protection et de vérifier l’adéquation des procédures par rapport aux objectifs.
  • une politique de sécurité (PSSI) générale ou modifiée en fonction des besoins de l’autorité administrative.

2) Implication des instances décisionnelles

Les instances décisionnelles des autorités administratives doivent s’impliquer dans la sécurisation des SI. Ce sont elles qui définissent les objectifs et qui sont responsables des orientations à prendre en matière de sécurisation.

3) Adaptation des efforts de protection aux enjeux de sécurité

Il est important d’adapter la sécurité des SI aux enjeux des systèmes eux-mêmes et aux besoins des autorités administratives. De cette manière, la mise à disposition des moyens financiers et humains peut être plus efficace.

4) Adoption d’une démarche globale

Toutes les démarches de sécurité à mettre en œuvre doivent être pensées de manière globale et cohérente. L’application de cette règle évite la dispersion des moyens et des efforts. D’autre part, les prises de décisions doivent être réalisées à tous les niveaux hiérarchiques.

La problématique de sécurité doit être impérativement pensée en amont d’un projet, durant la phase de définition des besoins fonctionnels d’un SI, pour éviter des surcoûts tardifs, pour favoriser l’efficacité des mesures et pour favoriser l’appropriation de ces mesures par les équipes chargées de les appliquer.

5) Sensibilisation du personnel

Tous les agents d’une autorité administrative ainsi que les utilisateurs tiers doivent suivre une formation pour être sensibilisés aux procédures de sécurité.

La compréhension des enjeux permettant de réduire les risques encourus par les SI, les formations doivent être régulières.

6) Prise en compte des contraintes de sécurité dans les contrats et les achats

Il est primordial d’insérer dans les cahiers des charges des exigences en matière de sécurité, conformément à la politique définie au sein de l’autorité administrative. Les demandes peuvent porter sur la maintenance des applications, la prise en compte des failles, ainsi que la capacité des prestataires à répondre de manière appropriée à des incidents ou à des crises.

En ce qui concerne les offres de services dites « en nuage », certains risques spécifiques doivent être pris  en compte. Les exigences de sécurité doivent être en adéquation avec cette réalité.

7) Mise en place de mécanismes de défense

En plus des mécanismes de protection, les autorités administratives doivent également adopter des mesures de défense de leurs SI, pour détecter les malveillances, tracer les opérations et conserver les preuves d’infractions.

8) Utilisation des produits et des prestataires labellisés

La qualification est un label qui permet d’attester la confiance à accorder à des produits de sécurité et aux prestataires, ainsi que leur conformité au RGS. Il est nécessaire que les autorités administratives aient recours à des produits ou à des prestataires labellisés.

9) Élaboration de plans de traitement d’incidents et reprise d’activité

Les responsables de la sécurité des SI doivent prévoir des incidents de sécurité et donc mettre en place des plans de continuité d’activité et des plans de reprise d’activité.

10) Réalisation d’audits réguliers et d’une veille sur les menaces

Il est recommandé que les autorités administratives réalisent des audits de sécurité régulièrement. Elles peuvent utiliser les services de prestataires tiers qui ont, si possible, obtenu une qualification.

Parallèlement, il est indispensable de mettre en œuvre une veille technique sur les menaces de vulnérabilité afin d’y répondre de manière adéquat lorsque c’est nécessaire.

11) Privilégier l’interopérabilité

Le RGS 2.0 considère que la question de l’interopérabilité est importante pour permettre à l’administration électronique d’évoluer. Il est en effet indispensable que les autorités administratives et leurs partenaires puissent échanger de l’information entre SI.

 

Principales différences entre le RGS 1.0 et le RGS 2.0

La nouvelle version du RGS fournit essentiellement des informations complémentaires sur les questions du certificat électronique et de la contremarque de temps. Ces principes sont cités dans la première version du référentiel, mais ils font l’objet d’un développement plus détaillé dans la nouvelle.

Par exemple, au sujet du certificat électronique, il est désormais possible de disposer :

  • de certificats à mono-usage pour les fonctions d’authentification de personne physique ou de serveur, de signature, de cachet et de confidentialité ;
  • de certificats à double usage pour les fonctions d’authentification de personne physique et de signature électronique.

De même, le RGS 2.0 présente de nouveaux critères pour qualifier les prestataires d’audit. En se basant sur des référentiels associés (également consultables sur le site de l’ANSSI), les autorités administratives peuvent se baser sur des critères précis d’évaluation.

Le RGS 2.0 propose enfin un certain nombre de nouvelles recommandations relatives à sa mise en application par les autorités administratives.

 

Une version de transition

La nouvelle version du référentiel est dite « de transition » entre une première version liée à la mise en œuvre de l’administration électronique et une troisième version qui se fondera sur la réglementation européenne en cours d’évolution.

Les autorités administratives doivent être en conformité avec le référentiel au plus vite. Cependant, des mesures transitoires pourront encore s’appliquer pour les services de certification et d’horodatage électroniques.

 

Pour consulter le RGS 2.0, rendez-vous sur cette page.

Baptiste Nichele,

Bureau du traitement et de la conservation