Чехия: Семинар ассоциации CNZ по стандарту ISO 16363 «Аудит и сертификация доверенных электронных хранилищ»

Данная заметка Марека Меличара (Marek Melichar – на фото) была опубликована 21 мая 2016 года на блоге Digital Preservation CZ («Электронная сохранность в Чехии», http://digital-preservation-cz.blogspot.com ).

Мой комментарий: Ассоциация «Что от нас осталось» (Co po nás zbude, CNZ) возникла в 2008 году на основе созданной в 2003 году и работавшей над созданием стандартов в сфере электронной архивации группы экспертов из Национальных Архивов Чехии, Министерств внутренних дел и информатики, и компании ATS Relsie.

В заметке речь идёт о международном стандарте ISO 16363:2012 «Системы передачи данных и информации о космическом пространстве – Аудит и сертификация доверенных электронных хранилищ» (Space data and information transfer systems - Audit and certification of trustworthy digital repositories) объёмом 70 страниц, см. http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=56510 и https://www.iso.org/obp/ui/#iso:std:iso:16363:ed-1:v1:en  .

Стандарт ISO 16363:2012 описывает рекомендуемую практику оценки возможности доверять электронным хранилищам, и применим в отношении широкого круга электронных хранилищ. Стандарт может использоваться как основа для проведения сертификации.

Данный документ был разработан на основе «рекомендуемой практики» с тем же названием, подготовленной в 2009-2011 годах Консультативным комитетом по системам хранения данных космических исследований (Consultative Committee for Space Data Systems, CCSDS), которая доступна по адресу http://public.ccsds.org/publications/archive/652x0m1.pdf

Прежде всего, мы должны поблагодарить ассоциацию CNZ за организацию этого мероприятия (информацию о нём см. также здесь: http://www.cnz.cz/2016/04/15/pozvanka-na-workshop-audit-a-certifikace-duveryhodnych-digitalnich-ulozist/ ).

Предшественник стандарта ISO 16363 - TRAC - был опубликован в 2007 году.

Мой комментарий: Руководство «Аудит и сертификация доверенных хранилищ: Критерии и контрольный список» (Trustworthy Repositories Audit and Certification: Criteria and Checklist, TRAC) было разработано американским Центром научно-исследовательских библиотек (Center for Research Libraries, CRL) в 2007 году, см. http://www.crl.edu/sites/default/files/attachments/pages/trac_0.pdf , с участием и при финансовой поддержке Национальных Архивов США (NARA).

Проект международного стандарта ISO 16363 стал доступен примерно в 2010 году, - тогда же, когда появился известный «Меморандум о взаимопонимании по созданию Европейской концепции аудита и сертификации электронных хранилищ (Memorandum of Understanding to create a European Framework for Audit and Certification of Digital Repositories, http://www.trusteddigitalrepository.eu/Memorandum%20of%20Understanding.html ). В 2012 году стандарт был переведен на чешский язык Национальной Библиотекой и опубликован как национальный стандарт ČSN ISO 16363,

Мой комментарий: В России стандарт, насколько мне известно, не переводился и не адаптировался.

Для меня наиболее интересным был доклад г-на Петра Хуйнака (Petr Hujňák, компания Per Partes Consulitng), который  дал оценку ISO 16363 с точки зрения опытного аудитора. У него был ряд замечаний о том, чего стандарту явно недостаёт (вопрос аппетита к риску и т.д.).

Для справки: В российских стандартах даны следующие определения:

• Аппетит риска, предпочтительный риск (risk appetite): Общая величина риска, который организация готова принять, перенести или действию которого готова подвергнуться в любой момент времени, и тип риска, предпочтительный для организации. [ГОСТ Р ИСО 22301-2014, п.3.49]


• Предпочтительный риск (risk appetite): Тип риска и его уровень, к которому организация стремится или готова поддерживать. [ГОСТ Р 51897-2011/Руководство ИСО 73:2009, п.3.7.1.2]

Он также доходчиво объяснил основные понятия аудита информационных систем, различия между верификацией и валидацией, роль аудита для достижения целей организации, концепции риск-уязвимость-угроза-актив из области анализа рисков. В ряде мест положения ISO 16363 не являются исчерпывающими, вероятно, потому, что он опирается на стандарт ISO 27001 (в России адаптирован как ГОСТ Р ИСО/МЭК 27001-2006 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования» - Н.Х.).

В своём докладе г-н Мирослав Ширл (Miroslav Širl, представитель CNZ), который также выполнял функции модератора семинара, дал краткий обзор содержания ISO 16363. Г-н Ширл, судя по всему, это ещё один представитель Чехии, который прошёл недельный курс обучения у Дэвида Джаретты (David Giaretta, https://www.linkedin.com/in/davidgiaretta - один из ведущих разработчиков стандартов в области электронной архивации – Н.Х.) и др., организуемый группой PTAB (от Primary Trustworthy Digital Repository Authorisation Body – «Главный орган по авторизации доверенных электронных хранилищ», http://www.iso16363.org/ptabmembers/ ). Ширл рассказал обо всех частях стандарта, но, к сожалению, у него было времени для того, чтобы вдаваться в подробности

Об опыте практического применения ISO 16363 должны были рассказать представители Национальной библиотеки, но их выступления носили весьма общий характер. Недалеко к востоку от нас, вероятно, гораздо больший опыт использования ISO 16363 накоплен в ходе словацкого проекта CDA.

Мой комментарий: Речь идёт о созданном библиотекой университета Братиславы совместно с компанией Tempest общенациональном Центральном архиве данных (Centrálny dátový archív, CDA, http://cda.kultury.sk/ )

CDA два года тому назад прошел первый раунд сертификации на соответствие стандарту ISO 27001 и внутренний аудит на соответствие ISO 16363, и в настоящее время готовится к следующему раунду. В Интернете по адресу http://cda.kultury.sk/en/CDA_dokumenty доступны документы, рассказывающие об опыте проекта по применению стандарта ISO 16363, который, вероятно, будет более интересным, чем общие слова представителей Национальной библиотеки Чехии (НБ).

Из доклада людей из НБ не было ясно, на каком этапе находится внедрение стандарта (подготовка документации, самостоятельный аудит и т.д.), что именно было / будет подлежать аудиту (какие технологии, коллекции, данные, подразделения организации и т.д.). Из информации на веб-сайте компании AIP Safe ( http://www.aipsafe.cz/en/about-us/news/ndl-certificate-ltp-audit ) можно сделать вывод о том, что, вероятно, будет проводится исключительно аудит технологий, поставленных в рамках проекта Национальной электронной библиотеки (NDK), и накопленных в ходе этого проекта данных. Какой-либо документации по применению ISO 16363 в НБ в публичном доступе нет, так что остается только гадать.

В докладе прозвучали несколько странные слова о том, что самой большой проблемой для НБ (помимо финансовых, организационных и кадровых вопросов) являются форматы - в контексте гомогенного архива данных, созданного в рамках проекта NDK, где НБ хранит пока только файлы в форматах JP2 (JPEG2000), TXT и XML (последние два, как  я понимаю, для метаданных, см. http://www.ndk.cz/standardy-digitalizace  – Н.Х.), что непонятно. Вот если бы о рисках рассказывал кто-то, кто на самом деле работает с данными в НБ и видит риски, прежде всего, связанные с управлением данными.... В кулуарах было сказано о том, что НБ готовит документацию для проведения в этом году самостоятельного аудита в соответствии с DSA, - о чём, по моему мнению, также следовало бы сообщить публично.

Как обычно, интересной была заключительная дискуссия. В её ходе было отмечено следующее:

• В целом ряде систем, используемых государственными органами и учреждениями, хранятся данные, подлежащие относительно длительному хранению. Это не только учреждения, занимающиеся сохранением национальной памяти, и их данные, но и данные в сферах здравоохранения и правосудия, или, например, данные Чешского управления социального обеспечения. Во многих случаях это данные, которые необходимы для функционирования государства и охраны здоровья людей; данные критически важных объектов инфраструктуры; данные, которые позволяют подтвердить права граждан; данные, связанные с безопасностью и т.д.


• Возможно, имело бы смысл ввести в отношении некоторых данных законодательные требования, обязывающие хранить их в системах, ертифицированных на соответствие стандартам ISO, таким как ISO 16363. Требования могли бы быть сформулированы аналогично положениям закона о кибербезопасности. Было также сказано, что, возможно, задача обеспечения долговременной сохранности данных является более приоритетной по сравнению с задачей обеспечения безопасности ... Зачем нам защищённые системы, если мы не знаем, как обеспечить в них долговременную сохранность данных?


• Важно понимать разницу между надежностью системы и содержащихся в ней данных;


• Обсуждалось новое европейское законодательство по вопросам электронной идентификации и услугам в области доверия (eIDAS) и его возможные последствия.

С моей точки зрения, несомненно желательно введение обязательной сертификации на соответствие ISO 16363 для некоторых критически-важных систем инфраструктуры государственного управления. Я не могу себе представить более широкого применения таких требований в отношении систем управления документами и делами. Но как ни решать вопрос о долговременном хранении, у фирм и аудиторов, безусловно, будет больше работы...

На сегодня существует довольно много учреждений, которые прошли аудит или сертификацию на соответствие ISO 16363 или TRAC. На недавней конференции Pasig 2016 в Праге мы узнали об опыте Стэнфордского университета, который прошёл внешний аудит на соответствие ISO 16363, проведенный фирмой CLR (отметим, однако, что сертификация была получена на соответствие TRAC, хотя использовались критерии и процедура аудита по ISO 16363). Я определенно не согласен с г-ном Ширлом в том, что этот стандарт используется больше в Европе, чем в США – как раз наоборот:

• Центр научных данных Колумбийского университета (см., например, интересный плакат http://www.ciesin.org/binaries/web/global/news/2013/downschenrda20130916posterindevalscidatactrfinal.pdf  );


• «Межуниверситетский консоциум для социально-политтических исследований» (Interuniversity Consortium for Political and Social Research, ICPSR) при Университете Мичигана;


• Университет Пердью (Purdue University);


• Консорциум DataNet -  Университет Северной Каролины в Чепел-Хилл (University of North Carolina at Chapel Hill);


• Университет Дикина (Deakin University), Джелонг, Австралия;


• Служба электронного хранилища библиотеки Гарвардского университета.

В Европе же известны:

• Сеть из 26 хранилищ в Португалии (см. https://www.doria.fi/bitstream/handle/10024/97611/OR2014_proposal_RCAAP_ISO16363_Audit_PAPER_FINAL.pdf?sequence=1 ); 


• Национальная библиотека Дании.

Марек Меличар (Marek Melichar)

Мой комментарий: Презентации докладов (на чешском языке) доступны по адресам:  http://www.digitalpreservation.cz/2016/05/slidy-ze-seminare-cnz-k-iso-16363.html и http://www.cnz.cz/2016/04/15/pozvanka-na-workshop-audit-a-certifikace-duveryhodnych-digitalnich-ulozist/

Что ещё почитать: «Австралийский опыт проведения самооценки электронного хранилища учреждения на соответствие требованиям к доверенным хранилищам стандарта ISO 16363-2012», http://rusrim.blogspot.ru/2015/04/iso-16363-2012.html

Источник: блог «Digital Preservation CZ»
http://www.digitalpreservation.cz/2016/05/seminar-cnz-k-iso-16363.html