La nouvelle pression en faveur du démantèlement des systèmes hérités

Cybérésilience, intégrité des données et responsabilité réglementaire à l'ère de la DORA, de la directive NIS 2, de l'IA et des preuves numériques

Les systèmes hérités étaient autrefois considérés principalement comme un problème de coûts informatiques.

Leur maintenance était coûteuse, leur intégration difficile et ils dépendaient d'une infrastructure vieillissante. De nombreuses organisations acceptaient ce coût car ces systèmes contenaient encore des données historiques dont quelqu'un pourrait avoir besoin à des fins d'audit, pour des raisons juridiques, réglementaires ou liées au service client.

Cette position devient de plus en plus difficile à défendre.

Aujourd’hui, les systèmes hérités posent également un problème de résilience. Ils élargissent la surface d’attaque. Ils compliquent la reprise après sinistre. Ils génèrent des risques informatiques cachés. Ils sont difficiles à surveiller, à mettre à jour, à tester et à gérer. Ils peuvent contenir des données qui restent pertinentes sur le plan juridique ou opérationnel, mais dont l’intégrité, la provenance et le contexte deviennent de plus en plus difficiles à prouver au fil du temps.

Parallèlement, la réglementation et les attentes des autorités de contrôle exigent de plus en plus des organisations qu'elles démontrent leur maîtrise des risques liés aux technologies de l'information et de la communication (TIC), de l'intégrité des données, de la conservation des documents, de l'auditabilité et des preuves.

La question n'est plus seulement :

Pouvons-nous nous permettre de continuer à faire fonctionner ce système obsolète ?

La question qu'il convient plutôt de se poser est la suivante :

Peut-on encore justifier le maintien en ligne de ce risque hérité alors que les données pourraient être conservées dans une archive fiable ?

Les systèmes hérités ne constituent plus uniquement un problème de coûts informatiques

Depuis des années, les systèmes hérités mise hors service d’applications a été principalement présenté comme un enjeu d'efficacité informatique.

Les arguments habituels étaient bien connus :

Réduire les coûts liés aux licences
Supprimer les infrastructures obsolètes
Simplifier l'environnement applicatif
Réduire la charge de maintenance
Libérer les compétences techniques rares
Accompagner la migration vers le cloud ou la modernisation des plateformes

Ces arguments ont toujours leur importance.

Mais cela ne reflète plus toute la réalité.

Les systèmes hérités constituent un risque croissant, car ils continuent de faire partie de l'environnement opérationnel et de sécurité même lorsque leur fonction métier a largement disparu.

Beaucoup ne sont maintenus en service que parce que les données historiques n'ont pas été correctement archivées. Ces systèmes ne prennent peut-être plus en charge de processus actifs, mais ils nécessitent toujours des comptes, une infrastructure, des sauvegardes, une surveillance, des correctifs de sécurité, un contrôle d'accès, des contrats d'assistance et des procédures de reprise.

Si la seule raison pour laquelle un système reste en service est la consultation d'archives, l'organisation devrait se demander si ce système constitue toujours un atout ou s'il est devenu un risque évitable.

Un système hérité maintenu en service uniquement à des fins d'accès historique n'est pas une application métier. Il s'agit d'une source de risque.

Trois tendances majeures bouleversent le débat sur les systèmes hérités

La pression visant à mettre hors service et à démanteler les anciens systèmes provient de trois sources différentes.

Ces trois vagues mènent à la même conclusion :

Les systèmes hérités ne devraient pas rester en service simplement parce que personne n'a mis en place une solution d'archivage fiable pour les remplacer.

Les systèmes hérités peuvent nuire à la résilience de plusieurs façons :

Il se peut qu'ils fonctionnent avec des logiciels ou des systèmes d'exploitation non pris en charge.
Ils peuvent reposer sur des bases de données, des intergiciels ou des infrastructures obsolètes.
Il peut s'avérer difficile d'y apporter des correctifs sans perturber la logique métier.
Ils peuvent utiliser des méthodes d'authentification peu sûres ou obsolètes.
Ils peuvent contenir des comptes utilisateur inactifs ou des comptes de service non gérés.
Il se peut qu'elles ne s'intègrent pas correctement aux outils modernes de surveillance et de détection.
Il se peut qu'elles soient mal documentées.
Ils peuvent comporter des dépendances inconnues.
Il peut être difficile de les récupérer après un incident.
Ils peuvent s'appuyer sur des prestataires ou des experts internes qui ne sont plus disponibles.

Pourquoi les systèmes hérités affaiblissent la cyber-résilience

La cyber-résilience ne consiste pas seulement à protéger les systèmes en service. Elle consiste également à réduire les risques inutiles.

Chaque système obsolète qui reste en ligne ajoute à la complexité.

Plus il y a de systèmes, plus il y a d'actifs à recenser, de vulnérabilités à gérer, de droits d'accès à contrôler, de sauvegardes à valider, de procédures de reprise à tester et d'incidents à examiner.

La résilience s'améliore non seulement en renforçant les systèmes essentiels, mais aussi en supprimant les systèmes superflus du paysage des risques.

DORA : les systèmes hérités, un enjeu de la gestion des risques liés aux TIC

La loi sur la résilience opérationnelle numérique modifie la manière dont les entités financières doivent appréhender les risques liés aux technologies de l'information et de la communication.

Le programme DORA ne se limite pas aux incidents de cybersécurité. Il établit un cadre global de résilience opérationnelle numérique couvrant la gestion des risques liés aux TIC, la gouvernance, l'identification des actifs et des risques liés aux TIC, la protection, la prévention, la détection, la réaction, la reprise après sinistre, la sauvegarde, la restauration, les tests ainsi que les risques liés aux tiers dans le domaine des TIC.

Cela revêt une importance particulière pour les systèmes existants.

Une application héritée qui reste en ligne à des fins d'accès historique fait toujours partie de l'environnement informatique. Elle doit être identifiée, protégée, surveillée, régie et pouvoir faire l'objet d'une restauration. Si elle repose sur une infrastructure obsolète ou sur un fournisseur tiers, elle peut également accroître le risque lié aux tiers dans le domaine des TIC. Si elle n’est pas correctement prise en compte dans les tests de résilience, les procédures de sauvegarde ou les contrôles d’accès, elle constitue alors une faille dans le cadre de gestion des risques liés aux TIC.

Pour établissements financiers, la question qui se pose alors est la suivante :

Pouvons-nous démontrer que chaque système hérité encore en service est nécessaire, maîtrisé, récupérable et adapté au risque qu’il présente ?

Si la réponse est non, un accès limité aux archives pourrait constituer une meilleure stratégie.

NIS2 : gestion des risques liés à la cybersécurité au sein des entités essentielles et importantes

La directive NIS 2 élargit le débat sur la gestion des risques liés à la cybersécurité au-delà du secteur financier.

Elle s'applique à un large éventail d'entités essentielles et importantes dans des secteurs tels que l'énergie, les transports, la santé, l'eau potable, les eaux usées, les infrastructures numériques, la gestion des services TIC, l'administration publique, le secteur spatial, les services postaux, la gestion des déchets, l'industrie chimique, l'agroalimentaire, l'industrie manufacturière et les fournisseurs de services numériques.

La directive met davantage l'accent sur les mesures techniques, opérationnelles et organisationnelles de gestion des risques liés à la cybersécurité.

Les systèmes hérités revêtent une importance particulière car ils se situent souvent en marge de la gouvernance. Même s’ils ne sont plus indispensables à l’activité, ils contiennent toujours des données sensibles. Bien qu’ils ne bénéficient pas de la même attention que les systèmes centraux actifs, ils constituent néanmoins une source de vulnérabilité cybernétique.

Pour les organisations des secteurs concernés par la directive NIS 2, la question relative aux systèmes existants se pose ainsi :

Pourquoi maintenir en ligne des systèmes obsolètes si leur seule utilité réside désormais dans l'accès à des données historiques ?

Une solution d'archivage fiable peut contribuer à réduire l'environnement système actif tout en préservant l'accès aux informations qui doivent encore être conservées.

Le risque caché lié au maintien en service de systèmes à des fins d'accès aux données historiques

De nombreux systèmes hérités ne sont pas maintenus en service parce qu'ils présentent encore un intérêt sur le plan opérationnel.

On les conserve parce que quelqu'un pourrait un jour avoir besoin de consulter ces informations.

Cela crée un compromis dangereux.

L'organisation supporte le coût et les risques liés à un système opérationnel, mais ne tire profit que de la valeur d'une archive historique.

C'est inefficace et risqué.

Pourtant, il se peut qu'il ne fasse pas l'objet de la même attention en matière de gouvernance qu'un système central moderne.

Cela crée un écart entre le risque perçu et l'exposition réelle.

Si un système n'est nécessaire qu'à des fins de consultation historique, la solution la plus sûre consiste à lui accorder un accès réservé aux archives, et non un accès permanent en lecture seule aux systèmes hérités.

Un système hérité maintenu en service à des fins d'accès historique peut néanmoins nécessiter :

Comptes utilisateurs
Accès privilégié
Comptes de service
Connectivité réseau
Administration des bases de données
Procédures de sauvegarde et de restauration
Gestion des vulnérabilités
Suivi
Assistance fournisseur
Planification de la réponse aux incidents
Tests de reprise après sinistre

Intégrité des données : lorsque l'exactitude des anciennes données doit encore être vérifiée

La cyber-résilience ne représente qu'une partie des défis à relever.
Dans de nombreux secteurs réglementés, le véritable enjeu réside dans la confiance dans les preuves.

Les données historiques ne doivent pas seulement exister. Elles doivent rester compréhensibles, complètes, traçables et fiables.

Les organisations peuvent être amenées à prouver :

Origine des données
Quel système l'a créé ?
Qui l'a saisi ou approuvé ?
Qu'il ait été modifié ou non
Quelle est la version faisant autorité ?
Le dossier est-il complet ?
Quelle piste d'audit s'applique ?
Quelles métadonnées décrivent l'enregistrement ?
Quelle règle de conservation s'applique ?
Que les données aient été migrées ou transformées
La question de savoir si ces éléments de preuve sont fiables dans le cadre d'un audit, d'une inspection, d'une enquête ou d'un litige

Une exportation de base de données hors contexte pourrait ne pas suffire. Une sauvegarde pourrait ne pas suffire. Un partage de fichiers pourrait ne pas suffire.

Plus l'environnement est réglementé, plus la traçabilité, la vérifiabilité et l'intégrité revêtent une importance capitale.

Les données qui ne peuvent être vérifiées ne sont pas fiables. Dans les environnements réglementés, les données qui ne sont pas fiables peuvent devenir inutilisables.

Sciences de la vie : l'intégrité des données peut constituer un obstacle réglementaire

Sciences de la vie illustre clairement pourquoi les données historiques ne peuvent pas être considérées comme de simples données existantes.

Les essais cliniques, les données de laboratoire, les dossiers qualité, les preuves de validation, les dossiers réglementaires, les dossiers de pharmacovigilance et les dossiers de lots peuvent rester pertinents longtemps après que les systèmes qui les ont générés ont été modifiés ou ont disparu.

Dans ce secteur, les principes d'intégrité des données, tels que l'ALCOA++, revêtent une importance capitale. Les documents doivent rester identifiables, lisibles, contemporains, originaux, exacts, complets, cohérents, durables et accessibles.

L’affaire Applied Therapeutics constitue un exemple récent et pertinent. La FDA a émis une lettre d’avertissement à la suite d’une inspection préalable à l’autorisation liée à un essai clinique, et la société a également reçu une lettre de réponse complète concernant sa demande d’autorisation de mise sur le marché d’un nouveau médicament. Les informations rendues publiques et la lettre de la FDA mettent en évidence des lacunes dans l’application des procédures cliniques ainsi que les conclusions de l’inspection. Il ne faut pas simplifier à l’excès cette affaire, mais elle illustre comment l’intégrité des données cliniques, les dossiers électroniques, la traçabilité et les conclusions d’inspection peuvent avoir une incidence directe sur le risque lié à l’autorisation réglementaire.

La leçon à en tirer dépasse le cadre d'une seule entreprise.

Si un promoteur ou un organisme réglementé n'est pas en mesure de reconstituer, d'expliquer, de vérifier et de s'assurer de la fiabilité des données relatives à une activité réglementée, il s'expose à des risques liés aux contrôles, aux autorisations, aux litiges ou à des coûts de mise en conformité.

Dans le domaine des sciences de la vie, la mise hors service des systèmes existants doit garantir la capacité à faire face aux contrôles, et non pas simplement l'accès aux données historiques.

Loi sur l'IA : les données historiques deviennent des données d'entrée réglementées pour l'IA

La loi sur l'IA offre une raison supplémentaire de prendre au sérieux les données historiques.
Les données historiques sont de plus en plus utilisées à des fins d'analyse, d'automatisation, de développement de modèles, de validation, de tests et d'aide à la décision. Dans les contextes réglementés, cela signifie que des données anciennes peuvent servir de données d'entrée à de nouveaux systèmes d'IA.

Pour les systèmes d'IA à haut risque, la gouvernance des données devient une exigence formelle. Les organisations doivent comprendre l'origine des données, les processus de collecte, les opérations de préparation, leur adéquation, leurs limites, les risques de biais, leur exhaustivité et leur pertinence. La journalisation et la traçabilité revêtent également une importance particulière pour garantir la responsabilité tout au long du cycle de vie de l'IA.

Cela établit un lien direct avec la conservation des données historiques.

Il ne s'agit pas d'un problème d'archivage classique. Il s'agit d'un problème de gouvernance des données et de preuve.

Les données héritées ne sont pas simplement des données anciennes. À l'ère de l'IA, elles pourraient devenir des données d'entrée soumises à une réglementation.

Si des données historiques sont utilisées pour l'apprentissage, la validation, les tests ou la justification de décisions prises à l'aide de l'IA, l'organisation doit être en mesure d'expliquer :

D'où proviennent ces données ?
Pourquoi ces données ont-elles été collectées ?
Qu'il s'agisse d'un
Qu'il soit représentatif ou non
Qu'il ait été nettoyé, étiqueté, enrichi ou transformé
Quelle version a été utilisée ?
Qu'il comporte des biais ou des lacunes
Si sa réutilisation est légalement autorisée
Comment sa provenance et son authenticité sont-elles attestées ?

Cela revêt une importance particulière dans le cadre de la mise hors service des anciens systèmes, car les dossiers relatifs à la lutte contre le blanchiment d'argent et à la diligence raisonnable à l'égard de la clientèle sont souvent dispersés entre plusieurs systèmes :

Plateformes d'intégration
Systèmes KYC
Outils de gestion des dossiers
Systèmes de surveillance des transactions
Systèmes de gestion documentaire
Archives des communications avec les clients
Systèmes bancaires centraux
Plateformes CRM
Bases de données héritées

AMLR : la responsabilité réglementaire exige une gestion rigoureuse des archives

La réglementation en matière de lutte contre le blanchiment d'argent souligne également la nécessité de tenir une comptabilité fiable.

En vertu du règlement de l'UE relatif à la lutte contre le blanchiment de capitaux, les entités assujetties sont tenues de conserver les informations relatives à la vigilance à l'égard de la clientèle, les comptes rendus de certaines évaluations, les pièces justificatives et les registres des transactions. Ces documents doivent être mis à la disposition des autorités compétentes et contribuer à la prévention, à la détection, aux enquêtes et aux poursuites en matière de criminalité financière.

Lorsque ces systèmes sont remplacés, regroupés ou mis hors service, les organisations doivent veiller à ce que les documents conservés restent accessibles, complets, maîtrisés et fiables.

La combinaison des obligations en matière de vigilance à l'égard de la clientèle et des exigences relatives à la conservation des documents rend clairement nécessaire la mise en place d'un système de conservation réglementé.

Les données relatives à la criminalité financière ne doivent pas se perdre dans des systèmes obsolètes. Elles doivent rester accessibles, fiables et contrôlées à des fins réglementaires.

Pourquoi la sauvegarde ne constitue pas une conservation des preuves

Les sauvegardes sont indispensables à la restauration. Elles ne sont pas la même chose que conservation des preuves à long terme.

Une sauvegarde permet de répondre à une question de sécurité :

Peut-on restaurer le système ou les données après un incident ?

Une archive apporte une réponse à une question factuelle :

Pouvons-nous retrouver, comprendre, considérer comme fiables et vérifier ces informations une fois que le système d'origine a disparu ?

Les sauvegardes sont généralement centrées sur le système. Elles sont conçues pour la restauration, et non pour un accès contrôlé aux données historiques. Elles peuvent être difficiles à consulter. Elles peuvent ne pas conserver le contexte métier de manière exploitable. Elles peuvent ne pas prendre en charge les règles de conservation, la conservation à des fins juridiques, les pistes d'audit ou l'accès contrôlé pour les utilisateurs métier et les utilisateurs soumis à des obligations réglementaires.

Un service d'archives soumis à une réglementation doit aller plus loin.

Il devrait préserver :

Données
Documents
Métadonnées
Relations
Provenance
Preuves d’intégrité
Pistes d'audit
Règles d'accès
Règles de conservation
Conservation légale des documents
Indices de migration ou de transformation

La sauvegarde vous permet de restaurer un système. L'archivage sécurisé vous permet de conserver des preuves lorsque le système n'existe plus.

Pourquoi une migration complète n'est pas toujours la solution

Certaines organisations réagissent au risque lié aux systèmes hérités en migrant l'ensemble de leurs données vers un nouveau système opérationnel.

Cela peut être vrai pour les données actuelles. Ce n'est pas toujours vrai pour les données historiques.

Une migration complète peut engendrer de nouveaux problèmes :

Le nouveau système est saturé par des données inactives
Les données historiques ne correspondent pas au nouveau modèle de données
Le contexte est perdu lors de la transformation
Les faits historiques sont modifiés ou simplifiés
Les anciennes données redeviennent actives sans qu'il y ait de besoin opérationnel
Augmentation des risques liés à la vie privée et à la divulgation d'informations
Les règles de conservation deviennent plus difficiles à faire respecter
Les coûts liés à la migration augmentent fortement
Le nouveau système hérite des problèmes de qualité des données existants
Conservation légale des documents
Indices de migration ou de transformation

Pour les données inactives, clôturées, historiques ou à valeur probatoire, un accès en mode « archive uniquement » s'avère souvent plus fiable qu'une migration complète.

La migration concerne les données actives. L'archivage sécurisé concerne les données historiques.

L'accès en mode « archive uniquement » en tant que modèle de résilience

L'accès en lecture seule aux archives constitue une approche stratégique visant à réduire les risques liés aux systèmes hérités
sans pour autant perdre sa valeur historique.

Cela permet aux organisations de mettre hors service les systèmes obsolètes tout en
en conservant les informations qui ont encore de l'importance.

L'accès en lecture seule réduit :

Systèmes actifs
Comptes utilisateurs
Accès privilégié
Infrastructures obsolètes
Logiciels non pris en charge
Bases de données non gérées
Dépendance vis-à-vis d'un fournisseur historique
Complexité de la sauvegarde et de la restauration
Charge liée au suivi
Surface d'attaque

Par ailleurs, il préserve :

Données historiques
Documents
Métadonnées
Relations
Contexte commercial
Auditabilité
Provenance
Intégrité
Conservation légale des documents
Rétention
Accès contrôlé

C'est pourquoi l'accès en mode « archive uniquement » est pertinent non seulement pour réduire les coûts,
mais aussi en matière de cyber-résilience, de résilience opérationnelle et de conformité réglementaire
responsabilité.

Comment mettre hors service des systèmes obsolètes sans perdre de preuves

Un programme résilient de mise hors service des applications devrait
suivre une séquence contrôlée.

Identifier les systèmes hérités

Dressez un inventaire des systèmes qui ne sont plus
nécessaire d'un point de vue stratégique ou opérationnel.

Classer les risques et les valeurs

Déterminez quels systèmes présentent des risques cybernétiques et opérationnels,
risque réglementaire, juridique ou lié à l'intégrité des données.

Analyser les données et les dossiers

Identifiez quelles données sont actives, historiques, réglementées,
sensibles, redondantes ou présentant un intérêt juridique.

Définir la conservation des données et la conservation à des fins juridiques

Déterminez ce qui doit être conservé, ce qui peut être supprimé et
ce qui doit être conservé pour des raisons légales ou réglementaires
contraintes.

Distinguer les données actuelles des données historiques

Ne migrez que ce qui est encore opérationnel. Archivez ce qui
doit rester accessible et fiable.

Extraire des données, des documents et des métadonnées

Conservez le contenu, la structure, les relations et
le contexte nécessaire à la compréhension des documents.

Vérifier que les données sont complètes et cohérentes

Vérifiez que l'archive contient bien ce qu'elle est censée contenir
et que les éléments de preuve restent fiables.

Activer l'accès limité aux archives (réglementé)

Assurer un accès contrôlé aux utilisateurs autorisés, aux auditeurs,
les autorités de régulation, les équipes juridiques ou les parties prenantes du monde des affaires.

Mettre hors service le système source

Supprimer l'infrastructure, les comptes, les interfaces et les licences
et les dépendances obsolètes une fois que les preuves auront été
conservé.

Gérer les archives au fil du temps

Mettre en œuvre des mesures de conservation, de conservation à des fins juridiques, de contrôle d'accès et d'intégrité
contrôles, traçabilité et exportation contrôlée.

Docbyte Vault : réduire les risques liés aux systèmes hérités tout en préservant les preuves

Docbyte Vault aide les organisations à abandonner leurs systèmes hérités
dépendance vis-à-vis d'un accès réservé aux archives de confiance.

Cela permet aux organisations de mettre hors service les applications obsolètes
tout en préservant les données, les documents, les métadonnées et les relations
et le contexte commercial qui continuent d'avoir leur importance.

Docbyte Vault contribue à préserver :

Données structurées
Documents
Métadonnées
Relations
Contexte commercial
Pistes d'audit
Règles de conservation
Conservation légale des documents
Provenance
Preuves d’intégrité
Accès contrôlé

Cela aide les organisations à réduire :

Le recours à des systèmes obsolètes
Surface d'attaque liée aux applications héritées
Accès non contrôlé aux données historiques
Complexité de la récupération
Dépendance vis-à-vis d'infrastructures vieillissantes
Charge d'entretien à long terme
Risque lié à la preuve résultant d'exportations incomplètes ou non fiables

Docbyte Vault ne doit pas être présenté comme un outil de cybersécurité, un
Un outil de conformité en matière d'IA ou une solution complète pour la DORA, la NIS2, l'AI Act ou l'AMLR
solution de mise en conformité.

Il convient de le positionner comme suit :

La solution d'archivage fiable qui permet aux organisations de réduire
risque lié aux systèmes hérités tout en préservant les preuves dont disposent les autorités de régulation,
ce que les auditeurs et les utilisateurs professionnels attendent toujours.

Mettez le système hors service. Préservez les éléments de preuve. Réduisez les risques.

Poursuivre la série consacrée à la mise hors service des applications

Cette page explique pourquoi la pression en faveur du démantèlement
Les systèmes hérités sont de plus en plus nombreux. Pour mieux comprendre ce phénomène
Pour en savoir plus sur la terminologie et les cas d'utilisation spécifiques au secteur, consultez le
les autres guides de cette série.

1re partie : Retrait d'une application, mise hors service, arrêt progressif ou archivage ?

2e partie : Lorsque l'entreprise évolue, les preuves doivent être conservées

Questions fréquentes

Pourquoi les systèmes hérités constituent-ils un risque pour la cyber-résilience ?

Les systèmes hérités peuvent fonctionner avec des logiciels qui ne bénéficient plus d'aucun support, utiliser des méthodes d'authentification obsolètes, comporter des comptes non gérés, reposer sur une infrastructure ancienne et s'avérer difficiles à surveiller, à mettre à jour ou à restaurer. Même s'ils ne jouent plus un rôle opérationnel important, ils continuent d'élargir la surface d'exposition aux risques.

Quel est le lien entre DORA et la mise hors service des systèmes hérités ?

La directive DORA impose aux entités financières de gérer les risques liés aux technologies de l'information et de la communication (TIC) de manière structurée. Les systèmes hérités qui restent en service à des fins d'accès historique constituent toujours des actifs TIC et doivent faire l'objet d'une gouvernance, d'une protection, d'une surveillance et d'une capacité de reprise, le tout de manière proportionnée au risque qu'ils présentent. La mise hors service des systèmes obsolètes peut contribuer à réduire la complexité inutile des TIC.

Quel est le lien entre NIS2 et les systèmes existants ?

La directive NIS2 renforce les exigences en matière de gestion des risques liés à la cybersécurité au sein des entités essentielles et importantes dans de nombreux secteurs. Les systèmes hérités peuvent constituer une source de vulnérabilité s’ils sont mal gérés, ne bénéficient plus d’aucun support technique ou sont maintenus en ligne uniquement à des fins de consultation historique.

Pourquoi une simple sauvegarde ne suffit-elle pas comme preuve réglementaire ?

La sauvegarde est conçue à des fins de restauration. La conservation des preuves à des fins réglementaires nécessite un accès consultable, contrôlé, contextuel et fiable aux enregistrements, aux métadonnées, aux relations, aux pistes d'audit, aux règles de conservation, aux conservations légales et à la provenance.

Pourquoi ne pas transférer toutes les données existantes vers le nouveau système ?

Les données historiques peuvent ne pas correspondre au nouveau modèle opérationnel et ne plus avoir besoin d'être actives. La migration de l'ensemble de ces données peut accroître les coûts, la complexité, les risques liés à la confidentialité et les risques liés à la qualité des données. Un accès en lecture seule (archivage) est souvent plus approprié pour les données historiques.

Quel est le lien entre l'intégrité des données et la mise hors service des systèmes hérités ?

Lorsque des systèmes existants sont mis hors service, les organisations doivent veiller à ce que les documents restent complets, fiables, traçables et accessibles. Cela revêt une importance particulière dans les secteurs réglementés tels que les sciences de la vie, la finance, la santé, l'industrie chimique et l'industrie manufacturière.

En quoi la loi sur l'IA concerne-t-elle les données existantes ?

Les données historiques peuvent être réutilisées pour l'entraînement, la validation, les tests ou l'aide à la décision dans le cadre de l'IA. Dans les contextes d'IA à haut risque, les organisations doivent mettre en place une gouvernance solide des données, ce qui implique notamment de bien comprendre l'origine, la pertinence, l'exhaustivité et les limites de ces données.

En quoi la réglementation en matière de lutte contre le blanchiment d'argent concerne-t-elle l'archivage des données historiques ?

Les obligations en matière de lutte contre le blanchiment d'argent (AML) exigent que certaines informations relatives à la vigilance à l'égard de la clientèle, certaines preuves de transactions et certains dossiers d'évaluation soient conservés et mis à la disposition des autorités compétentes. Si ces dossiers sont stockés dans des systèmes hérités, leur mise hors service doit garantir le maintien de leur accessibilité, de leur intégrité et de leur contrôle.

Qu'est-ce que l'accès « archive uniquement » ?

L'accès en mode « archives uniquement » permet aux utilisateurs autorisés de consulter des données historiques via une archive réglementée, plutôt que de maintenir le système hérité d'origine en ligne.

En quoi Docbyte Vault peut-il vous aider ?

Docbyte Vault conserve les données structurées, les documents, les métadonnées, les relations, les pistes d'audit, les règles de conservation, les conservations à des fins juridiques, ainsi que les preuves de provenance et d'intégrité au sein d'une archive régie par des règles. Cela permet aux organisations de réduire leur dépendance vis-à-vis de systèmes obsolètes tout en conservant un accès fiable aux archives historiques.

Vous maintenez toujours vos anciens systèmes en ligne pour permettre l'accès aux données historiques ?

Si un système obsolète reste en service uniquement parce que certaines personnes pourraient encore avoir besoin de ses données, il est peut-être temps de
repenser la stratégie.

Docbyte Vault aide les organisations à préserver les données historiques, le contexte métier et la valeur probatoire dans un
des archives gérées, ce qui permet de mettre hors service les anciens systèmes sans perdre les données qui ont encore de l'importance.