La restauration s'est terminée un dimanche soir. Le mardi, les grands livres s'ouvrent, les contrats sont de retour dans leurs dossiers, et le responsable financier est en appel avec le réviseur. Le réviseur pose la question à laquelle le logiciel de sauvegarde ne peut pas répondre : comment savons-nous que ces fichiers sont les mêmes que ceux que vous aviez avant l'incident ?
Une sauvegarde montre ce que vous avez maintenant. Elle ne montre pas que rien n'a changé entre la dernière copie saine et celle que vous avez restaurée. Si quelqu'un était dans le réseau pendant des jours avant le début du chiffrement, un fichier restauré peut déjà porter une modification que personne n'a remarquée.
Ce qu'un fichier restauré ne peut pas prouver seul
Un PDF tiré d'une sauvegarde porte une date de modification écrite par l'ordinateur qui l'a enregistré en dernier. Cette date peut être réglée sur n'importe quelle valeur. Le fichier ne garde aucune trace de ce à quoi il ressemblait le mois dernier, et aucun tiers ne s'en portait garant à l'époque. Votre parole qu'il correspond, c'est tout le dossier.
Le droit comptable suisse attend davantage. L'article 3 de l'Ordonnance sur les livres de comptes (Olico) exige que les livres et les pièces comptables soient conservés de manière à ne pas pouvoir être modifiés sans que cela soit constatable. L'article 9, alinéa 1, lettre b admet les supports d'information modifiables à condition que des procédés techniques garantissent l'intégrité des informations enregistrées et que le moment de l'enregistrement puisse être prouvé de manière infalsifiable ; l'ordonnance cite elle-même les procédés de signature numérique et les horodatages comme exemples. L'article 10 ajoute des contrôles réguliers de l'intégrité et de la lisibilité des supports, ainsi qu'un procès-verbal de toute migration, conservé avec les données.
Une restauration déplace des données d'un support à un autre, et le critère de l'article 10 est celui que votre réviseur appliquera : les données ont-elles été reprises complètement et correctement, et pouvez-vous le montrer ?
Ce qu'un scellé ajoute
Quand un document est scellé sur Swiss Trust Layer, une empreinte cryptographique du fichier est calculée. Cette empreinte, et non le fichier, est envoyée à Swisscom Trust Services, le prestataire de services de confiance qualifié, qui la signe avec une clé qui ne quitte jamais son matériel. La signature porte un horodatage selon RFC 3161 et est intégrée au PDF. Le fichier d'origine n'est pas modifié. Chaque version scellée d'un dossier reçoit aussi un certificat de preuve qui liste chaque fichier avec son empreinte et l'heure de scellement en UTC.
Selon l'article 41, paragraphe 2, du règlement eIDAS, un horodatage électronique qualifié bénéficie d'une présomption d'exactitude de la date et de l'heure qu'il indique et d'intégrité des données auxquelles se rapportent cette date et cette heure. L'horodatage prouve que ce fichier précis existait à ce moment et n'a pas changé depuis. Il ne prouve pas qui l'a écrit, si son contenu est vrai, ni qui en détient les droits. Pour une question d'intégrité après une restauration, c'est exactement cette affirmation étroite dont vous avez besoin.
La vérification après une restauration
Prenez la copie restaurée d'un PDF scellé et chargez-la dans le validateur public à l'adresse swisstrustlayer.com/validate. Pas de compte, pas d'inscription. Il contrôle la chaîne de signature, l'autorité de certification émettrice, l'expiration du certificat et l'intégrité de l'horodatage, puis indique qui a signé, quand, avec quel certificat, et si le contenu a été modifié après la signature. Il traite les métadonnées de la signature et ne stocke pas le document.
Si le fichier restauré est intact, le validateur le dit, et l'horodatage date cet état d'avant l'incident. Si quelque chose a changé, l'empreinte ne correspond plus et le validateur signale une modification après signature. Dans les deux cas, la réponse ne repose pas sur votre propre assurance, et une banque, un assureur, une contrepartie ou un réviseur peut faire la même vérification sur sa propre machine.
La limite, dite clairement
Cela aide pour les fichiers qui ont été scellés avant l'incident. Rien d'autre.
Sceller un fichier après la restauration prouve à quoi ce fichier ressemblait le jour où vous l'avez scellé, et montrera tout changement à partir de ce jour. Cela ne dit rien des semaines précédentes. Si un document a été modifié pendant l'intrusion puis scellé sur le système assaini, le scellé fige la version modifiée. Un horodatage ne peut pas être ajouté rétroactivement. Pour tout ce qui n'a pas été scellé plus tôt, vous en revenez à votre parole et aux journaux de sauvegarde, et la démarche sensée est de commencer à sceller maintenant.
Quels documents sceller, et quand
Tout sceller n'est pas le but. Les documents qu'un réviseur ou une contrepartie demandera forment une courte liste, et la plupart se clôturent selon un calendrier :
- Les livres de clôture et les exports qui les sous-tendent, à chaque fin de mois, de trimestre et d'année.
- Les contrats signés, dès que la dernière signature est apposée.
- Les procès-verbaux du conseil d'administration, une fois signés par le président et le rédacteur du procès-verbal.
- Les politiques et procédures, à chaque révision approuvée.
- Les manifestes de sauvegarde, l'inventaire de ce que contient chaque exécution de sauvegarde. Après une restauration, un manifeste scellé montre quel jeu de sauvegarde vous avez utilisé et que son inventaire n'a pas été modifié depuis.
Chaque dossier scellé sur Swiss Trust Layer conserve un historique des versions. Une nouvelle version peut être ajoutée et scellée séparément, avec son propre certificat et une note, de sorte qu'un dossier de fin de mois peut contenir douze versions scellées à la fin de l'année.
Gardez l'original scellé ailleurs
Le scellé couvre une empreinte de votre document, donc le fichier scellé et son certificat doivent eux aussi survivre à l'incident. Si le ransomware atteint le dossier où se trouvent les PDF scellés, l'empreinte ne peut pas les reconstruire. Conservez les deux dans un second endroit, à l'écart des systèmes les plus exposés.
Le portail propose ESCROW Storage comme option de stockage, hébergé en Suisse et lié à l'identité vérifiée du titulaire du compte. Les dossiers scellés qui y sont déposés reçoivent un ESCROW ID pour la récupération. Swisscom Trust Services fournit le stockage, ProLitteris opère l'escrow, Swiss Trust Layer fournit la technologie. Si tous les identifiants sont perdus lors de l'incident, l'identité peut être vérifiée à nouveau, en ligne ou en personne auprès d'un agent KYC, et l'accès rétabli.
Une étape cette semaine
L'article 10 demande des contrôles d'intégrité réguliers et un procès-verbal de chaque migration. Après toute restauration, passez les fichiers scellés dans le validateur, consignez les résultats et conservez ce relevé avec les données.
Choisissez ensuite le document que vous aimeriez le moins devoir défendre de mémoire. Le dernier livre de clôture est un bon candidat. Scellez-le, placez le fichier scellé et son certificat là où le prochain incident ne pourra pas les atteindre, et inscrivez la prochaine fin de mois dans le calendrier. Le mécanisme complet est décrit sur comment ça marche.
Scellez votre premier document sur Swiss Trust Layer et donnez une réponse à la prochaine question.
