Patriot Act "à la Française" ?

A la suite de la journée de la marche historique de dimanche 11 janvier, les médias évoquent ce lundi matin un nécessaire Patriot Act ! Nécessaire ou pas ? périmètre large et profond ou non ? d'une durée courte ou reconduite en permanence ? sont des questions politiques !

La question de l'accès permanent et avec peu de contrôle démocratique aux données et document en est une autre. Quel rôle spécifique serait dévolu à la CNIL dans ce cas là ?

L'exigence (pour le service public) ou la préférence (pour le privé) actuelle de disposer d'un Cloud souverain lorsqu'on externalise la gestion et l'archivage de ses données et document produits et reçus pourrait être à cette occasion revisitée.

Gardons vigilance sur ce point nonobstant l'horreur des événements qui se sont produits la semaine dernière !

Archivage dans le cloud : jusqu'où ?

Premier événement de 2014  pour la profession : l'Association française des archivistes a organisé de main de maître la journée consacrée à un sujet difficile : Quelle gouvernance de l’Information avec le Cloud Computing ?
Richesse des contenus et des débats ont été au rendez vous et, puisque sujet sur le Cloud et sur la gouvernance il y a, quelques idées :

• Gérer  et traiter nos données en mode cloud, oui, c'est le sens de l'histoire.. à la condition de rester vigilant sur la territorialité notamment pour traiter le sujet des données personnelles.
• Associer cloud et records management comme outil de la gouvernance des données en cloud aussi
• Réfléchir sur archivage électronique vs archivage électronique en mode cloud. C'est ici, s'arrêter et écouter Frédéric Bregier; DSI au ministère de la culture et de la communication qui explique avec une clarté exemplaire les différences entre les niveaux de service en cloud : IaaS comme infrastructure, PaaS comme Plateforme et enfin SaaS comme Service. Trois niveaux de services qui vont de la simple mise à disposition d'une architecture technique à la mise à disposition de l'utilisateur final du service final. En ce qui concerne la gestion d'un système d'archivage électronique à vocation probatoire, il faut identifier si les services ou la plateforme ou l'infrastructure sont  suffisamment isolés pour permettre une conformité suffisante à une norme comme celle de la NFZ 42-013. Pour l'offre IaaS, c'est possible, je pense, en traitant la question en cloud "privé", pour les PaaS et SaaS, ce serait déjà plus compliqué, que cela ne m'étonnerait pas. 

A-t-on besoin de métadonnées spécifiques pour le records management ?

Le 4^ème Livre Blanc de juin 2013 de la CN11 Afnor  livre des clés pour gérer les données dans le cadre des big data et du cloud storage.

Pourquoi les documents gérés dans le cadre des systèmes de records management nécessitent des métadonnées spécifiques ?

C’est le sujet traité dans le quatrième livre blanc intitulé :ISO 30300 - 30301 : métadonnées pour les documents d’activité. Principesdirecteurs, vue conceptuelle et modalités. 

Ce livre blanc est publié par Afnor et produit par la Commission de normalisation française Afnor (CN11) consacrée à la gestion des documents d’activités (ou records management).

« Il s’agit d’un domaine particulièrement sensible puisque les « données sur les données » permettent d’identifier, de retrouver et d’échanger de l’information entre les systèmes. De plus, certaines métadonnées peuvent contribuer à donner une valeur de preuve. De fait et avec l’arrivée du Big Data et de l’activité économique autour du Cloud Computing, la gestion et préalablement la définition des métadonnées ont de fait un caractère stratégique. »

Le ton est donné : aucun oubli sur ce sujet n’est possible dès qu’on doit mettre en place un système de gestion documentaire : gestion du courrier, gestion électronique de document, archivage (avec ou sans vocation probatoire), les métadonnées doivent être adaptées et respecter les principes exposés dans les normes ISO 23081 (1 à 3).

Pour répondre aux besoins de purge, de transparence, de suivi, d’archivage, de transmission, et d’interopérabilité entre systèmes, chaque document doit être tracé, et donc enrichi et accompagné de ses métadonnées tant pour son identification que pour sa gestion.

C’est d’autant plus critique que l’application ad’hoc des métadonnées s’inscrit dans la mise en œuvre des normes ISO 30301 qui sont désormais certifiables.

Le Livre Blanc est aussi un référentiel international

La CN11, sous l’impulsion de Michel Cottin, Record manager chez Orange et président, et des associations professionnelles,  a inclus dans ce 4^ème Livre Blanc des collaborations internationales qui permettent immédiatement à ce Livre Blanc de dépasser le cadre strict de l’hexagone : des retours d’expériences et des contributions sont luxembourgeoises, canadiennes, commission européenne, autant que françaises. Bien entendu, la traduction en anglais est aussi disponible dans le même document.

Perspectives techniques

Un zoom est fait sur la différence entre un référentiel comme Dublin Core et les besoins des métadonnées de records management, et sur la nécessité de produire et ensuite gérer des numéros d’identification uniques (à l’instar de numéros comme ISBN  ou de numéros comme NOR ou ECLI).

Un lien pertinent est aussi signalé entre les besoins de métadonnées spécifiques à la gestion des documents d’activité est la réponse aux exigences produits par les référentiels comme les normes relatives à la sécurité des informations (série des normes ISO 27000) et celles qui en découlent et qui concernent plus particulièrement le cloud computing (ISO 27017, 018, etc.).

Perspectives normatives

A noter pour les experts que ce Livre Blanc s’inscrit aussi dans le contexte de la révision de la norme ISO 15489 et qu’il propose des pistes pour une possible et future révision de la série des normes ISO 23081.

Merci à toute l'équipe de la CN11.