MAITRISE DES SERVICES EN LIGNE

Transcription

1 Page 1 of 9 MAITRISE DES SERVICES EN LIGNE 1. L'enjeu 2. Le Cloud & le SaaS 3. La sécurité du document 4. Le tiers de confiance 5. La preuve 6. Les exemples d'application 7. Les services RICOH 8. Conclusion 1. L'enjeu 1.1 L'enjeu Comme on a parfois l impression d être submergé par quelques idées, concepts et paperasses, ce module a pour objectif de vous aider à ranger et ordonnancer les éléments clefs et évolutions d un document dématérialisé. Dans ce cadre, vous allez découvrir les notions fondamentales qui régissent services, technologies et réglementation, pour l'usage du document numérique, au même titre qu'un document papier : le Cloud et le SaaS, les contraintes sécurité du document, les tiers de confiance, la notion de preuve. 2. Le Cloud & le SaaS 2.1 Cloud : partager des ressources sur le réseau

2 Page 2 of 9 Le Cloud Computing ou «informatique dans les nuages» désigne une forme d architecture informatique dans laquelle les ressources matérielles, logicielles sont partagées sur le réseau. Elles sont utilisées à la demande quelque soit le lieu où elles sont physiquement situées. Les utilisateurs accèdent simplement à un service à partir du réseau Internet. 2.2 SaaS :Software-as-a Service Le SaaS est un modèle à la fois technique et économique pour commercialiser les logiciels à l usage. Les utilisateurs accèdent aux applications depuis leur navigateur, sans installer de logiciel sur le poste de travail. L architecture mutualise autant que possible les couches applicatives et gère de manière séparée les paramètres clients. Un modèle qui permet aux entreprises de bénéficier d un environnement évolutif, sécurisé avec des ressources performantes à moindre coûts. 2.3 Les clefs du SaaS 1ère : Les risques pour l entreprise Les entreprises n ont pas toujours, à tout instant, les moyens suffisants pour garantir une sécurité optimale, une sauvegarde de leurs données. Le modèle SaaS leur permet d accéder à moindre coûts à un environnement souvent plus fiable et sécurisé qu en moyens propres. 2ème : La tarification à l usage Seuls les coûts de mise en place, de formation sont à prévoir. L'entreprise paie un forfait adapté à ses besoins, sans coûts cachés de gestion d'infrastructures, maintenance et en relation avec sa consommation. 3ème : La sécurité La mutualisation des coûts permet aux fournisseurs de services de proposer un environnement certifié ISO et très sécurisé (protection des données personnelles). La mise en œuvre de tels environnements est généralement, hors de portée, pour grand nombre d entreprises. 4ème : Les aspects légaux, règlementaires et réversibilité Ils sont garantis et contractualisés par les opérateur locaux ou de dimensions internationales qui intègrent les obligations réglementaires des entreprises selon leur implantation. 5ème : La disponibilité 24/24 /7/7 Les engagements des entreprises fournisseurs sont basés sur des garanties de contrat de services. Elles mettent en œuvre des moyens de redondance et de continuité de service sur des plages souvent plus étendues qu'une entreperise ne peut tenir seule. 6ème : La productivité du SaaS Les applications partagées sont généralement optimisées pour les réseaux et de par leur accessibilité sans tenir compte du lieu géographique, sans interruption des services. Elles constituent un nouveau levier très important de productivité pour les entreprises.

3 Page 3 of 9 3. La sécurité du document 3.1 Quelques repères Le coffre fort numérique : un espace de stockage de données Electronique Espace d archivage sécurisé C'est un système d'archivage basé sur une infrastructure sécurisée (redondance, accès contrôlé, etc.) permettant à minima de garantir la sécurité et l'intégrité des documents au cours de leur conservation. L'espace d archivage "à vocation probatoire" C'est le système d'archivage de données mettant en œuvre des processus et des mécanismes de sécurité (horodatage, empreinte du document, signature numérique, etc.), réalisés par des tiers, pour apporter une valeur juridique à la conservation intègre du document et à sa lisibilité dans le temps. L'horodatage : la date de l événement C'est un ensemble de techniques consistant à associer de manière sûre une date et une heure de référence à des données, dans le but de prouver l'existence de ces données à un date incontestable. 3.2 Quelques repères (suite)

4 Page 4 of 9 L'empreinte : identité du document Une empreinte de document doit être prise au moment du stockage du fichier. Cette empreinte correspond à une suite de caractères déduite du document (fonction de hachage, cryptage) qui identifie le document. ISMS : Information Security Managment System La politique ISMS vise à garantir la confidentialité, l intégrité et la disponibilité de l ensemble des informations, entrantes, circulantes, sortantes au sein de l entreprise, y compris celles relatives à l externe (clients/fournisseurs). 3.3 Les différents outils (suite) Z version 2009 : la norme La norme NF Z énonce un ensemble de spécifications de l'afnor concernant les mesures techniques et organisationnelles à mettre en œuvre pour l'enregistrement, le stockage et la restitution de documents électroniques afin d'en assurer la conservation et l'intégrité. La norme révisée est destinée aux organismes ou entreprises qui souhaitent mettre en œuvre des systèmes informatiques dans lesquels ils pourront stocker des images des documents électroniques de telle façon que leur fidélité et leur intégrité par rapport aux documents d'origine soient assurées.

5 Page 5 of 9 MoReq 2010 : Modular Requirements for the Management of Electronic Documents and Records Le MoReq est un recueil d'exigences pour l'organisation de l'archivage électronique, élaboré dans le cadre de l'union européenne. C'est une approche opérationnelle de la norme de gestion des documents d'archives ISO MoReq ne se substitue pas à la norme NF Z Le tiers de confiance 4.1 Définition Un tiers de confiance est un organisme habilité à mettre en œuvre des signatures électroniques reposant sur des architectures d infrastructure à clés publiques. Il peut aussi s'agir d'un tiers auquel est confié une copie de la partie secrète d'une clé de chiffrement publique. Quelques tiers de confiance : L Autorité de Certification (AC) édite sa Politique de Certification et en est responsable, l Autorité d Enregistrement applique les principes de la Politique de Certification grâce à des procédures strictes, l Opérateur de Certification met en œuvre, selon la Politique de Certification, les moyens techniques nécessaires à la production et à la sécurisation du processus de création et de gestion des certificats. Par abus de language, certains tiers de confiance ne sont pas réglementés et donc, pas certifiés. Pour autant, ils peuvent agir selon les règles de l'art : Tiers Archiveur (normes et lois) 4.2 Les opérateurs

6 Page 6 of 9 Please enter your text here. 5. La preuve 5.1 La preuve : distinction droit pénal, civil En droit pénal, en droit administratif et en droit du commerce, la preuve est libre : tout document peut donc être utilisé comme preuve dans le cadre des procédures relevant de ces domaines, y compris la copie d'un document papier sur support numérique ou micrographique. Pour en apprécier la valeur probante, le juge sera cependant sensible à la manière dont cette copie aura été réalisée. En droit civil, par contre, les preuves admissibles sont précisément définies et hiérarchisées; une valeur particulière est attribuée aux actes authentiques et aux actes sous seing privé, dont l'établissement, aussi bien sous forme papier que sous forme électronique, doit obéir à des règles particulières. L'article 1348 du code civil; précise qu'il est possible de se dispenser d'une preuve par écrit «lorsqu'une partie ou le dépositaire n'a pas conservé le titre original et présente une copie qui en est la reproduction non seulement fidèle mais aussi durable. Est réputée durable toute reproduction indélébile de l'original qui entraîne une modification irréversible du support». 5.2 La force probante Le code civil : La loi n du 13 mars 2000 L article 1316 : La preuve littérale, ou preuve par écrit, résulte d'une suite de lettres, de caractères, de chiffres ou de tous autres signes ou symboles dotés d'une signification intelligible, quels que soient leur support et leurs modalités de transmission. L article : «L'écrit sous forme électronique est admis en preuve au même titre que l'écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité» L article : «Lorsque la loi n'a pas fixé d'autres principes, et à défaut de convention valable entre les

7 Page 7 of 9 parties, le juge règle les conflits de preuve littérale en déterminant par tous moyens le titre le plus vraisemblable, quel qu'en soit le support. L article : «L'écrit sur support électronique a la même force probante que l'écrit sur support papier».. La Valeur juridique s applique pour des documents conservés sur support photographique ou numérique lorsqu'une partie ou le dépositaire n'a pas conservé le titre original», y compris lorsque la destruction de l'original a été volontaire. 5.3 La convention de preuve : 2 actions combinées 1- La chaine de production : Elle comprend la certification par un tiers habilité, de la chaîne de production d'une copie, d'un scan entre le MFP et la Solution d'archivage Electronique 2- La "Legal Opinion" : Un audit est réalisée par un tiers dûment habilité, sur périmètre de la chaîne de production et en défini la force juridique de la recevabilité de la "preuve", devant le droit, un juge. 6. Les exemples d'application 6.1 Etude de Cas Projet d'échange par voie électronique des ordonnances par constitution de lots d'images dématérialisées entre les pharmacies et les CPAM. Mise en place d'une solution nationale qui a traité les problématiques par les trois dimensions suivantes : 1) Juridique : avec la définition de la valeur de la preuve. La rédaction d'une convention de preuve a permis de donner une valeur identique à l'image dématérialisée qu'au duplicata d'ordonnance. La définition d'une procédure de destruction du duplicata a été mise en place. 2) Technique : notamment sur les conditions incontestables d'acquisition des données et d'intégrité de l'image scannée devenue un "original reconstitué". La fidélité de l'image réside dans l'impossibilité de l'altérer avant envoi. Le processus garantit la seule copie des éléments papier sans possibilité de retouche lors de la constitution de l'image et une fois l' image constituée dans l'attente de son transport. Une signature électronique (CPS/CPE) ainsi que des clés de scellements de l'image sont nécessaires. Les conditions de transmission de la pharmacie à la CPAM (identification et authentification de l'émetteur, chiffrement de transport des flux). La reconstitution des images détruites lors du transport est également traitée en cas de perte/ destruction/accident rendant les flux initiaux inexploitables. 3) Conventionnelle : Certains des points ci-dessus font l'objet d'une rédaction dans un avenant conventionnel qui fixe également les modalités d'indemnisation des pharmaciens. 6.2 Les enjeux du projet A) L Assurance Maladie a évalué le gisement d économies créées par :

8 Page 8 of 9 la fin de la mise à disposition d'un dispositif de ramassage (article 49.2 de la Convention Pharmacie) la fin du remboursement des photocopies d'ordonnance en cas d'absence du duplicata (article 42.2 de la Convention Pharmacie la fin du stockage et de l'archivage des ordonnances devenues plus rapidement lisibles sur un poste informatique en cas de contrôle ciblé B) Les syndicats ont évalué les nouveaux coûts induits en pharmacie : le coût d'achat des scanners pour chaque poste informatique et les nouvelles capacités de stockage et de sauvegarde (en cas de perte de données en cours de journées). Solution : remplacer le photocopieur de la Pharmacie, par un MFP RICOH configuré & connecté aux applications 7. Les services RICOH 7.1 Le cloud et l'offre RICOH L'évolution du marché et des attentes de nos clients, impliquent une transformation progressive de l'équipement Départemental Multifonction vers un interface Départemental de Services, intégré dans le poste de travail de nos clients. La sécurité, l'intégrité, la disponibilité des flux entrants, circulants, sortants, dormants sont devenus avec les services à la demande, les leviers stratégiques, économiques et organisationnels de nos clients. Quelques offres RICOH (cf ci-contre): 7.2 Quelques services mis en prospective Connaître les offres et savoir utiliser les tarifs & argumentaires Les offres de de base sont constituées de : SLA Niveaux d'engagement Partenaires de l'offre Services Cloud Traçabilité Horodatage Empreinte Faxbox X X X Valeur probante Tiers de confiance Scan & Store X X X X X X X i-invoicing Client X X X X X X i-invoicing Z

9 Page 9 of 9 Fournisseur X X Courrier Égrené X X X (Recommandé) X EveryOnePrint X X X X Comment proposer les services en ligne? Les offres de base sont constituées de : Frais d'accès au service Packs services choisis au volume et (prépayés) Packs de dépassement de volume 8. Conclusion 8.1 La confiance : c'est maintenant à nous de l'acquérir pour devenir le Tiers de Confiance de nos clients!