Preuves de routage SMS A2P : conservation, accès et suppression

Qu’est-ce qui constitue une preuve de décision de routage ?

Une preuve de routage est une information nécessaire pour expliquer quelle décision a été prise, selon quelle règle ou quel critère, à quel moment elle a été appliquée et qui l’a autorisée ou modifiée. Elle sert à reconstituer le contexte d’une décision opérationnelle, d’un examen ou d’un litige ; elle ne consiste pas à conserver tout ce que produisent les systèmes.

Il peut être pertinent de documenter les versions des politiques, les paramètres d’évaluation, les résultats des tests, les approbations et les modifications entrées en vigueur. Il s’agit d’une proposition d’inventaire que chaque organisation doit confronter à ses systèmes et à ses obligations : il n’existe pas ici de liste technique universelle de champs exigés pour toutes les plateformes SMS A2P.

Les journaux système généraux, les DLR et les données de trafic remplissent des fonctions différentes. Un DLR peut décrire un état communiqué par le réseau ou un intermédiaire, mais ne prouve pas à lui seul une réception vérifiée sur l’appareil. De même, chaque enregistrement de trafic ne constitue pas une preuve expliquant pourquoi une route a été choisie.

• Question de conception : quelle donnée permet d’expliquer la décision, et laquelle décrit seulement une activité ultérieure ?
• Conservez la provenance et le contexte nécessaires à l’interprétation d’une preuve, pas seulement un résultat isolé.
• Documentez les limites de chaque source, notamment lorsque l’état provient d’un DLR.

Distinguer politiques, approbations, tests et données de messages

Il est préférable de classer les informations avant de leur attribuer des durées de conservation. Une première structure distingue quatre groupes : configuration et modifications des politiques ; approbations et responsables ; tests ou évaluations ; données de trafic, qui peuvent contenir des identifiants, du contenu ou d’autres données personnelles. La classification doit être adaptée à ce que chaque système enregistre réellement.

Il peut être possible de conserver la preuve d’une règle sans garder le contenu des messages, si une référence, une version ou un résultat agrégé suffit. Toutefois, il ne faut pas présumer que l’anonymisation, l’agrégation ou la suppression du contenu sont toujours possibles sans nuire à une enquête : il faut le vérifier au regard des processus et systèmes concernés.

Séparer ces catégories aide à éviter qu’un besoin d’audit ne devienne automatiquement un motif de conservation indéfinie des données de trafic.

• Politique : règle appliquée, version, périmètre et période de validité, si le système les enregistre.
• Approbation : décision, rôle de l’approbateur et contexte suffisant pour la comprendre.
• Test : méthode, conditions, résultat et limites connues.
• Trafic : champs opérationnels nécessaires à sa finalité, évalués séparément en fonction de leur sensibilité éventuelle.

Créer un inventaire utile et limité

L’inventaire doit décrire les données et les processus réels, et non un modèle théorique. Pour chaque ensemble, indiquez sa finalité, sa sensibilité, son propriétaire fonctionnel, son système source, les utilisateurs qui doivent y accéder et ses liens avec d’autres preuves. Si un champ n’a pas d’objectif opérationnel ou de conformité documenté, vérifiez s’il est nécessaire de le collecter ou de le conserver.

Les informations disponibles ne comportent aucune source technique établissant les champs obligatoires pour reconstituer une décision de routage SMS A2P. Les exemples de ce guide sont donc des questions de conception, et non une norme ou une obligation réglementaire.

• Quelle décision ou activité cet ensemble permet-il d’expliquer ?
• Quelle en est la source et quel est son lien avec la version de la politique en vigueur ?
• Contient-il du contenu, des identifiants ou des données personnelles, ou peut-il être réduit à une référence ?
• Qui est chargé de le gérer et qui doit pouvoir le consulter ?
• De quelles exportations, quels rapports ou quels systèmes tiers dépend-il ?

Justifier les durées de conservation sans en présumer une universelle

Il n’existe pas de durée universelle de conservation des preuves de routage SMS A2P applicable sans analyse du contexte. La durée doit être justifiée par l’utilisation prévue et vérifiée au regard des obligations légales, réglementaires et contractuelles applicables aux parties et aux juridictions concernées. Les sources disponibles ici ne permettent pas de fixer une durée précise.

Pour chaque catégorie, documentez la raison de sa conservation, l’événement qui déclenche ou met fin au besoin et la personne chargée de réexaminer la durée. Une règle de politique peut répondre à un besoin différent de celui d’un enregistrement de trafic. Évitez de reprendre automatiquement la durée générale de conservation des journaux ou des DLR : ces enregistrements peuvent avoir des finalités et des risques différents.

Si un litige, une enquête ou une obligation applicable exige de préserver des informations, le processus de conservation doit avoir un périmètre et des responsables définis. L’organisation doit déterminer le lien entre cette préservation et la politique habituelle, ainsi que le moment où elle peut être réexaminée ou levée.

• Associez chaque durée à une finalité documentée et aux obligations vérifiées pour le cas concerné.
• Distinguez la période opérationnelle ordinaire de toute conservation exceptionnelle.
• Réexaminez les durées lorsque les finalités, les contrats, la réglementation applicable ou les systèmes évoluent.
• Ne présentez pas une recommandation interne comme une exigence légale universelle.

Contrôler les accès à l’aide d’autorisations définies

L’accès doit correspondre à des tâches précises. Comme principe de conception, attribuez les autorisations par fonction et accordez uniquement celles qui sont nécessaires pour gérer les politiques, approuver des modifications, analyser des incidents ou répondre à des examens. La séparation entre la personne qui propose une modification et celle qui l’approuve peut être utile, mais elle doit être adaptée à la taille, aux risques et aux contrôles réels de l’organisation.

Enregistrez les consultations et les modifications lorsque les systèmes le permettent et qu’une finalité est définie. Ces journaux sont eux aussi des données : ajoutez-les à l’inventaire, limitez-en l’accès et prévoyez leur réexamen en matière de conservation. Les éléments disponibles ne permettent pas d’affirmer qu’une plateforme SMS A2P donnée propose ces contrôles de manière native.

• Définissez les rôles et les actions autorisées ; évitez les autorisations étendues sans justification.
• Réexaminez régulièrement les comptes et les autorisations, notamment après un changement de fonction.
• Évaluez la séparation entre proposition, approbation et exécution des modifications.
• Traitez les journaux de consultation comme des informations nécessitant elles aussi une finalité et une gouvernance.

Concevoir une suppression vérifiable, y compris pour les copies et les exportations

Une politique de suppression doit préciser quelles informations sont effacées ou rendues indisponibles, qui autorise l’opération, comment son exécution est consignée et comment les exceptions de conservation sont gérées. Avant toute suppression, vérifiez si des obligations applicables ou une mesure de préservation documentée concernent l’ensemble de données.

Le périmètre ne se limite pas nécessairement au référentiel principal : vérifiez les exportations, les rapports, le stockage secondaire et les sauvegardes. Il ne faut pas promettre que les sauvegardes sont supprimées immédiatement ; leur cycle et leur traitement dépendent de l’architecture et des procédures de chaque organisation. Si une copie ne peut pas être modifiée de façon sélective, documentez comment son accès est contrôlé et comment éviter de réutiliser des données qui devraient être indisponibles.

La vérification peut s’appuyer sur des éléments attestant le déroulement du processus — par exemple, l’enregistrement de la demande, son périmètre, son exécution, son résultat et les exceptions — à condition que la solution technique permette de les obtenir. N’affirmez pas qu’un indicateur de suppression équivaut à l’effacement physique de toutes les copies sans avoir vérifié ce comportement.

• Repérez les référentiels, les exportations et les copies avant de lancer le processus.
• Consignez le périmètre, le responsable, la date, le résultat et toute exception.
• Vérifiez ce que signifie techniquement la « suppression » dans chaque système.
• Définissez comment empêcher la restauration ou la réutilisation d’informations qui ne devraient plus être disponibles.

Répondre à un audit ou à un litige en préservant le contexte et la provenance

Une réponse solide ne repose pas sur l’accumulation illimitée de données, mais sur la capacité à expliquer l’origine et la signification des preuves disponibles. Préparez une procédure permettant de retrouver la version pertinente de la politique, de la relier aux approbations et aux tests concernés et de décrire quelles données de trafic ont été conservées, pour quelle raison et avec quelles limites.

Si des informations manquent ou qu’une source ne permet pas de confirmer un fait, indiquez-le. Par exemple, distinguez un état communiqué par un DLR d’une réception vérifiée de manière indépendante sur l’appareil. Si des informations sont transmises à un auditeur ou à une partie adverse, appliquez les autorisations ainsi que les restrictions contractuelles et légales pertinentes ; ne communiquez pas de données supplémentaires par simple commodité.

• Identifiez la personne qui demande les preuves, le périmètre de la demande et son fondement.
• Rassemblez les versions, les approbations, les tests et les références nécessaires pour expliquer la décision.
• Consignez la source, la période couverte et les limites des données.
• Limitez les données de trafic communiquées au strict nécessaire et documentez les éléments transmis.

Liste de vérification pour mettre en place une politique révisable

Commencez par un périmètre restreint : identifiez les processus décisionnels que vous souhaitez pouvoir reconstituer et les systèmes concernés. Validez ensuite l’inventaire avec les équipes des opérations, de la sécurité, de la protection de la vie privée et de la conformité avant de fixer les autorisations et les durées.

La politique doit pouvoir évoluer lorsque les besoins ou les obligations changent. Désignez un responsable de son réexamen et conservez la justification des modifications ; ne transformez pas une configuration initiale en règle permanente sans la réévaluer.

• Définir les décisions et les processus couverts par la politique.
• Inventorier les données, les sources, la sensibilité, la finalité et les responsables.
• Distinguer les preuves de décision des journaux généraux, des DLR et des données de trafic.
• Justifier chaque durée en fonction de l’usage et des obligations applicables, sans en imposer une universelle.
• Attribuer les accès par fonction et réexaminer les autorisations.
• Documenter la conservation exceptionnelle, la suppression, les copies et les exportations.
• Préparer une réponse d’audit qui préserve la provenance et explique les limites.
• Prévoir un réexamen périodique et désigner un responsable du maintien de la politique.