PD-249 — Expression de besoin¶

Manuel technique SAE consolidé¶

Contexte¶

L'audit de conformité ISO 14641:2018 et NF Z42-013:2020 (PD-244) a révélé un score global de 72.98% (PARTIEL), avec 15 gaps identifiés. Le gap GAP-FINAL-001 (ISO 14641:2018 §5.2) signale une documentation technique fragmentée, dispersée sur 3 projets (ProbatioVault-doc, ProbatioVault-backend, ProbatioVault-infra), rendant l'audit externe difficile voire impossible.

Scores actuels :

Problème¶

Aucun document unique ne décrit le Système d'Archivage Électronique (SAE) ProbatioVault de bout en bout. Les auditeurs doivent naviguer entre :

• storage-architecture.md (infra) — stockage OVH/AWS
• storage-compliance.md (infra) — checklist conformité
• overview.md (infra) — architecture générale
• worm.md (infra) — stub incomplet
• Spécifications PD-250 (destruction), PD-251 (vérification intégrité) — backend
• Specs formelles TLA+/Alloy/Z (doc) — modélisation normes

Cette fragmentation est un bloqueur de certification.

Objectif¶

Produire un manuel technique SAE consolidé — document unique et référent — couvrant l'intégralité du système d'archivage électronique ProbatioVault, exploitable par :

1. Auditeurs externes (ISO 14641, NF Z42-013) : lecture synthétique, matrices de conformité, preuves
2. Équipe interne (RSSI, développeurs) : référence technique détaillée, diagrammes, procédures

Périmètre¶

Composants SAE implémentés (DONE)¶

Composants SAE planifiés (Roadmap)¶

Structure cible du manuel¶

Le manuel sera structuré en 10 chapitres :

1. Introduction et vue d'ensemble
2. Objet du manuel, périmètre, glossaire

3. Positionnement normatif (ISO 14641, NF Z42-013, eIDAS, RGPD)

4. Architecture du SAE

5. Architecture logique et physique
6. Composants et interfaces

7. Diagrammes Mermaid (C4, séquence, déploiement)

8. Modèle de sécurité

9. Defense-in-depth (5 couches)
10. Zero-Knowledge (chiffrement client-side)
11. Gestion des clés HSM (PKCS#11)

12. Contrôle d'accès (RLS, RBAC)

13. Stockage et immutabilité

14. Architecture WORM (S3 Object Lock COMPLIANCE)
15. Stratégie multi-cloud (OVH HOT + AWS Glacier COLD)
16. Réplication et durabilité

17. Rétention et legal holds

18. Chaîne de preuve

19. Empreinte documentaire (SHA3-256)
20. Arbre de Merkle
21. Horodatage TSA (RFC 3161)
22. Ancrage blockchain

23. Enveloppe probatoire (PV-Envelope)

24. Cycle de vie des documents

25. Ingestion et scellement
26. Consultation et vérification
27. Destruction contrôlée (PD-250)

28. Vérification d'intégrité périodique (PD-251)

29. Traçabilité et audit

30. Piste d'audit append-only
31. Journalisation des événements
32. Bordereau de destruction

33. Rapports d'intégrité

34. Conformité normative

35. Matrice ISO 14641:2018 (article par article)
36. Matrice NF Z42-013:2020 (article par article)
37. Références aux preuves de conformité

38. Gaps connus et plan de remédiation

39. Procédures opérationnelles

40. Exploitation quotidienne
41. Maintenance et mises à jour
42. Gestion des incidents

43. Plan de continuité (PCA/PRA)

44. Feuille de route

    • Composants planifiés (eIDAS, PAE, audit programme)
    • Planning de certification
    • Évolutions architecturales

Format et intégration¶

• Source : Fichiers Markdown dans _build/docs/ de ProbatioVault-doc
• Intégration MkDocs : Nouvelle section de navigation (top-level ou sous Infrastructure)
• Diagrammes : Mermaid (architecture, séquences, flux, C4)
• PDF : Généré automatiquement via with-pdf plugin existant
• HTML : Servi automatiquement via MkDocs Material

Critères d'acceptation¶

• CA-249-01 : Manuel unique couvrant les 10 chapitres listés ci-dessus
• CA-249-02 : Chaque composant SAE implémenté est décrit avec diagramme(s) Mermaid
• CA-249-03 : Matrices de conformité ISO 14641 et NF Z42-013 avec références croisées aux preuves
• CA-249-04 : Section Roadmap pour les composants planifiés avec horizon temporel
• CA-249-05 : Intégré dans MkDocs (navigation, rendu HTML, génération PDF)
• CA-249-06 : Revue par RSSI et Compliance (validé en Gate 8)
• CA-249-07 : Glossaire SAE complet (termes normatifs + termes ProbatioVault)

Contraintes¶

• CON-249-01 : Ne pas dupliquer le contenu existant — consolider et référencer
• CON-249-02 : Cohérent avec les résultats PD-244 (scores, gaps, matrices de réconciliation)
• CON-249-03 : Les diagrammes doivent être en Mermaid (pas d'images statiques) pour maintenabilité
• CON-249-04 : Le manuel doit être exploitable sans accès au code source

Dépendances¶

Risques¶