RSD

Gruppo BPER Realizes a 253% ROI in One Year Using RSD Solution

As I have stated before, paper will never go away however there are numerous ways for an organization to reduce the amount of pages printed. Thoughtware Worldwide conducted a detailed analysis on how Gruppo BPER was able to reduce over 150 million printed pages annually by delivering data electronically. In addition to saving ~2000 trees, Gruppo BPER was able to streamline operations and dramatically improve decision making. As opposed to waiting for days to get information, users can now search, analyze, and customize the information.

Gruppo BPER improved customer interactions by reducing processing inefficiencies, better staff utilization, and putting knowledge at everyone’s finger tips for better decisions. The case study represents how data hidden in operational systems can be transformed into actionable intelligence and reduce print.

Read the case study, but please think twice before you print it.

Implementing an Information Governance Solution

Dear Customer,

 

Thank you very much for the recent purchase order for our information governance solution. You should be receiving the software CD in the next couple of days. Please insert the CD and after you run D:\setup, point to the applications that have the highest risk. It’s that simple. If you run into issues, access our online help system. Thank you again for your business and good luck.

 

Sincerely,

Your information governance vendor

 

I wish it was that simple and so do you. In reality, implementing an information governance solution requires more than software and running D:\setup.exe. Your company must document and validate (with executive management) the goals of an information governance program. Management needs to understand where in the company is the biggest risk. Is it in a particular line of business? Is it within a specific jurisdiction? Is it across a set of user groups (i.e. sales, finance, manufacturing)? Select a few areas and determine requirements, timelines, and budget constraints. Wait that’s right, you don’t have any budget constraints.

Step One – Create Information Governance Policy

One of challenges companies are grappling with is capturing all the requirements mandated by applicable laws and mapping them to corporate information and the various business applications and processes. Companies must hold cross functional meetings (stakeholders from legal, IT, business, compliance, and risk) to begin defining information governance policies. As I've stated before, information governance policies have some similarities to records management policies but also have lots of unique attributes. In addition to retention/disposition, information governance policies also include data privacy rules, eDiscovery requirements, metadata management, laws and regulations, as well as storage migration rules. This allows you to get “executive alignment” for managing the entire lifecycle of the record.

Once the policies are defined and validated, it’s time to publish the details to everyone in the organization. This should be published in PDF or HTML as well as an electronic format which can integrate with business applications across jurisdictions. By centralizing the definition of information governance policies, you reduce business risk while lowering your overall policy administration costs.

Stay tuned for step two.

 

Photo is courtesy of somegeekintn/Casey Fleser from Flickr

Sécurité des systèmes d'information

Le CLUSIF a publié la semaine dernière son rapport biennal quant aux entreprises et à la sécurisation de leur système d'information.
S'appuyant sur les réponses de 350 sociétés de plus de 200 salariés, et sur l'analyse des 11 thèmes de la norme ISO 27002 (relative à la sécurité des SI), ce rapport souligne les failles actuelles ainsi que les améliorations mises en œuvre par les entreprises.

Restons optimistes

Nous retiendrons que les entreprises, reconnaissant leur dépendance vis à vis de informatique, sont de plus en plus nombreuses (73%, soit +14% par rapport à 2008)à formaliser leur politique en la matière (67 % confirment l'existence d'une charte Sécurité SI, + 17 % par rapport à 2008.

Une évolution qui s'explique sans doute par l'implication de plus en plus forte de la direction générale dans la politique de sécurité IT de l'entreprise. "La politique de sécurité de l'information des entreprises est massivement soutenue par la direction générale, qui a contribué pour plus de la moitié à son élaboration", constate le CLUSIF.

Il est également intéressant de relever que chez 47% des répondants, la fonction RSSI (responsable de la sécurité du système d'information) existe même si ces responsables sont un peu isolés dans l'entreprise.

Cette fonction est plus souvent liée à la DSI (36%) ainsi qu'à la direction générale (34%). Un second rattachement qui s'inscrit néanmoins en recul comparé à 2008 (45%).
Pour le CLUSIF, "ceci peut s'expliquer par l'arrivée plus nombreuse de RSSI au sein d'entreprises de tailles moyennes ayant un niveau de maturité en sécurité IT encore faible".

Des budgets épargnés

Les budgets restent très serrés, mais par rapport à 2008, la sécurité apparaît comme  une catégorie de dépenses plutôt épargnée.
Poutant le CLUSIF constate des disparités selon les secteurs d'activité. "61% des entreprises du secteur BTP et 43% des Transport et Télécoms ont augmenté leur budget en 2010 parfois de manière très importante : 15% des entreprises du BTP ont noté une augmentation de plus de 10% de leur budget"

Peut mieux faire

Le CLUSIF a ajouté dans son enquête le thème ISO 27002 numéro 9 (sécurité physique), et les résultats montrent pour 41% des entreprises, le responsable des « données papier » n’est pas clairement identifié.

33% (-7% vs 2008) des entreprises ne disposent toujours pas d’un plan de continuité d’activité pour traiter les crises majeures !…
Enfin, les aspects « conformité », pour lesquels des progrès restent à faire, au travers :

• des « obligations CNIL » : en légère progression (68% « conforment », 20% « conforment pour leurs traitements sensibles », respectivement +4% et +1% vs 2008),
• des audits de sécurité : 25% des entreprises n’en font toujours pas !…,
• du tableau de bord de la sécurité informatique : 34% seulement en dispose (malgré les +11%).

A noter également, le sentiment de danger concernant la protection de la vie privée qui augmente (73% « mise en danger de la vie privée - fortement ou un peu », vs 60% en 2008).

Téléchargez l'intégralité des présentations faites par le CLUSIF autour du rapport 2010 sur les Menaces Informatiques et Pratiques de Sécurité en France.

Push, Pull, quels services pour l'information ?

Mise en exergue à la fin des années 90, la distinction "Push/Pull" ne fait plus recette aujourd'hui dans les débats.

Avec le web 2.0 et l'apparition des réseaux sociaux, les responsables marketing tentent de marier les deux avec opportunisme, tandis que les consommateurs et utilisateurs que nous sommes se satisfont d'une approche orientée "pull" ressentie comme plus respectueuse et moins agressive.

Côté entreprise, il semble que l'orientation soit bien différente et que le "push" soit toujours synonyme d'efficacité.

La valorisation de l'information par une distribution sélective

Le travail quotidien dans l'entreprise est bien plus exigeant en terme de disponibilité des informations que la participation à des réseaux sociaux ou plus simplement la consultation de portail web.

Pour répondre aux besoins de rapidité des utilisateurs, les outils "push" font merveille dans la distribution des informations et des documents.

La distribution permet de valoriser une information au service de l'activité de l'utilisateur. Il peut s'agir d'une alerte liée à une métadonnée ou d'un document résumant une transaction ou encore un rapport financier statuant sur une situation à un instant t.
Cette information ou ce contenu est délivré dans le format adapté au besoin de l'utilisateur (courrier électronique, pièce jointe, feuille de calcul, flux CSV ou XML, etc.).
La distribution en push facilite l'interopérabilité des applications par la rapidité à laquelle les informations sont communiquées mais également par sa facilité d'intégration dans une architecture opérationnelle.

Les outils ou fonctionnalités push permettent à la fois un contrôle et une finesse dans la diffusion de l'information pour optimiser les solutions de gestion de contenus et de gouvernance de l'information.

La valorisation de l'information par une exposition pertinente

Ces qualités font que le mode "push" est souvent ressenti comme très efficace mais peu adapté à certains de types de contenus et/ou de public.

Le mode "pull" largement représenté par les sites tant professionnels (mise à disposition de factures, de relevés, etc.) que sociaux (exposition de photos, d'informations, d'avis, etc.) convient bien pour une approche marketing.
Il véhicule et valorise une image de transparence et d'ouverture de l'entreprise.

L'exposition permet à chacun de trouver et de sélectionner, à sa convenance, l'information dont il a besoin. Les fonctionnalités "pull" sont idéales pour valoriser un patrimoine informationnel au service d'une relation client.

Si avec le "push" l'entreprise étendue et l'économie du savoir deviennent une réalité avec le "pull" c'est l'entreprise "citoyenne" (au sens acteur de la vie sociale et économique) du monde qui s'affiche.

"Push-Pull" ou "Push" versus "Pull" ?

Il est probable que les deux ont leur place. Il convient d'être pragmatique et d'utiliser la meilleure technique selon la cible, le contenu et surtout son objectif.

La gouvernance de l'information ne pousse pas à privilégier l'une ou l'autre de ces méthodes pour autant que les actifs informationnels soient utilisés au mieux des intérêts de son propriétaire.
C'est pour cette raison qu'il serait contre productif d'abandonner la distribution en faveur d'une exposition systématique.

Chacun comprend l'intérêt de déposer en "mains propres" de chaque récipiendaire concerné l'information sensible plutôt que de l'afficher dans un espace (même protégé).

8ème Conférence européenne sur l'archivage digital - Genève 28-30|04|2010

Le centre de conférence international de Genève abritait du 28 au 30 avril, la 8ème conférence européenne sur l'archivage digital.

Un nombre impressionnant de participants ont fait honneur aux speakers et il était bien difficile de faire son programme sans avoir l'impression de manquer une présentation ou un atelier important.

Avant de parler des thèmes, nous voudrions partager avec vous notre satisfaction quant à l'organisation de l'évènement et notre coup de coeur pour le travail de signalétique fait par des étudiants de la Haute école des arts de Berne (Hochschule der Künste - Bern) sous la houlette de Jimmy Schmid.  Bravo pour leur créativité et leur sens pratique !

Les thèmes

Les présentations étaient organisées autour de 4 thèmes :

• Profil professionnel : nouvelles compétences à l'ère numérique
• Constitution des fonds : comment documenter la société de l'information
• e-Archivage : réorganisation des processus et des modèles d'entreprise
• accès en ligne : solutions et implications.

e-Archivage

A défaut de pouvoir suivre toutes les présentations, nous avons privilégié l'e-Archivage et la réorganisation des processus et des modèles d'entreprises. La plupart des contributions étaient très intéressantes et nous avons retenu celle de Monsieur Alexander Samarin à propos de la synergie entre BPM (Business Process Model) et archivage électronique [www.improving-bpm-systems.com].
Nous avons également suivi avec intérêt les retours d'expérience du CNES, des Archives nationales de France (le rôle structurant des référentiels), de la Poste française ou encore de de l'AFSSAPS (Agence Française de Sécurité Sanitaire des Produits de Santé) et le projet d'archivage électronique des autorisations de mise sur le marché des médicaments.

L'importance des standards

Les normes et les standards sont au cœur des réflexions, des projets et des expériences. Nombreux sont les pays ou les organisations qui ont choisi le PDF/A comme standard d'archivage pour les documents et plus globalement le contenu non structuré.
Moreq2 et l'annonce de Moreq2010 couplé à un appel à contribution fait partie de ces normes et l'approche plus "verticalisée" de la présentation des exigences de Moreq2 ne peut qu'en faciliter la mise en oeuvre.

Aujourd'hui, la définition des référentiels se fait au regard du respect des standards tels PRONOM [formats de fichiers], IANA [types MIME], ICA, ISO 639, OAIS, Moreq2 et des l'exigence d'interopérabilité.

Enfin, nous retiendrons également le projet d'émulation DIOSCURI présenté par Nationaal Archief of the Netherlands en alternative à la migration par ainsi que SIARD, la solution  d'archivage de bases de données relationnelles développée et mise à disposition gratuitement par les ingénieurs des Archives fédérales suisses.

Il ne nous est malheureusement pas possible de rendre compte de toutes les présentations, aussi merci d'utiliser les commentaires pour partager vos impressions et réactions au contenu de cette note ou à celui des séances auxquelles vous avez pu participer.

Cordialement,

Claude SUPER

Gestion des actifs informationnels versus "records management"

Les organisations font généralement un gros effort pour gérer ou à défaut maîtriser l'information qu'elles produisent et qu'elles utilisent. Pourtant, il est souvent facile de prévoir quels services ou fonctions bénéficient en priorité de ces investissements.

Une inégalité de service

En effet, nul ne doute qu'un comptable sache exactement où et comment puisse retrouver facilement une facture datant de plusieurs années.
Il est également rassurant de pouvoir être certain de retrouver la copie d'un contrat dans ses archives (ou à défaut dans celles de l'autre contractant).

Mais, il est regrettable, bien que très courant, de ne pas savoir ou aller rechercher les correspondances clients, les études de marché ou encore les documents liés à des projets marketing.
Ces contenus ont-ils moins de valeur et d'importance ?

La valeur des contenus

Elle est relative bien sûr, et c'est bien pour cela que l'entreprise doit mener une réflexion approfondie sur la question.

Valeur patrimoniale, valeur "légale", valeur "marchande", qu'en est-il pour définir les actifs informationnels de l'organisation ?

Le "records management" considère essentiellement la valeur patrimoniale et "légale" pour définir l'actif informationnel et supporter une politique de gouvernance de l'information.
Mais la politique de gouvernance de l'information, véritable socle de la stratégie de gestion des actifs informationnels, requiert plus !

Aller plus loin

• Le records management est statique alors que la gouvernance de l'information est dynamique,
• le records management est réactif alors que la gouvernance de l'information se veut pro active,
• le records management est principalement centré sur la rétention alors que la gouvernance de l'information est au service du développement et de la croissance des affaires.

Bien évidemment, dans le cas d'industries fortement réglementées ou à haut risque de contentieux, l'accent sera mis sur sur la création de règles strictes et rapides pour la rétention d'information et la disposition. Dans d'autres secteurs, l'accent sera mis sur le développement de processus fiables de valorisation des contenus dans le développement de leurs affaires.

Aujourd'hui, et selon IDC, les contenus sont crées à plus de 70% par des personnes et non par des applications (traitement batch par exemple). Ceci fait que seules les organisations qui savent mettre en œuvre des structures de gestion des informations simples, intuitives et, surtout flexibles, réussiront.

Ainsi la structuration de gestion de l'information (hiérarchie de dossiers, modèle de métadonnées, intégration applicative, verticalisation, ou personnalisation) doit avoir un sens pour les utilisateurs finaux et de s'insérer facilement dans le flux de leur travail quotidien.

La difficulté de la gouvernance de l'information réside notamment dans le fait qu'elle requiert flexibilité, adaptabilité et souplesse.

Le records management se nourrit de contraintes et de règles strictes et "gravées dans le marbre". Il lui manque cet espace de "liberté" que la gouvernance de l'information doit favoriser pour contribuer à l'objectif de toute organisation : le développement ou la croissance.

Nous reviendrons sur ces réflexions, notamment à l'issue du 8th European Conference on Digital Archiving qui se déroule à Genève du 28 au 30 avril.

Importance of PCI Compliance

Last week, I was finalizing my information governance presentation for the upcoming IBM Impact 2010 conference. I have this excellent slide that shows the relationship of the entire content lifecycle with the different stakeholders in the organization – Privacy Officer, Security Officer, legal counsel, and of course IT. When I usually present this slide I give specific examples related to HIPPA, Sarbanes Oxley, and DOD 5015.2. One example I sometimes leave out is the Payment Card Industry Data Security Standard (PCI DSS).

PCI applies to all organizations or merchants, regardless of size or number of transactions, that accepts, transmits or stores any cardholder data. A simpler way of saying this – if any customer of that organization ever pays the merchant directly using a credit card or even with a debit card, then the PCI DSS requirements apply.

PCI is designed to prevent hackers and criminals for targeting credit card theft and its subsequent fraudulent use of customer data. The intent of PCI is to make it much harder to obtain credit cardholder data due to the more robust and standardized approach to data security. Unfortunately, as I have seen, many companies are still struggling to demonstrate PCI compliance. The costs and effort associated with meeting PCI requirements can sometimes be daunting. However, so can the fines. Fines can amount from $5,000 to $100,000 per month for PCI compliance violations. How about brand reputation and stock price?

Some of the requirements for PCI include building and preserving a secure network while maintaining a vulnerability management program. Also included is to implement strong access control which includes protecting and encrypting cardholder data. This includes new data being generated as well as content stored for years and years.

The PCI Security Standard Council published a new version (1.2) of the PCI DSS in October 1st 2008, which includes 12 major requirements. The Lifecycle Process for changes to PCI DSS is currently in stage 3; stage 5 is expected to end by September 30th 2010 with the publication of a new version. 

When defining and planning a PCI program scope, one of the first action items is to know what is in and what is out of scope - including systems, content repositories, storage platforms, networks, people, and processes. As I have said many times before, measure your risk but don't ignore it.

eDiscovery et archivage de courriers électroniques

Pourquoi limiter l'eDiscovery au courrier électronique ?

Aujourd'hui, pour beaucoup le terme eDiscovery (l'équivalent en français pourrait être la recherche des preuves électroniques) fait immédiatement référence aux courriers électroniques, à des solutions d'archivage, de recherche et de restitution des messages.

Pourtant, l'eDiscovery va bien plus loin

En effet, les solutions d'eDiscovery permettent aux entreprises de retrouver les informations stockées électroniquement pour documenter des litiges et apporter un support rapide et en temps opportun. Ces données incluent les emails, les documents du type office (ex : MS-Word, les fichiers PDF, feuilles de calcul) mais également les messages instantanés, les conversations (chat) ainsi que tout autre document produit par des applications métiers (batch ou à la volée).

Une démarche proactive afin de maîtriser les risques : Il faut anticiper!
Le courrier électronique a été pendant longtemps considéré comme une source privilégiée pour l'eDiscovery et nombreux sont les cas aux USA qui en témoignent : Enron, Coleman Holdings Inc. v. Morgan Stanley & Co ou encore Zubulake vs. UBS Warburg Inc.

Aujourd'hui, la maîtrise des risques financiers (amendes très élevées) mais également en terme d'image et de réputation, pousse les entreprises à vouloir également maîtriser les contenus qu'elles génèrent et utilisent.

Une démarche réactive par la maîtrise des contenus : Il faut contrôler les contenus et leur diffusion pour être capable de réagir!
Sur ce blog, nous avons déjà évoqué les questions liées à la gestion de l'information dans plusieurs notes, notamment à propos des réseaux sociaux et de la responsabilité des entreprises, tant il est vrai que l'augmentation vertigineuse du volume de contenus qu'il faut maîtriser se complique singulièrement avec l'apparition des sites de microblogging, de networking ou plus simplement de réseautage.

Bien au-delà du courrier électronique, la réponse technique à l'eDiscovery est un ensemble de composants utilisés par l'entreprise pour :

• Identifier, rechercher, collecter, conservez et exporter les informations archivées électroniquement
• Permettre d'apporter une réponse aux exigences actuelles en matière de litige juridique, d'audit, d'enquête ou de demande d'information
• Anticiper par une évaluation précoce des risques (analyse des faits, contrôle des documents concernés pour décider des meilleures stratégies)
• Gérer avec pragmatisme les défis de la constitution numérique de dossier juridique
• Mettre en place une stratégie de gouvernance des informations archivées au format électronique.

Double démarche appuyée par des solutions performantes et adaptées sans lesquelles il est impossible de répondre aux exigences de l'eDiscovery.

Nous reviendrons très bientôt sur ces questions sur ce blog mais également à l'occasion de séminaires en ligne sur ce sujet mais également à propos de la gouvernance de l'information.

A bientôt.

Documation 2010 : Collaboration, réseaux sociaux et un zeste de gouvernance

Le salon Documation s'est tenu mercredi 17 et jeudi 18 à Paris.

L'édition 2010 marque le retour des visiteurs sur ce type d'évènement durant lequel près de 150 sociétés présentaient leurs solutions.

A la sortie du CNIT, la tendance pouvait être rapidement résumée en 3 points :

• L'Open source en tant qu'alternative à Microsoft SharePoint [ou un triomphe annoncé] pour l'entreprise 2.0
• Les réseaux sociaux au service des entreprises
• La gouvernance de l'information au centre des solutions d'ECM

Les solutions open source ont toujours eu plus qu'un succès d'estime en France et cette édition du salon confirme l'importance des solutions collaboratives mais également de GED basée sur Alfresco ou d'autres plateformes. De nombreux intégrateurs ou sociétés de services telles 1Genia proposent la mise en œuvre d'espaces collaboratifs ou de solutions de gestion des documents (hors production batch).

La concurrence est rude face au succès annoncé de Share Point. Le village "Share Point", espace "privé" mais ouvert, a suscité beaucoup d’intérêt. On y trouvait pas moins de 25 partenaires de Microsoft autour d’une zone de conférences qui affichait complet pour chaque présentation liée notamment à la promotion de la version 2010, pourvue de fonctions web 2.0

Les réseaux sociaux commençant à apparaître dans la liste des outils utilisés par les entreprises, il était normal que les acteurs de ce marché soient également présents à Documation. Ici encore, on notera la concurrence qui s'annonce rude entre les solutions des éditeurs dont Microsoft et le monde de l'open source et de l'intégration.

Enfin, la gouvernance de l'information, la gestion des contenus non structurés, le record management et plus globalement l'Entrerprise Information Management font partie intégrante des réflexions des éditeurs ECM mais bien peu semblent aussi avancés que ne l'est RSD dans la mise en œuvre d'un solution dédiée (cf. ci-dessous nos notes concernant les besoins, le contexte ainsi que les enjeux).

Le droit à l'oubli !

Il y a beaucoup d'informations concernant chacun d'entre nous qui sont conservées par des administrations et des sociétés commerciales.

Il est légitime que chacun puisse accéder à la totalité de l'information qui le concerne et c'est souvent le cas (même si les chemins sont quelquefois semés d'embûches ou mal indiqués).

Il est également légitime que chacun puisse faire valoir le droit à l'oubli ainsi que le respect de la sphère privée (anonymisation des données).

Le droit à l'oubli est primordial.
Et la CNIL vient de le rappeler à tous en obtenant des banques d'elles qu'elles se conforment à des règles en la matière et soient plus rigoureuses dans la gestion des informations, au nom du droit à l'oubli.

En effet, créé le 1er août 1987 par la Banque de France, le fichier central des retraits de cartes "CB" constitue un sous-ensemble du Fichier central des chèques (FCC). Il recense les personnes qui ont fait l'objet d'une décision de retrait de carte bancaire "CB", suite à un incident lié à l'utilisation de ce moyen de paiement (défaut de provision au moment d'un retrait ou d'une transaction CB). Les banques notifient ces décisions de retrait à la Banque de France.
Mais, qu'en est-il de ce fichage une fois le problème réglé ?
C'est parce que la réponse n'était pas claire que la Commission nationale de l'informatique et des libertés (Cnil) demande depuis plusieurs années aux banques plus de transparence. Et elle a récemment obtenu d'elles qu'elles se conforment à des règles en la matière et soient plus rigoureuses dans la gestion des informations, au nom du droit à l'oubli.

Ces négociations ont abouti aux notamment aux résultats suivants :

• en cas de régularisation de l'incident avant l'expiration du délai de deux ans, l'établissement bancaire a désormais l'obligation de demander la radiation dans les deux jours ouvrés à compter de la disparition du motif d'inscription. Il est tenu d'informer, sans délai et par écrit, les titulaires du compte de la radiation ou de l'annulation de l'inscription.
• les modalités d'information des clients lors de la délivrance de leur carte CB, et avant l'envoi de la déclaration de retrait à la Banque de France, ont été améliorées.

Le besoin d'anonymisation de certaines données est indiscutable.

C’est essentiellement dans le domaine de la santé publique que la CNIL a été amenée à examiner les procédés qui permettent de rendre anonymes des données personnelles particulièrement sensibles, même si dans autre domaine, celui du recensement général de la population par l’INSEE,  la nécessité d’une anonymisation des renseignements collectés n’est pas moins grande.

On sait en effet que toute étude épidémiologique en matière de santé doit être soigneusement encadrée pour assurer la confidentialité des données personnelles collectées. Si cette obligation résulte de la législation « Informatique et Libertés », on peut également remarquer que de façon générale, l’exigence de confidentialité est de l’intérêt même des chercheurs, en créant un climat de confiance susceptible d’améliorer la qualité de la collecte des informations auprès des populations concernées.

Ces deux exemples montrent à quel point le passage à la dématérialisation doit s'accompagner de mesures de protection de l'individu et des informations le concernant.

L'anticipation et le respect de ces exigences tiennent de le mise en œuvre d'une réelle politique de gouvernance de l'information tant au niveau des institutions publiques que des organisations privées.