Points clés
- Les régulateurs exigent des preuves de conformité, pas seulement des déclarations d'intention.
- Les durées de conservation varient selon les réglementations et doivent être formalisées dans une politique dédiée.
- Les preuves doivent être intègres, horodatées et accessibles dans des délais contraints.
- Une organisation incapable de produire ses preuves est présumée non conforme, même si les pratiques étaient correctes.
La preuve comme obligation réglementaire
Les cadres réglementaires contemporains — RGPD, ISO 27001, NIS2, SOX — partagent une exigence commune : la documentation des preuves de conformité. Il ne suffit pas d'affirmer que des mesures de sécurité sont en place ; il faut être en mesure de le démontrer. Cette démonstration passe par des enregistrements : logs d'accès, rapports d'audit, comptes rendus de formation, résultats de tests de vulnérabilité. L'organisation qui ne conserve pas ces preuves ne peut pas attester de sa conformité, même si ses pratiques sont irréprochables.
Les durées de conservation réglementaires
Chaque réglementation impose des durées de conservation spécifiques. Le RGPD n'impose pas de durée unique mais exige que les données personnelles ne soient pas conservées au-delà de leur finalité — tout en maintenant les preuves de traitement aussi longtemps que nécessaire pour répondre à une réclamation. D'autres référentiels imposent des durées explicites : cinq ans pour certains enregistrements SOX, dix ans pour des données bancaires dans certaines juridictions. L'organisation doit formaliser ces exigences dans une politique de conservation qui réconcilie les contraintes réglementaires applicables à son secteur.
Les attributs de qualité d'une preuve opposable
Une preuve de conformité n'a de valeur que si elle est intègre, horodatée et authentifiable. Un log modifiable a posteriori n'est pas une preuve — c'est un document suspect. Une attestation de formation sans signature ni date n'est pas probante. Les organisations sérieuses investissent dans des mécanismes de scellement des enregistrements critiques, d'archivage immuable et d'horodatage certifié. Ces dispositifs techniques sont des réponses directes aux exigences probatoires des régulateurs.
L'accessibilité dans les délais requis
Conserver des preuves est nécessaire mais insuffisant — encore faut-il pouvoir les produire dans les délais imposés par les régulateurs. Une demande d'audit peut exiger la mise à disposition de preuves dans des délais de 24 à 72 heures. Une organisation qui stocke ses enregistrements dans des archives non indexées, des boîtes mail personnelles ou des serveurs sans plan de récupération ne sera pas en mesure de respecter ces délais. La conservation des preuves doit être pensée avec la capacité de restitution comme contrainte principale.
Construire une stratégie de conservation des preuves
La stratégie de conservation des preuves repose sur trois piliers : un inventaire des preuves requises par réglementation applicable, une architecture de stockage garantissant intégrité et accessibilité, et un processus de revue périodique pour s'assurer que les enregistrements attendus sont effectivement produits. Cette stratégie ne doit pas être la propriété exclusive de la DSI — elle implique les directions juridique, conformité et métiers qui génèrent les preuves dans leurs activités quotidiennes.