Sejf cyfrowy w prostych słowach
Sejf cyfrowy to nie zwykła przestrzeń dyskowa: to rozwiązanie do przechowywania, które przez cały czas gwarantuje integralność, datę i pochodzenie Twoich dokumentów. Ten przewodnik wyjaśnia, jak działa, na czym polega jego wartość dowodowa, jakie są ramy normatywne (NF Z42-020, eIDAS) i w jakich sytuacjach staje się niezbędny.
Czym jest sejf cyfrowy?
Sejf cyfrowy to usługa bezpiecznego przechowywania, która chroni Twoje dokumenty elektroniczne w sposób niezawodny i trwały. W odróżnieniu od dysku twardego czy zwykłej chmury gwarantuje, że każdy dokument pozostaje nienaruszony, opatrzony znacznikiem czasu i możliwy do odzyskania przez cały okres przechowywania.
We Francji podlega on precyzyjnym ramom normatywnym: norma NF Z42-020 określa funkcje „komponentu sejfu cyfrowego”. Jego zadaniem jest dostarczenie technicznego dowodu daty i integralności każdego dokumentu, co jest niezbędnym warunkiem jego wartości dowodowej w razie sporu.
Sejf cyfrowy a archiwizacja elektroniczna: czym się różnią?
Te dwa pojęcia są bliskie, ale nie tożsame. Sejf cyfrowy (norma NF Z42-020) to komponent: pieczętuje i przechowuje pojedyncze dokumenty wraz z dowodem integralności i znacznikiem czasu. System archiwizacji elektronicznej, czyli SAE (norma NF Z42-013), to szerszy zespół rozwiązań organizacyjnych i technicznych, który zarządza całym cyklem życia archiwum: przekazywaniem dokumentów, planem klasyfikacji, postępowaniem z dokumentami po upływie okresu przechowywania i śledzeniem operacji.
W praktyce sejf cyfrowy jest często modułem przechowywania z wartością dowodową, stanowiącym trzon projektu archiwizacji. Więcej dowiesz się z naszego przewodnika po archiwizacji elektronicznej oraz z hasła archiwizacja elektroniczna w słowniku.
Wartość dowodowa: to ona robi różnicę
Wartość dowodowa to zdolność dokumentu do pełnienia funkcji dowodu. Opiera się na czterech gwarancjach technicznych zapewnianych w chwili złożenia dokumentu.
Skrót integralności (hash)
W chwili złożenia dokumentu obliczany jest jego skrót (hash) SHA-256: każdą późniejszą zmianę, nawet jednego znaku, można wykryć.
Znacznik czasu RFC 3161
Token znacznika czasu RFC 3161, wydany przez trzecią stronę będącą organem znacznika czasu, potwierdza datę każdego dokumentu.
Niezmienność (WORM)
Dokument jest zablokowany w trybie jednokrotnego zapisu: nie można go zmienić ani usunąć przed końcem okresu przechowywania.
Gwarantowane odzyskanie dokumentów
Możesz odzyskać swoje dokumenty w każdej chwili, bez uzależnienia od zamkniętego formatu.
Ramy normatywne: NF Z42-020, NF Z42-013 i eIDAS
Przechowywanie z zachowaniem wartości dowodowej opiera się na trzech punktach odniesienia. Norma NF Z42-020 określa funkcje komponentu sejfu cyfrowego; norma NF Z42-013 (przejęta w ISO 14641) reguluje cały system archiwizacji elektronicznej.
Na poziomie europejskim rozporządzenie eIDAS definiuje kwalifikowane usługi zaufania, w tym kwalifikowany elektroniczny znacznik czasu, który nadaje dokumentowi datę pewną, skuteczną wobec osób trzecich. Nowelizacja eIDAS 2.0 rozszerza te ramy o europejski portfel tożsamości cyfrowej. Razem akty te stanowią podstawę mocy prawnej przechowywanych dokumentów.
Norma NF Z42-020 w praktyce
Norma NF Z42-020 opisuje oczekiwane funkcje « cyfrowego sejfu składowego » (CCFN): to, co musi robić od depozytu dokumentu do jego zwrotu lub usunięcia. Dotyczy tego składnika przechowywania, a nie całego systemu informatycznego — to NF Z42-013 które obejmuje system archiwizacji elektronicznej w całości.
Praktycznie rzecz biorąc, to właśnie ona służy jako punkt odniesienia, gdy przetarg lub wewnętrzna polityka archiwizacji wymaga sejfu « zgodnego z normami ». Wiedza o tym, co obejmuje, pozwala przeczytać odpowiedź dostawcy bez polegania wyłącznie na słownictwie handlowym.
Pięć funkcji cyfrowego składnika sejfu
- Depozyt i pieczęć — dokument jest rejestrowany, a następnie pieczętowany odciskiem, który zamraża jego zawartość w momencie depozytu.
- Kontrola integralności — odcisk jest przeliczany na żądanie: jakiekolwiek uszkodzenie, nawet jednego bajtu, staje się widoczne.
- Śledzenie operacji — depozyt, konsultacja, zwrot i usunięcie są rejestrowane w niezmienialny sposób.
- Zwrot — posiadacz odzyskuje swoje dokumenty i dowody do nich dołączone w formacie, który można wykorzystać, bez zależności od dostawcy.
- Kontrolowana usunięcie — dokument znika tylko po upływie okresu przechowywania, a operacja pozostawia ślad.
« Zgodne z NF Z42-020 » i « certyfikowane NF 203 » nie oznaczają tego samego
Norma jest dokumentem techniczny: edytor może wdrożyć jej funkcje i sam je zadeklarować. Certyfikacja NF 203 CCFN jest natomiast wydawana przez stronę trzecią po audycie, i to właśnie ona jest celem specyfikacji, które wymagają sejfu « certyfikowanego ». Certyneo Vault implementuje funkcje opisane przez normę — pieczęciowanie, czasowe znaczniki RFC 3161, niezmienialność, rejestrowanie i zwrot — i nie rości sobie praw do certyfikacji NF 203. Mając do czynienia z dostawcą, który o niej mówi, zawsze poproś o numer certyfikatu zamiast oświadczenia o zgodności.
Kiedy warto korzystać z sejfu cyfrowego?
Potrzeba pojawia się zawsze wtedy, gdy dokument trzeba przechowywać w sposób skuteczny wobec osób trzecich, przez okres wymagany prawem lub umową. Sejf cyfrowy uzupełnia więc wdrożenie podpisu elektronicznego lub cyfryzację dokumentów kadrowych. Kilka typowych przykładów:
- Paski wynagrodzeń — pracodawca musi zapewnić pracownikowi bezpieczną przestrzeń do ich przechowywania (francuski Kodeks pracy).
- Podpisane umowy — przechowywanie umowy elektronicznej z zachowaniem wartości dowodowej przez cały okres jej obowiązywania.
- Faktury — archiwizacja z wartością dowodową, której wymaga francuska reforma fakturowania elektronicznego.
- Dokumenty osobiste — dyplomy, akty i zaświadczenia przechowywane bezpiecznie i dostępne przez całe życie.
Bezpieczeństwo i zgodność z RODO
W rzetelnym sejfie cyfrowym każdy dokument jest szyfrowany w spoczynku kluczem przypisanym do danego sejfu. Zarządzanie kluczami najlepiej oprzeć na sprzętowym module bezpieczeństwa (HSM), który chroni sekrety kryptograficzne przed jakimkolwiek wydobyciem.
Przechowywanie dokumentów osobistych podlega RODO: minimalizacja danych, uzasadniony okres przechowywania, prawo dostępu i odzyskania dokumentów. Zgodny z przepisami sejf rejestruje każdy dostęp i gwarantuje, że tylko właściciel lub osoba upoważniona może przeglądać albo pobierać dokumenty.
Sejf cyfrowy czy przechowywanie w chmurze?
Przechowywanie w chmurze (Drive, Dropbox…) zaprojektowano z myślą o udostępnianiu i synchronizacji: pliki można tam dowolnie zmieniać i usuwać, bez żadnego dowodu ich stanu w danym dniu.
Sejf cyfrowy działa odwrotnie: pieczętuje każdy dokument, opatruje go znacznikiem czasu i czyni niezmiennym. Pierwsze rozwiązanie odpowiada na potrzebę wygody, drugie — na potrzebę dowodu i zgodności z przepisami. W każdej chwili możesz też sprawdzić integralność podpisanego dokumentu.
Jak długo przechowywać dokumenty?
Okres przechowywania zależy od rodzaju dokumentu i Twoich obowiązków prawnych. Sejf cyfrowy pozwala ustalić dla każdego dokumentu okres, w którym pozostaje on niezmienny, a następnie — w razie potrzeby — przeprowadzić kontrolowane usunięcie. Kilka typowych punktów odniesienia obowiązujących we Francji:
| Dokument | Orientacyjny okres przechowywania |
|---|---|
| Pasek wynagrodzenia (pracownik) | do emerytury, następnie + 3 lata (zalecane: przez całe życie) |
| Faktura (klient lub dostawca) | 10 lat |
| Umowa handlowa | 5 lat po zakończeniu umowy |
| Dokumenty podatkowe | co najmniej 6 lat |
| Osobiste akty i dyplomy | przez całe życie |
Chcesz przechowywać dokumenty z zachowaniem wartości dowodowej?
Certyneo Vault: sejf cyfrowy dla osób prywatnych i firm.
Zobacz też nasz cennik oraz ofertę Certyneo Vault.
Często zadawane pytania
Czy sejf cyfrowy jest obowiązkowy?
Nie zawsze, ale w praktyce staje się niezbędny w kilku sytuacjach: elektroniczne paski wynagrodzeń, archiwizacja faktur (francuska reforma e-fakturowania), przechowywanie umów z zachowaniem wartości dowodowej.
Czym różni się od podpisu elektronicznego?
Podpis elektroniczny tworzy wiążący dokument, a sejf cyfrowy przechowuje go następnie w sposób nienaruszalny i skuteczny wobec osób trzecich. Oba rozwiązania się uzupełniają.
Czy moje dokumenty są szyfrowane?
Tak, w Certyneo każdy dokument jest szyfrowany w spoczynku kluczem przypisanym wyłącznie do Twojego sejfu.
Jak długo dokument jest przechowywany?
Okres przechowywania można ustawić odpowiednio do Twoich obowiązków prawnych; domyślnie wynosi 10 lat.
Czy sejf cyfrowy ma moc prawną?
Tak. Dzięki skrótowi integralności i znacznikowi czasu RFC 3161 dokument przechowywany w sejfie cyfrowym zgodnym z normą ma wartość dowodową: może zostać przedstawiony jako dowód, a jego datę i integralność może zweryfikować osoba trzecia.
Czym różni się sejf cyfrowy od systemu archiwizacji elektronicznej (SAE)?
Sejf cyfrowy (NF Z42-020) to komponent, który pieczętuje dokument i przechowuje go z zachowaniem wartości dowodowej. System archiwizacji elektronicznej, czyli SAE (NF Z42-013), to kompletny system, który organizuje cały cykl życia dokumentów. Pierwszy jest często elementem drugiego.
Czym jest norma NF Z42-020?
To francuska norma określająca funkcje, jakich oczekuje się od komponentu sejfu cyfrowego: złożenie dokumentu ze skrótem (hash), znacznik czasu, niezmienne przechowywanie (WORM), śledzenie operacji i gwarantowane odzyskanie dokumentów.
Jak odzyskać swoje dokumenty?
Odzyskanie dokumentów jest gwarantowane w każdej chwili, w otwartym formacie i bez uzależnienia od zamkniętego narzędzia: otrzymujesz plik wraz z powiązanymi dowodami (skrót, token znacznika czasu).
Jaka jest różnica między normą NF Z42-020 a certyfikacją NF 203?
NF Z42-020 jest referencyjnym dokumentem technicznym; certyfikacja NF 203 CCFN jest wydawana przez niezależny organ, który audytuje produkt zgodnie z tym referencyjnym dokumentem. Edytor może być więc zgodny z normą bez bycia certyfikowanym. Jeśli Twoje specyfikacje wymagają certyfikacji, poproś o numer certyfikatu.
Czy sejf cyfrowy musi być certyfikowany?
Żaden tekst tego nie wymaga w ogólny sposób. Certyfikacja staje się kryterium, gdy pojawia się w przetargu lub w wewnętrznej polityce archiwizacji. W innych przypadkach ważne jest rzeczywiste wdrożenie łańcucha dowodu: odcisk palca, czasowe stemplowanie, niezmienność i dziennik dostępu.
