Den digitale sikkerhedskasse, enkelt forklaret
En digital sikkerhedskasse er ikke bare et lagerrum: det er en opbevaringsløsning, der sikrer dine dokumenters integritet, dato og oprindelse over tid. Denne guide forklarer, hvordan den virker, dens bevisværdi, de gældende standarder (NF Z42-020, eIDAS) og de situationer, hvor den bliver uundværlig.
Hvad er en digital sikkerhedskasse?
En digital sikkerhedskasse er en sikker opbevaringstjeneste, der bevarer dine elektroniske dokumenter pålideligt og varigt. Til forskel fra en harddisk eller et almindeligt cloud-lager garanterer den, at hvert dokument forbliver uændret, tidsstemplet og kan udleveres i hele opbevaringsperioden.
I Frankrig er den underlagt et præcist regelsæt: standarden NF Z42-020 fastlægger funktionerne i en »komponent til digital sikkerhedskasse«. Dens rolle er at levere teknisk bevis for datoen og integriteten af hvert dokument, hvilket er en forudsætning for dets bevisværdi i tilfælde af en tvist.
Digital sikkerhedskasse eller elektronisk arkivering: hvad er forskellen?
De to begreber ligger tæt på hinanden, men er ikke det samme. Den digitale sikkerhedskasse (standarden NF Z42-020) er en komponent: den forsegler og opbevarer enkelte dokumenter med bevis for integritet og tidsstempling. Det elektroniske arkivsystem, eller SAE (standarden NF Z42-013), er en bredere organisatorisk og teknisk helhed, der styrer hele arkivets livscyklus: aflevering, klassifikationsplan, endelig bevaring eller kassation og sporbarhed.
I praksis er en digital sikkerhedskasse ofte den byggesten til opbevaring med bevisværdi, der ligger i hjertet af et arkiveringsprojekt. Vil du vide mere, så læs vores guide til elektronisk arkivering og ordlistens opslag om elektronisk arkivering.
Bevisværdi: det, der gør forskellen
Bevisværdi er et dokuments evne til at fungere som bevis. Den bygger på fire tekniske garantier, der leveres ved deponeringen.
Digitalt fingeraftryk
Der beregnes et digitalt fingeraftryk (SHA-256) ved deponeringen: enhver senere ændring, selv af et enkelt tegn, kan opdages.
Tidsstempel efter RFC 3161
Et RFC 3161 tidsstempel udstedt af en tredjepartsautoritet for tidsattest bekræfter datoen for hvert dokument.
Uforanderlighed (WORM)
Dokumentet skrives én gang og kan derefter hverken ændres eller slettes, før opbevaringsperioden er udløbet.
Garanteret udlevering
Du kan få dine dokumenter tilbage når som helst, uden at være afhængig af et proprietært format.
Det normative grundlag: NF Z42-020, NF Z42-013 og eIDAS
Tre tekster danner rammen om opbevaring med bevisværdi. Standarden NF Z42-020 fastlægger funktionerne i en komponent til en digital sikkerhedskasse; standarden NF Z42-013 (videreført i ISO 14641) regulerer det elektroniske arkivsystem som helhed.
På europæisk plan definerer eIDAS-forordningen de kvalificerede tillidstjenester, heriblandt kvalificeret elektronisk tidsstempling, der giver en sikker dato, som kan gøres gældende over for tredjemand. Revisionen eIDAS 2.0 udvider rammen til den europæiske digitale identitetstegnebog. Tilsammen er disse tekster grundlaget for de opbevarede dokumenters juridiske værdi.
Standarden NF Z42-020 i praksis
Standarden NF Z42-020 beskriver de forventede funktioner for en « digital safe-deposit box-komponent » (CCFN): hvad den skal gøre fra et dokuments opbygning til dets tilbageleverance eller sletning. Den handler om denne bevaringskomponent, ikke hele informationssystemet — det er NF Z42-013 som dækker det elektroniske arkiveringssystem i sin helhed.
I praksis er det den, der tjener som reference, når en anbudskonkurrence eller en intern arkiveringspolitik kræver en safe-deposit box « efter standarderne ». At vide, hvad den dækker, gør det muligt at læse en leverandørsvar uden at være afhængig af det komercielle ordforråd alene.
De fem funktioner i en digital safe-deposit box-komponent
- Opbygning og forsegling — dokumentet registreres derefter forseglét med et fingeraftryk, som fryser dets indhold på tidspunktet for opbygningen.
- Integritetskontrol — fingeraftrykket beregnes igen efter anmodning: en ændring, selv på blot en byte, bliver synlig.
- Sporbarhed af operationer — opbygning, konsultation, tilbageleverance og sletning registreres på uændrelig måde.
- Tilbageleverance — indehaveren henter sine dokumenter og de tilhørende beviser i et brugbart format uden afhængighed af leverandøren.
- Kontrolleret sletning — et dokument forsvinder kun ved slutningen af dets opbevaringsperiode, og operationen efterlader et spor.
« Overensstemmelse med NF Z42-020 » og « certificeret NF 203 » betyder ikke det samme
Standarden er en teknisk reference: en udgiver kan implementere dens funktioner og erklære det selv. NF 203 CCFN-certificering bliver derimod udstedt af en tredjepart efter revision, og det er den som specifikationerne sigter på, når de kræver en safe-deposit box « certificeret ». Certyneo Vault implementerer de funktioner, som standarden beskriver — forsegling, RFC 3161-tidsstempel, uforanderlighed, journalisering og tilbageleverance — og gør ikke krav på NF 203-certificering. Når du møder en leverandør, der annoncerer den, skal du altid anmode om certificeringsnummeret i stedet for en overensstemmelsesmention.
Hvornår skal man bruge en digital sikkerhedskasse?
Behovet opstår, så snart et dokument skal opbevares, så det kan gøres gældende, i en lovbestemt eller aftalt periode. Sikkerhedskassen supplerer dermed elektronisk signatur og digitalisering af HR-dokumenter. Her er nogle typiske eksempler:
- Lønsedler — arbejdsgiveren skal stille et sikkert opbevaringssted til rådighed for medarbejderen (den franske Code du travail).
- Underskrevne kontrakter — at opbevare en elektronisk kontrakt med bevisværdi i hele bindingsperioden.
- Fakturaer — arkivering med bevisværdi, som den franske reform af elektronisk fakturering kræver.
- Personlige dokumenter — eksamensbeviser, attester og dokumentation opbevaret sikkert og tilgængeligt hele livet.
Sikkerhed og GDPR-overholdelse
I en seriøs digital sikkerhedskasse krypteres hvert dokument i hvile med en nøgle, der er unik for kassen. Nøglehåndteringen bør bygge på et hardwaresikkerhedsmodul (HSM), som forhindrer, at de kryptografiske nøgler kan trækkes ud.
Opbevaring af personlige dokumenter er omfattet af GDPR: dataminimering, saglig opbevaringsperiode samt ret til indsigt og udlevering. En standardkonform sikkerhedskasse logger alle adgange og sikrer, at kun indehaveren eller en bemyndiget person kan se eller hente dokumenterne.
Digital sikkerhedskasse eller cloud-lagring?
Et cloud-lager (Drive, Dropbox …) er bygget til deling og synkronisering: filerne kan ændres og slettes efter behag, uden bevis for deres tilstand på en given dato.
En digital sikkerhedskasse gør det modsatte: den forsegler, tidsstempler og gør hvert dokument uforanderligt. Det første dækker et behov for bekvemmelighed, det andet et behov for bevis og regelefterlevelse. Du kan i øvrigt kontrollere integriteten af et underskrevet dokument når som helst.
Hvor længe skal man opbevare sine dokumenter?
Opbevaringsperioden afhænger af dokumentets art og af dine lovmæssige forpligtelser. I en digital sikkerhedskasse kan du for hvert dokument fastsætte en periode, hvor det forbliver uforanderligt, og derefter eventuelt en kontrolleret sletning. Her er nogle almindelige holdepunkter i Frankrig:
| Dokument | Vejledende opbevaringsperiode |
|---|---|
| Lønseddel (medarbejder) | indtil pensionering, derefter + 3 år (livsvarigt anbefalet) |
| Faktura (kunde eller leverandør) | 10 år |
| Handelskontrakt | 5 år efter kontraktens ophør |
| Skattedokumenter | Mindst 6 år |
| Personlige attester og eksamensbeviser | hele livet |
Er du klar til at opbevare dine dokumenter med bevisværdi?
Certyneo Vault: den digitale sikkerhedskasse til privatpersoner og virksomheder.
Se også vores priser og tilbuddet Certyneo Vault.
Ofte stillede spørgsmål
Er en digital sikkerhedskasse obligatorisk?
Den er ikke altid obligatorisk, men bliver det i praksis i flere tilfælde: digitale lønsedler, arkivering af fakturaer (den franske e-fakturareform) og opbevaring af kontrakter med bevisværdi.
Hvad er forskellen i forhold til elektronisk signatur?
Den elektroniske signatur skaber et bindende dokument; den digitale sikkerhedskasse opbevarer det derefter uforanderligt, så det kan gøres gældende. De to ting supplerer hinanden.
Er mine dokumenter krypteret?
Ja. Hos Certyneo krypteres hvert dokument i hvile med en nøgle, der er unik for din sikkerhedskasse.
Hvor længe opbevares et dokument?
Opbevaringsperioden kan tilpasses dine lovmæssige forpligtelser og er som standard 10 år.
Har en digital sikkerhedskasse juridisk værdi?
Ja. Takket være det digitale fingeraftryk og tidsstemplingen efter RFC 3161 har et dokument, der opbevares i en standardkonform digital sikkerhedskasse, bevisværdi: det kan fremlægges som bevis, og både dets dato og dets integritet kan efterprøves af en udenforstående part.
Hvad er forskellen på en digital sikkerhedskasse og et elektronisk arkivsystem (SAE)?
Den digitale sikkerhedskasse (NF Z42-020) er den komponent, der forsegler og opbevarer et dokument med bevisværdi. Det elektroniske arkivsystem, SAE (NF Z42-013), er det samlede system, der styrer hele dokumentets livscyklus. Det første er ofte en byggesten i det andet.
Hvad er standarden NF Z42-020?
Det er den franske standard, der fastlægger de funktioner, en digital sikkerhedskasse skal have: deponering med digitalt fingeraftryk, tidsstempling, uforanderlig opbevaring (WORM), sporbarhed og garanteret udlevering.
Hvordan får jeg mine dokumenter tilbage?
Udlevering er garanteret når som helst, i et åbent format og uden afhængighed af et proprietært værktøj, både af filen og af de tilhørende beviser (fingeraftryk og tidsstempeltoken).
Hvad er forskellen mellem standarden NF Z42-020 og certificeringen NF 203?
NF Z42-020 er den tekniske standard; certificeringen NF 203 CCFN udstedes af et tredjepartsselskab, der audierer et produkt i forhold til denne standard. En udgiver kan således være i overensstemmelse med standarden uden at være certificeret. Hvis dine specifikationer kræver certificering, skal du anmode om certificeringsnummeret.
Skal et digitalt værdiskab være certificeret?
Intet tekst foreskriver det generelt. Certificering bliver et kriterium, når det optræder i et tilbudsopkald eller i en intern arkiveringspolitik. I andre tilfælde er det, der betyder noget, den beviskedja, der faktisk er implementeret: fingeraftryk, tidsstempel, uforanderlighed og adgangslog.
