ISO/IEC 27038:2014

Information technology — Security techniques — Specification for digital redaction

ISO/IEC 27038:2014 specifies characteristics of techniques for performing digital redaction on digital documents. It also specifies requirements for software redaction tools and methods of testing that digital redaction has been securely completed. ISO/IEC 27038:2014 does not include the redaction of information from databases.

Technologies de l'information — Techniques de sécurité — Spécifications concernant l'expurgation numérique

L'ISO/IEC 27038:2014 spécifie les caractéristiques des techniques d'expurgation numérique de documents numériques. La présente Norme internationale spécifie également les exigences concernant les outils d'expurgation logiciels et les méthodes d'essai permettant d'assurer que l'expurgation numérique a été réalisée de façon sûre. L'ISO/IEC 27038:2014 n'inclut pas l'expurgation d'informations de bases de données.

General Information

• Status: Published
• Publication Date: 12-Mar-2014
• ICS: 35.030 - IT Security
• ICS: 35.040 - Information coding
• Technical Committee: ISO/IEC JTC 1/SC 27 - Information security, cybersecurity and privacy protection
• Drafting Committee: ISO/IEC JTC 1/SC 27/WG 4 - Security controls and services
• Current Stage: 9093 - International Standard confirmed
• Completion Date: 27-Nov-2019

Standards Content (Sample)

INTERNATIONAL ISO/IEC
STANDARD 27038
First edition
2014-03-15
Information technology — Security
techniques — Specification for digital
redaction
Technologies de l’information — Techniques de sécurité —
Spécifications pour la rédaction numérique
Reference number
ISO/IEC 27038:2014(E)
©
ISO/IEC 2014

---------------------- Page: 1 ----------------------
ISO/IEC 27038:2014(E)

COPYRIGHT PROTECTED DOCUMENT
© ISO/IEC 2014
All rights reserved. Unless otherwise specified, no part of this publication may be reproduced or utilized otherwise in any form
or by any means, electronic or mechanical, including photocopying, or posting on the internet or an intranet, without prior
written permission. Permission can be requested from either ISO at the address below or ISO’s member body in the country of
the requester.
ISO copyright office
Case postale 56 • CH-1211 Geneva 20
Tel. + 41 22 749 01 11
Fax + 41 22 749 09 47
E-mail [e-mail]
Web www.iso.org
Published in Switzerland
ii © ISO/IEC 2014 – All rights reserved

---------------------- Page: 2 ----------------------
ISO/IEC 27038:2014(E)

Contents Page
Foreword .iv
Introduction .v
1 Scope . 1
2 Terms and definitions . 1
3 Symbols and abbreviated terms . 2
4 General principles of digital redaction . 2
4.1 Introduction . 2
4.2 Anonymization . 2
5 Requirements . 2
5.1 Overview . 2
5.2 Redaction principles . 3
6 Redaction processes . 4
6.1 Introduction . 4
6.2 Paper intermediaries . 4
6.3 Digital image intermediaries . 4
6.4 Simple digital redaction . 4
6.5 Complex digital redaction. 5
6.6 Contextual information . 5
7 Keeping records of redaction work. 6
8 Characteristics of software redaction tools . 6
9 Requirements for redaction testing . 7
Annex A (informative) Redacting of PDF documents . 9
© ISO/IEC 2014 – All rights reserved iii

---------------------- Page: 3 ----------------------
ISO/IEC 27038:2014(E)

Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are
members of ISO or IEC participate in the development of International Standards through technical
committees established by the respective organization to deal with particular fields of technical
activity. ISO and IEC technical committees collaborate in fields of mutual interest. Other international
organizations, governmental and non-governmental, in liaison with ISO and IEC, also take part in the
work. In the field of information technology, ISO and IEC have established a joint technical committee,
ISO/IEC JTC 1.
International Standards are drafted in accordance with the rules given in the ISO/IEC Directives, Part 2.
The main task of the joint technical committee is to prepare International Standards. Draft International
Standards adopted by the joint technical committee are circulated to national bodies for voting.
Publication as an International Standard requires approval by at least 75 % of the national bodies
casting a vote.
Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. ISO and IEC shall not be held responsible for identifying any or all such patent rights.
ISO/IEC 27038 was prepared by Joint Technical Committee ISO/IEC JTC 1, Information technology,
Subcommittee SC 27, IT Security techniques.
iv © ISO/IEC 2014 – All rights reserved

---------------------- Page: 4 ----------------------
ISO/IEC 27038:2014(E)

Introduction
Some documents can contain information that must not be disclosed to some communities. Modified
documents can be released to these communities after an appropriate processing of the original
document. This processing can include the removal of sections, paragraphs or sentences with, where
appropriate, the mention that they have been removed. This process is called the “redaction” of the
document.
The digital redaction of documents is a relatively new area of document management practice, raising
unique issues and potential risks. Where digital documents are redacted, removed information must
not be recoverable. Hence, care needs to be taken so that redacted information is permanently removed
from the digital document (e.g. it must not be simply hidden within nondisplayable portions of the
document).
This International Standard specifies methods for digital redaction of digital documents.
Redaction can also involve the removal of document metadata or the removal of some information (e.g.
an image) imported into the document.
It can be possible to identify redacted information in a redacted digital document by context. For example,
the length of the redaction replacement text can indicate the length of the redacted information, and
thus the information itself. This International Standard introduces two levels of redaction:
— BASIC redaction where context is not taken into consideration;
— ENHANCED redaction where context is taken into consideration.
Redaction techniques can be used for the anonymization of the information in a document, for example
by the removal of some names within sentences. It can also involve the removal of numbers within
sentences and their replacement by “XXX”.
© ISO/IEC 2014 – All rights reserved v

---------------------- Page: 5 ----------------------
INTERNATIONAL STANDARD ISO/IEC 27038:2014(E)
Information technology — Security techniques —
Specification for digital redaction
1 Scope
This International Standard specifies characteristics of techniques for performing digital redaction on
digital documents. This International Standard also specifies requirements for software redaction tools
and methods of testing that digital redaction has been securely completed.
This International Standard does not include the redaction of information from databases.
2 Terms and definitions
For the purposes of this document, the following terms and definitions apply.
2.1
anonymization
process by which personally identifiable information (PII) is irreversibly altered in such a way that a
PII principal can no longer be identified directly or indirectly, either by the PII controller alone or in
collaboration with any other party
[SOURCE: ISO/IEC 29100:2011, definition 2.2]
2.2
document
recorded information which can be treated as a unit
Note 1 to entry: Documents can contain text, pictures, video and audio content, metadata and other associated
content.
2.3
personally identifiable information
PII
any information that (a) can be used to identify the PII principal to whom such information relates, or
(b) is or might be directly or indirectly linked to a PII principal
Note 1 to entry: To determine whether a PII principal is identifiable, account should be taken of all the means
which can reasonably be used by the privacy stakeholder holding the data, or by any other party, to identify that
natural person.
[SOURCE: ISO/IEC 29100:2011, definition 2.9]
2.4
redaction
permanent removal of information within a document
2.5
reviewer
individual(s) who assesses a document for redaction requirements
Note 1 to entry: There could be a series of individuals who assess a particular document.
© ISO/IEC 2014 – All rights reserved 1

---------------------- Page: 6 ----------------------
ISO/IEC 27038:2014(E)

3 Symbols and abbreviated terms
For the purposes of this document, the following abbreviations apply.
PII Personally Identifiable Information
PDF Portable Document Format
OCR Optical Character Recognition
XML Extensible Markup Language
4 General principles of digital redaction
4.1 Introduction
Redaction is carried out in order to permanently remove particular information from a copy of a
document. It should be used when, for example, one or two individual words, a sentence or paragraph,
an image, a name, address and/or signature needs to be removed from a document prior to it being
disclosed to individuals who are not authorized to view the removed information.
The process of digital redaction is not simply to remove information but also to indicate where necessary
that some information has been removed, so that the reader knows that the document has been redacted.
For example, there can be a need to know that some words or some paragraphs have been deleted in
order to maintain the semantics of the non-redacted information.
4.2 Anonymization
As an example, one of the purposes of redaction is to remove personally identifiable information (PII)
from a document (anonymization). Where such a purpose is applicable, then redaction processes shall
be so designed such that the identity of the individual about whose information is being redacted is
protected.
It can be, for example, that even though a name has been redacted from a document, the identity of the
individual is evident from the remaining information. Where anonymization is required, all information
that could be used to identify the individual shall be redacted. This shall include all information that
could be used in conjunction with other information (which can be obtained from other sources) to
identify the individual.
5 Requirements
5.1 Overview
Organizations should have the capability to identify documents that need to be redacted prior to their
release to other parts of the organization or to others (such as the public).
Redaction should be performed or overseen by reviewers that are knowledgeable about the documents
and can determine what information is to be redacted. If reviewers identifying such information do not
carry out redaction themselves, their instructions shall be specific e.g. ‘Memo dated …, paragraph no…,
line starting… and ending…’ etc.
Redaction shall be carried out on copies of the digital document. The redaction process shall result
in the creation of a new digital document where complete and irreversible removal of the redacted
information is achieved. This new digital document shall be managed and disposed of in the same
manner as the original document.
2 © ISO/IEC 2014 – All rights reserved

---------------------- Page: 7 ----------------------
ISO/IEC 27038:2014(E)

When identifying information that needs to be redacted prior to release, whole sentences or paragraphs
should not be identified if only one or two words in that sentence or paragraph are to be redacted, unless
the release would enable the identification of the redacted information by context.
Where necessary, information relating to the effect that a digital document has been redacted shall be
linked with the digital document. To identify the fact that a redaction process has been undertaken,
redacted information may be replaced by a sentence stating that some information has been redacted.
When redaction is performed on a digital document, any metadata included within the digital document
shall be reviewed for redaction requirements and appropriate redactions undertaken.
Where redaction is performed on a digital document that contains images, video and/or voice
information, redaction techniques that remove the necessary information shall be used.
5.2 Redaction principles
The redaction of digital documents shall be carried out in accordance with the following principles:
— Retention of digital original document
The original or master version of a digital document shall not be redacted – redaction shall be carried
out on a copy of the digital document. Original digital documents (e.g. the un-redacted document)
shall be retained and be accessible only to those authorized.
— Complete removal of redacted information
Redaction shall irreversibly remove the required information from the redacted version of the
document. The information shall be completely removed from the digital document, not simply
from the displayable content.
— Security evaluated redaction
Redaction shall always be carried out using methods approved by the organization.
— Controlled environment
Electronic redaction shall be carried out in an environment that provides access only to those
trained and authorized to carry out redaction.
— Intermediary stages
All the redacted documents in intermediary stages of the redaction process should be deleted. Only
the original digital document and the appropriately redacted version should be retained. Where a
particular digital document is to be redacted in different ways (for example for different audiences),
then it may be appropriate to temporarily retain intermediate stages unt
...

DRAFT INTERNATIONAL STANDARD ISO/IEC DIS 27038
ISO/IEC JTC 1 Secretariat: ANSI

Voting begins on Voting terminates on
2013-01-14 2013-04-14
INTERNATIONAL ORGANIZATION FOR STANDARDIZATION • МЕЖДУНАРОДНАЯ ОРГАНИЗАЦИЯ ПО СТАНДАРТИЗАЦИИ • ORGANISATION INTERNATIONALE DE NORMALISATION
INTERNATIONAL ELECTROTECHNICAL COMMISSION • МЕЖДУНАРОДНАЯ ЭЛЕКТРОТЕХНИЧЕСКАЯ КОММИСИЯ • COMMISSION ÉLECTROTECHNIQUE INTERNATIONALE


Information technology — Security techniques — Specification
for Digital Redaction

ICS 35.040



To expedite distribution, this document is circulated as received from the committee
secretariat. ISO Central Secretariat work of editing and text composition will be undertaken at
publication stage.
Pour accélérer la distribution, le présent document est distribué tel qu'il est parvenu du
secrétariat du comité. Le travail de rédaction et de composition de texte sera effectué au
Secrétariat central de l'ISO au stade de publication.


THIS DOCUMENT IS A DRAFT CIRCULATED FOR COMMENT AND APPROVAL. IT IS THEREFORE SUBJECT TO CHANGE AND MAY NOT BE
REFERRED TO AS AN INTERNATIONAL STANDARD UNTIL PUBLISHED AS SUCH.
R PURPOSES,
IN ADDITION TO THEIR EVALUATION AS BEING ACCEPTABLE FOR INDUSTRIAL, TECHNOLOGICAL, COMMERCIAL AND USE
DRAFT INTERNATIONAL STANDARDS MAY ON OCCASION HAVE TO BE CONSIDERED IN THE LIGHT OF THEIR POTENTIAL TO BECOME
STANDARDS TO WHICH REFERENCE MAY BE MADE IN NATIONAL REGULATIONS.
RECIPIENTS OF THIS DRAFT ARE INVITED TO SUBMIT, WITH THEIR COMMENTS, NOTIFICATION OF ANY RELEVANT PATENT RIGHTS OF WHICH
THEY ARE AWARE AND TO PROVIDE SUPPORTING DOCUMENTATION.
International Organization for Standardization, 2013
©
International Electrotechnical Commission, 2013

---------------------- Page: 1 ----------------------
ISO/IEC DIS 27038

Copyright notice
This ISO document is a Draft International Standard and is copyright-protected by ISO. Except as permitted
under the applicable laws of the user's country, neither this ISO draft nor any extract from it may be
reproduced, stored in a retrieval system or transmitted in any form or by any means, electronic,
photocopying, recording or otherwise, without prior written permission being secured.
Requests for permission to reproduce should be addressed to either ISO at the address below or ISO's
member body in the country of the requester.
ISO copyright office
Case postale 56 • CH-1211 Geneva 20
Tel. + 41 22 749 01 11
Fax + 41 22 749 09 47
E-mail [e-mail]
Web www.iso.org
Reproduction may be subject to royalty payments or a licensing agreement.
Violators may be prosecuted.
ii © ISO/IEC 2013 — All rights reserved

---------------------- Page: 2 ----------------------
ISO/IEC DIS 27038

Contents Page
Foreword . iv
Introduction . v
1 Scope . 1
2 Terms and definitions . 1
3 Symbols and abbreviated terms . 1
4 General principles of digital redaction . 2
4.1 Introduction . 2
4.2 Anonymization . 2
5 Requirements . 2
5.1 Overview . 2
5.2 Redaction principles . 3
6 Redaction processes . 3
6.1 Introduction . 3
6.2 Paper intermediaries . 4
6.3 Digital image intermediaries . 4
6.4 Simple digital redaction . 4
6.4.1 General . 4
6.4.2 Character encoding . 4
6.5 Complex digital redaction. 5
6.5.1 General . 5
6.5.2 Complex format documents . 5
6.5.3 Non-text information . 5
6.6 Contextual information . 5
6.6.1 Introduction . 5
6.6.2 Basic redaction . 6
6.6.3 Enhanced redaction . 6
7 Keeping records of redaction work . 6
8 Characteristics of software redaction tools . 6
9 Requirements for redaction testing . 7
Annex A (informative) Redacting of PDF documents . 9

© ISO/IEC 2012 – All rights reserved iii

---------------------- Page: 3 ----------------------
ISO/IEC DIS 27038

Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are members of
ISO or IEC participate in the development of International Standards through technical committees
established by the respective organization to deal with particular fields of technical activity. ISO and IEC
technical committees collaborate in fields of mutual interest. Other international organizations, governmental
and non-governmental, in liaison with ISO and IEC, also take part in the work. In the field of information
technology, ISO and IEC have established a joint technical committee, ISO/IEC JTC 1.
International Standards are drafted in accordance with the rules given in the ISO/IEC Directives, Part 2.
The main task of the joint technical committee is to prepare International Standards. Draft International
Standards adopted by the joint technical committee are circulated to national bodies for voting. Publication as
an International Standard requires approval by at least 75 % of the national bodies casting a vote.
Attention is drawn to the possibility that some of the elements of this document may be the subject of patent
rights. ISO and IEC shall not be held responsible for identifying any or all such patent rights.
ISO/IEC 27038 was prepared by Joint Technical Committee ISO/IEC JTC 1, Information technology,
Subcommittee SC 27, Security techniques.

iv © ISO/IEC 2012 – All rights reserved

---------------------- Page: 4 ----------------------
ISO/IEC DIS 27038

Introduction
Some documents may contain information that must not be disclosed to some communities. Modified
documents may be released to these communities after an appropriate processing of the original document.
This processing may include the removal of sections, paragraphs or sentences with, where appropriate, the
mention that they have been removed. This process is called the “redaction” of the document.
The digital redaction of documents is a relatively new area of document management practice, raising unique
issues and potential risks. Where digital documents are redacted, removed information must not be
recoverable. Hence, care needs to be taken so that redacted information is permanently removed from the
digital document (e.g. it must not be simply hidden within non-displayable portions of the document).
This international standard specifies methods for digital redaction of digital documents.
Redaction may also involve the removal of document metadata or the removal of some information (e.g. an
image) imported into the document.
It may be possible to identify redacted information in a redacted digital document by context. For example,
the length of the redaction replacement text may indicate the length of the redacted information, and thus the
information itself. This international standard introduces two levels of redaction:
⎯ BASIC redaction where context is not taken into consideration;
⎯ ENHANCED redaction where context is taken into consideration.
Redaction techniques can be used for the anonymization of the information in a document, for example by the
removal of some names within sentences. It can also involve the removal of numbers within sentences and
their replacement by “XXX”
© ISO/IEC 2012 – All rights reserved v

---------------------- Page: 5 ----------------------
DRAFT INTERNATIONAL STANDARD
ISO/IEC DIS 27038
INTERNATIONAL STANDARD

Information technology — Security techniques — Specification
for digital redaction
1 Scope
This international standard specifies characteristics of techniques for performing digital redaction on digital
documents.  This international standard also specifies requirements for software redaction tools and methods
of testing that digital redaction has been securely completed.
This international standard does not include the redaction of information from databases.
2 Terms and definitions
For the purposes of this document, the following terms and definitions apply.
2.1
anonymization
process by which personally identifiable information (PII) is irreversibly altered in such a way that a PII
principal can no longer be identified directly or indirectly, either by the PII controller alone or in collaboration
with any other party
[ISO/IEC 29100]
2.2
document
recorded information which can be treated as a unit
NOTE: Documents may contain text, pictures, video and audio content, metadata and other associated content
2.3
personally identifiable information
PII
any information that (a) can be used to identify the PII principal to whom such information relates, or (b) is or
might be directly or indirectly linked to a PII principal
[ISO/IEC 29100]
2.4
redaction
permanent removal of information within a document
2.5
reviewer
individual(s) who assesses a document for redaction requirements
NOTE: There could be a series of individuals who assess a particular document
3 Symbols and abbreviated terms
For the purposes of this document, the following abbreviations apply.
© ISO/IEC 2012 – All rights reserved 1

---------------------- Page: 6 ----------------------
ISO/IEC DIS 27038

PII Personally Identifiable Information
PDF Portable Document Format
OCR Optical Character Recognition
XML Extensible Markup Language
4 General principles of digital redaction
4.1 Introduction
Redaction is carried out in order to permanently remove particular information from a copy of a document. It
should be used when, for example, one or two individual words, a sentence or paragraph, an image, a name,
address and/or signature needs to be removed from a document prior to it being disclosed to individuals who
are not authorized to view the removed information.
The process of digital redaction is not simply to remove information but also to indicate where necessary that
some information has been removed, so that the reader knows that the document has been redacted. For
example, there may be a need to know that some words or some paragraphs have been deleted in order to
maintain the semantics of the non-redacted information.
4.2 Anonymization
One of the purposes of redaction is to remove personally identifiable information (PII) from a document
(anonymization). Where such a purpose is applicable, then redaction processes shall be so designed such
that the identity of the individual about whose information is being redacted is protected.
It may be, for example, that even though a name has been redacted from a document, the identity of the
individual is evident from the remaining information. Where anonymization is required, all information that
could be used to identify the individual shall be redacted. This shall include all information that could be used
in conjunction with other information (which may be obtained from other sources) to identify the individual.
5 Requirements
5.1 Overview
Organizations should have the capability to identify documents that need to be redacted prior to their release
to other parts of the organization or to others (such as the public).
Redaction should be performed or overseen by reviewers that are knowledgeable about the documents and
can determine what information is to be redacted. If reviewers identifying such information do not carry out
redaction themselves, their instructions shall be specific e.g. ‘Memo dated …, paragraph no…, line starting…
and ending…’ etc.
Redaction shall be carried out on copies of the digital document. The redaction process shall result in the
creation of a new digital document where complete and irreversible removal of the redacted information is
achieved.
When identifying information that needs to be redacted prior to release, whole sentences or paragraphs
should not be identified if only one or two words in that sentence or paragraph are to be redacted, unless the
release would enable the identification of the redacted information by context.
2 © ISO/IEC 2012 – All rights reserved

---------------------- Page: 7 ----------------------
ISO/IEC DIS 27038

Where necessary, information relating to the effect that a digital document has been redacted shall be linked
with the digital document. To identify the fact that a redaction process has been undertaken, redacted
information may be replaced by a sentence stating that some information has been redacted.
When redaction is performed on a digital document, any metadata included within the digital document shall
be reviewed for redaction requirements and appropriate redactions undertaken.
Where redaction is performed on a digital document that contains images, video and/or voice information,
redaction techniques that remove the necessary information shall be used.
5.2 Redaction principles
The redaction of digital documents shall be carried out in accordance with the following principles:
⎯ Retention of digital original document
The original or master version of a digital document shall not be redacted – redaction shall be carried out
on a copy of the digital document. Original digital documents (e.g. the un-redacted document) shall b
...

NORME ISO/IEC
INTERNATIONALE 27038
Première édition
2014-03-15
Technologies de l’information —
Techniques de sécurité —
Spécifications concernant
l’expurgation numérique
Information technology — Security techniques — Specification for
digital redaction
Numéro de référence
ISO/IEC 27038:2014(F)
©
ISO/IEC 2014

---------------------- Page: 1 ----------------------
ISO/IEC 27038:2014(F)

DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2014, Publié en Suisse
Droits de reproduction réservés. Sauf indication contraire, aucune partie de cette publication ne peut être reproduite ni utilisée
sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique, y compris la photocopie, l’affichage sur
l’internet ou sur un Intranet, sans autorisation écrite préalable. Les demandes d’autorisation peuvent être adressées à l’ISO à
l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Ch. de Blandonnet 8 • CP 401
CH-1214 Vernier, Geneva, Switzerland
Tel. [phone]
Fax [phone]
[e-mail]
www.iso.org
ii  © ISO/IEC 2014 – Tous droits réservés

---------------------- Page: 2 ----------------------
ISO/IEC 27038:2014(F)

Sommaire Page
Avant-propos .iv
Introduction .v
1 Domaine d’application . 1
2 Termes et définitions . 1
3 Symboles et abréviations . 2
4 Principes généraux d’expurgation numérique . 2
4.1 Introduction . 2
4.2 Anonymisation . 2
5 Exigences . 2
5.1 Vue d’ensemble . 2
5.2 Principes d’expurgation . 3
6 Processus d’expurgation . 4
6.1 Introduction . 4
6.2 Documents intermédiaires au format papier . 4
6.3 Documents intermédiaires au format d’images numériques . 4
6.4 Expurgation numérique simple . 4
6.4.1 Généralités . 4
6.4.2 Encodage des caractères . 5
6.5 Expurgation numérique complexe. 5
6.5.1 Généralités . 5
6.5.2 Documents dans un format complexe . 5
6.5.3 Informations autres que du texte . 5
6.6 Informations contextuelles . 6
6.6.1 Introduction . 6
6.6.2 Expurgation élémentaire . 6
6.6.3 Expurgation étendue . 6
7 Archivage du travail d’expurgation . 6
8 Caractéristiques des outils d’expurgation numériques . 6
9 Exigences pour les essais d’expurgation . 7
Annexe A (informative) Expurgation de documents PDF . 9
© ISO/IEC 2014 – Tous droits réservés iii

---------------------- Page: 3 ----------------------
ISO/IEC 27038:2014(F)

Avant-propos
L’ISO (Organisation internationale de normalisation) et l’IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes
nationaux membres de l’ISO ou de l’IEC participent au développement de Normes internationales
par l’intermédiaire des comités techniques créés par l’organisation concernée afin de s’occuper des
domaines particuliers de l’activité technique. Les comités techniques de l’ISO et de l’IEC collaborent
dans des domaines d’intérêt commun. D’autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l’ISO et l’IEC, participent également aux travaux. Dans le domaine
des technologies de l’information, l’ISO et l’IEC ont créé un comité technique mixte, l’ISO/IEC JTC 1.
Les Normes internationales sont rédigées conformément aux règles données dans les Directives
ISO/IEC, Partie 2.
La tâche principale des comités techniques est d’élaborer les Normes internationales. Les projets de
Normes internationales adoptés par les comités techniques sont soumis aux comités membres pour
vote. Leur publication comme Normes internationales requiert l’approbation de 75 % au moins des
comités membres votants.
L’attention est appelée sur le fait que certains des éléments du présent document peuvent faire l’objet de
droits de propriété intellectuelle ou de droits analogues. L’ISO ne saurait être tenue pour responsable
de ne pas avoir identifié de tels droits de propriété et averti de leur existence.
L’ISO/IEC 27038 a été élaborée par le comité technique ISO/TC JTC 1, Technologies de l’information, sous-
comité SC 27, Techniques de sécurité des technologies de l’information.
iv © ISO/IEC 2014 – Tous droits réservés

---------------------- Page: 4 ----------------------
ISO/IEC 27038:2014(F)

Introduction
Certains documents peuvent contenir des informations dont il ne faut pas qu’elles soient divulguées
auprès de certaines communautés. Des documents modifiés peuvent être diffusés auprès de ces
communautés, après un traitement approprié du document d’origine. Ce processus peut inclure la
suppression de sections, de paragraphes ou de phrases avec, le cas échéant, la mention qu’ils ont été
supprimés. Ce processus est appelé l’«expurgation» du document.
L’expurgation numérique des documents est un domaine relativement récent des pratiques de
gestion documentaire, qui soulève des problèmes spécifiques et pose des risques potentiels. Lors
de l’expurgation de documents numériques, il faut que les informations supprimées ne soient pas
récupérables. Dès lors, il est nécessaire de prendre des précautions pour que les informations expurgées
soient supprimées définitivement du document numérique (par exemple il ne faut pas qu’elles soient
simplement masquées dans des parties non affichables du document).
La présente Norme internationale spécifie les méthodes d’expurgation numérique de documents
numériques.
L’expurgation peut également impliquer la suppression de métadonnées du document ou la suppression
de certaines informations (par exemple une image) importées dans le document.
Il peut être possible d’identifier des informations expurgées dans un document numérique expurgé
d’après le contexte. Par exemple, la longueur du texte de remplacement de l’expurgation peut indiquer
la longueur des informations expurgées, et donc des informations elles-mêmes. La présente Norme
internationale introduit deux niveaux d’expurgation:
— l’expurgation ÉLÉMENTAIRE où le contexte n’est pas pris en considération;
— l’expurgation ÉTENDUE où le contexte est pris en considération.
Les expurgations techniques peuvent être utilisées pour l’anonymisation des informations d’un
document, par exemple, par la suppression de certains noms dans les phrases. Elles peuvent également
impliquer la suppression de nombres dans les phrases et leur remplacement par «XXX».
© ISO/IEC 2014 – Tous droits réservés v

---------------------- Page: 5 ----------------------
NORME INTERNATIONALE ISO/IEC 27038:2014(F)
Technologies de l’information — Techniques de sécurité —
Spécifications concernant l’expurgation numérique
1 Domaine d’application
La présente Norme internationale spécifie les caractéristiques des techniques d’expurgation
numérique de documents numériques. La présente Norme internationale spécifie également les
exigences concernant les outils d’expurgation logiciels et les méthodes d’essai permettant d’assurer que
l’expurgation numérique a été réalisée de façon sûre.
La présente Norme internationale n’inclut pas l’expurgation d’informations de bases de données.
2 Termes et définitions
Pour les besoins du présent document, les termes et définitions suivants s’appliquent.
2.1
anonymisation
processus par lequel des informations personnellement identifiables (IPI) sont irréversiblement
altérées de telle façon que le sujet des IPI ne puisse plus être identifié directement ou indirectement, que
ce soit par le responsable du traitement des IPI ou en collaboration avec une quelconque autre partie
[SOURCE: ISO/IEC 29100:2011, définition 2.2]
2.2
document
informations consignées susceptibles d’être traitées sous forme d’unité
Note 1 à l’article: Les documents peuvent contenir un texte, des images, des contenus vidéo et audio, des
métadonnées et d’autres contenus associés.
2.3
informations personnellement identifiables
IPI
toute information qui (a) peut être utilisée pour identifier le sujet des IPI auquel lesdites informations
font référence, ou (b) est ou peut être directement ou indirectement associée à un sujet des IPI
Note 1 à l’article: Pour déterminer si le sujet des IPI est identifiable, il convient de tenir compte de tous les moyens
qui peuvent être raisonnablement utilisés par le responsable de la protection de la vie privée, ou par toute autre
partie, pour identifier cette personne physique.
[SOURCE: ISO/IEC 29100:2011, définition 2.9]
2.4
expurgation
suppression permanente/définitive d’informations d’un document
2.5
réviseur
personne(s) qui évalue(nt) un document concernant des exigences d’expurgation
Note 1 à l’article: Une série de personnes peuvent évaluer un document donné.
© ISO 2014 – Tous droits réservés 1

---------------------- Page: 6 ----------------------
ISO/IEC 27038:2014(F)

3 Symboles et abréviations
Pour les besoins du présent document, les abréviations suivantes s’appliquent.
IPI Informations personnellement identifiables
PDF Portable Document Format
ROC Reconnaissance optique des caractères
XML eXtensible Markup Language
4 Principes généraux d’expurgation numérique
4.1 Introduction
L’expurgation est réalisée afin de supprimer de façon définitive des informations spécifiques d’une
copie d’un document. Il convient par exemple de l’utiliser lorsqu’un ou deux mots spécifiques, une
phrase ou un paragraphe, une image, un nom, une adresse et/ou une signature doivent être supprimés
d’un document avant de le divulguer à des personnes qui ne sont pas autorisées à voir les informations
supprimées.
Le processus d’expurgation numérique ne consiste pas simplement à supprimer des informations, mais
également à indiquer, le cas échéant, que certaines informations ont été supprimées, de sorte que le
lecteur sache que le document a été expurgé. Par exemple, il peut être important de savoir que certains
mots ou certains paragraphes ont été supprimés afin de conserver la sémantique des informations non
expurgées.
4.2 Anonymisation
L’un des objectifs de l’expurgation consiste, par exemple, à supprimer des informations personnellement
identifiables (IPI) d’un document (anonymisation). Lorsqu’un tel objectif est applicable, les processus
d’expurgation doivent être conçus de sorte à ce que l’identité de la personne à propos de laquelle des
informations sont expurgées soit protégée.
Il se peut, par exemple, que même si un nom a été expurgé d’un document, l’identité de la personne
soit évidente d’après les informations restantes. Lorsque l’anonymisation est requise, toutes les
informations susceptibles d’être utilisées pour identifier la personne doivent être expurgées. Cela doit
inclure toutes les informations qui pourraient être utilisées conjointement à d’autres informations (qui
peuvent être obtenues à partir d’autres sources) pour identifier la personne.
5 Exigences
5.1 Vue d’ensemble
Il convient que les organismes soient en mesure d’identifier les documents qui doivent être expurgés
avant leur diffusion à d’autres parties de l’organisme ou à d’autres parties prenantes (comme le public).
Il convient que l’expurgation soit réalisée ou supervisée par des réviseurs possédant de solides
connaissances sur les documents et en mesure de déterminer les informations à expurger. Si les réviseurs
identifiant lesdites informations ne réalisent pas l’expurgation eux-mêmes, leurs instructions doivent
être spécifiques, par exemple «Note du ., numéro d’alinéa., ligne de début. et ligne de fin.» etc.
L’expurgation doit être réalisée sur des copies du document numérique. Le processus d’expurgation doit
résulter en la création d’un nouveau document numérique où la suppression complète et irréversible
des informations expurgées est achevée. Ce nouveau document numérique doit être géré et supprimé
de la même manière que le document d’origine.
2 © ISO/IEC 2014 – Tous droits réservés

---------------------- Page: 7 ----------------------
ISO/IEC 27038:2014(F)

Lors de l’identification des informations qui doivent être expurgées avant la diffusion, il convient de
ne pas identifier de phrases ou de paragraphes entiers si seulement un ou deux mots de cette phrase
ou de ce paragraphe doivent être expurgés, à moins que la diffusion ne permette l’identification des
informations expurgées par le contexte.
Si nécessaire, les informations justifiant l’expurgation d’un document numérique doivent être associées
au document numérique. Pour identifier le fait qu’un processus d’expurgation a été entrepris, les
informations expurgées doivent être remplacées par une phrase indiquant que certaines informations
ont été expurgées.
Lorsque l’expurgation est réalisée sur un document numérique, toute métadonnée contenue dans
le document numérique doit être revue pour vérifier les exigences d’expurgation et les expurgations
adéquates entreprises.
Lorsqu’une expurgation est réalisée sur un document numérique contenant des images, des
informations vidéo et/ou vocales, des techniques supprimant les informations nécessaires doivent être
utilisées.
5.2 Principes d’expurgation
L’expurgation des documents numériques doit s’effectuer conformément aux principes suivants:
— conservation du document numérique d’origine;
La version maître originale d’un document numérique ne doit pas être expurgée, l’expurgation
doit être réalisée sur une copie du document numérique. Les documents numériques originaux
(par exemple les documents non expurgés) doivent être conservés et accessibles uniquement aux
personnes autorisées.
— suppression complète des informations expurgées;
L’expurgation doit irréversiblement supprimer les informations requises de la version expurgée du
document. Ces informations doivent être complètement supprimées du document numérique et pas
uniquement du contenu affichable.
— expurgation évaluée quant à la sécurité;
L’expurgation doit toujours être réalisée à l’aide de méthodes approuvées par l’organisme.
— environnement contrôlé;
L’expurgation électronique doit être réalisée dans un environnement fournissant un accès
uniquement aux personnes formées et autorisées à réaliser l’expurgation.
— étapes intermédiaires.
Il convient de supprimer tous les documents expurgés des étapes intermédiaires du processus
d’expurgation. Il convient de conserver uniquement le document numérique d’origine et la version
expurgée de façon adéquate. Si un document numérique donné doit être expurgé de différentes
façons (par exemple pour différents publics), alors il peut être approprié de conserver les étapes
intermédiaires jusqu’à ce que les processus d’expurgation soient terminé.
Si de nombreux documents numériques existent nécess
...