понедельник, 29 апреля 2024 г.

Практика управления документами и экономика альтернатив, часть 1

Данный пост австралийского специалиста в области управления документами и информацией Карла Мелроуза (Karl Melrose – на фото) был опубликован 24 марта 2024 года на его блоге Meta-IRM (Мета-управление информацией и документами).

Одна вещь, которая абсолютно справедлива в отношении всех людей во всем мире, заключается в том, что людям нравится делать свои дела простым и дешевым способом. В долгосрочной перспективе результаты конкуренции между способами достижения результата всегда определяются соотношением экономических показателей этих способов. И именно поэтому мы сейчас наблюдаем, как постепенно теряются сила и престиж профессии управления документами.

25 лет назад, когда мы ещё жили в бумажном мире, деловая отдача от наличия в штате организации специалистов по управлению документами было настолько иной способ работы с большими объёмами документов был сложнее и дороже.

Мой комментарий: Я тоже хорошо помню, что было 25 и 50 лет назад, и с уверенностью могу сказать, что полезность служб управления документами и даваемую ими деловую отдачу всегда приходилось обосновывать, чтобы добиться от высшего руководства необходимых полномочий, финансирования, кадров и ресурсов. И в продвинутых в плане управления документами странах (например, в США) будущих специалистов учили, как это делать.

Посмотрите на экономику некоторых наших самых основных инструментов – упорядочения по видам деловых операций, каталогизации и описания.

Если у Вас имеется пятьсот коробов (примерно 200 погонных метров документов, или 8000 стандартных дел – Н.Х.) несистематизированных и не упорядоченных документов, то единственный способ найти то, что Вам нужно либо убедиться, что у Вас этого нет - это полистно просмотреть содержимое всех пятисот коробов. Цифры здесь (и стоящие за ними трудозатраты – Н.Х.) не радуют.

Среднестатистический человек читает около 240 слов в минуту — примерно одну страницу. Давайте предположим. Что короб содержит 3000 страниц (т.е. 30 погонных сантиметров документов - это короб, который достаточно полон, но не набит до отказа – Н.Х.). Исходя из этих предположений, полистный просмотр 500 коробов занимает около 17 лет (3000 минут на короб, 500 коробов, 420 рабочих минут в день, 210 рабочих дней в году).

Это действительно плохие экономические показатели, и на основе подобной экономики невозможно выстроить какую-либо деловую деятельность – если только, конечно, деловая деятельность, который Вы развивали, не опирается на использование набора инструментов и практик, которые могли бы сделать экономику этого вопроса достаточно хорошей, чтобы Вы могли управлять полагающейся на них деловой деятельностью.

Здесь на сцену выходят наши инструменты – упорядочение по видам деловых операций (transactional aggregation), каталогизация и описание.

Разместите Ваши документальные материалы в дела в зависимости от деловых операций, к которым они относятся, каталогизируйте и хорошо опишите их, и экономика этого вопроса резко изменится. Срок в 17 лет резко уменьшится – возможно, сведётся к одному дню, если в конечном итоге Вам придётся прочитать каждое слово в деле объёмом 500 страниц. То, что раньше потребовало бы 17 лет (6205 дней), теперь требует 1 дня.

Это означает, что теперь за тот же промежуток времени мы можем при тех же расходах выполнить 6205 таких операций вместо одной-единственной. Это феноменальный результат. Давайте проведём сравнение, которое покажет, насколько это действительно большое достижение.

Насколько Google ускоряет выполнение людьми их работы? Предположим, что у меня в часе езды от места, где я живу, есть библиотека (на самом деле она находится менее чем в 5 минутах ходьбы от моего дома, но давайте будем щедры к бедному Google), - и в ней есть нужная мне информация. Google, вероятно, сократит мои затраты времени на поиск нужной информации с примерно 70 минут до 10 - 30 секунд.

Если принять, что время поиска составляет 10 секунд, то Google помогает нам найти нужные факты примерно за 1/4200 времени, необходимого для посещения библиотеки. Ну а управление документами помогает сотрудникам находить документы по деловой транзакции примерно в 6200 раз быстрее (при условии указанных выше скорости чтения и объёмов документации).

Это не идеальное сравнение, но оно, безусловно, помогает проиллюстрировать, насколько большое значение имеет управление документами в бумажном мире – разница получается больше, чем при использовании Google.

Очевидная загвоздка заключается в том, что мы больше не живём в бумажном мире. И, как было сказано в самом начале, в долгосрочной перспективе выигрывают те практики, которые обеспечивают лучшие экономические показатели, потому что в долгосрочной перспективе люди всегда будут по умолчанию выбирать простой и дешёвый способ достижения нужного им результата.

Это важно, поскольку экономика электронных документов и файловых серверов совсем иная, и мы [специалисты по управлению документами – Н.Х.] допустили ряд серьёзных ошибок, когда пытались адаптировать наши практики к условиям электронного мира, к изменениям, которые катастрофически повлияли на экономические показатели работы с документами.

Начнём с файловых серверов.

Для начала отметим, что сотрудники прекрасно осознают практические аспекты хранения информации на файловых серверах - поэтому обычно нет необходимости просить их систематизировать, каталогизировать и описывать хранимые материалы, они делают это сами (как правило, не идеальным образом, но достаточно хорошо для того, чтобы в краткосрочной перспективе это позволяло им выполнить свою работу).

Ещё есть средства поиска - как минимум, поддерживается поиск по заголовку; часто также имеется поиск по содержанию (который, как мне известно, не всегда помогает).

Давайте сразу внесём ясность: поведение непрофессионалов в вопросах управления информацией не является систематическим и согласованным во времени. Это означает, что файловые серверы всегда оптимизированы под работы, выполняемые в данный момент (то, что мы могли бы назвать «активной» стадией жизненного цикла). Это означает, что после выполнения рутинных оперативных задач информацию о соответствующих транзакциях на файловых серверах часто бывает трудно отыскать.

Имея это в виду, давайте на секунду предположим, что с точки зрения удовлетворения потребностей активной стадии жизненного цикла файловые серверы и системы, основанные на практике управления документами, эквивалентны с точки зрения экономики (на самом деле это не так, как мы увидим впоследствии).

Если названные подходы экономически эквивалентны на этой стадии, нам [специалистам по управлению документами – Н.Х.] следует сосредоточить внимание на количественной оценке долгосрочных экономических последствий, чтобы наши организации видели, что у «наших» решений более благоприятная экономика в долгосрочной перспективе - что означало бы (следуя нашему первоначальному утверждению), что мы выиграем.

Итак, давайте оценим экономические факторы.

Первое, что нам нужно принять во внимание, это объёмы использования информации после завершения активной стадии жизненного цикла. Вообще говоря, около 95% документов никак не используются по истечении первого года с момента их создания.

Если взять этот факт в качестве отправной точки, то это означает, что если мы требуем приложения определённых усилий в отношении каждого документа, то 95% всех усилий, затраченных на систематизацию, каталогизацию и описание контента для долгосрочных нужд, будут потрачены впустую.

Это также означает, что полезная отдача от любых затраченных нами усилий должна быть как минимум в 20 раз больше затрат на них (раз только 5% усилий приводят к получению отдачи). Проще говоря, это означает, что каждая минута приложенный усилий и каждый затрачиваемый нами доллар должны экономить нам в дальнейшем 20 минут и, соответственно, 20 долларов.

Мы могли бы доказать это, если бы заранее подумали об этом, и продолжали думать об этом при разработке и проектировании наших программ управления документами.

(Окончание следует)

Карл Мелроуз (Karl Melrose)

Источник: блог Meta-IRM
https://metairm.substack.com/p/records-management-practice-and-the

ИСО: Работа над криминалистическими стандартами серии ISO 21043

В начале апреля 2024 года технический комитет ISO/TC 272 «Криминалистические науки» (Forensic sciences) в очередном отчёте о его деятельности, разосланном партнерским техническим комитетам и организациям, сообщил о том, что в настоящее время он работает над следующими документами серии ISO 21043 (о них я уже раньше писала здесь: http://rusrim.blogspot.com/2018/11/iso-21043.html ):

  • ISO/DIS 21043-1 «Криминалистические науки – Часть 1: Термины и определения» (Forensic sciences - Part 1: Terms and definitions), см. https://www.iso.org/standard/69732.html . Данный стандарт заменит действующий ISO 21043-1:2018. В данном документе определены термины, используемые в стандартах серии ISO 21043.

  • ISO/CD 21043-2 «Криминалистические науки – Часть 2: Распознавание, документирование, сбор, транспортировка и хранение объектов» (Forensic sciences - Part 2: Recognition, recording, collecting, transport and storage of items), см. https://www.iso.org/standard/88665.html . Данный стандарт заменит действующий ISO 21043-2:2018.

    В этом документе указаны требования к процессу судебно-криминалистической экспертизы в части распознавания, документирования, сбора, транспортировки и хранения объектов, представляющих потенциальной интерес. Стандарт включает требования к оценке и изучению места преступления, но также применим к мероприятиям, которые проводятся в криминалистической лаборатории. Данный документ также включает требования к качеству.
  • ISO/DIS 21043-3 «Криминалистические науки – Часть 3: Анализ» (Forensic Sciences - Part 3: Analysis), см. https://www.iso.org/standard/72040.html .Целью настоящего стандарта является установление стандартной практики анализа материалов для судебно-криминалистических целей.

  • ISO/DIS 21043-4 «Криминалистические науки – Часть 4: Интерпретация» (Forensic Sciences - Part 4: Interpretation), см. https://www.iso.org/standard/72039.html . Целью настоящего стандарта является установление стандартной практики интерпретации результатов судебно-криминалистической экспертизы.

  • ISO/DIS 21043-5 «Криминалистические науки – Часть 5: Подготовка отчётов» (Forensic Sciences - Part 5: Reporting), см. https://www.iso.org/standard/73896.html . Целью настоящего стандарта является установление стандартной практики представления результатов судебно-криминалистической экспертизы.

Источник: сайт ИСО

воскресенье, 28 апреля 2024 г.

ИСО: Опубликован стандарт ISO 41017:2024 «Менеджмент зданий и сооружений – Руководство по готовности к чрезвычайным ситуациям и борьбе с эпидемиями»

В марте 2024 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации стандарта ISO 41017:2024 «Менеджмент зданий и сооружений – Руководство по готовности к чрезвычайным ситуациям и борьбе с эпидемиями» (Facility management - Guidance on emergency preparedness and management of an epidemic) объёмом 30 страниц, см. https://www.iso.org/standard/68173.html и https://www.iso.org/obp/ui/en/#!iso:std:68173:en .

Стандарт подготовлен Техническим комитетом ИСО TC 267 «Менеджмент зданий и сооружений» (Facility management).

Во вводной части документа отмечается следующее:

«В настоящем документе содержатся общие рекомендации для организаций о том, как планировать, смягчать и/или управлять рисками и последствиями эпидемического события для защиты здоровья, безопасности и благополучия людей - в той мере, в какой это зависит от зданий и сооружений.

Данный документ применим во всех организациях - полностью или частично действующих, возобновляющих свою деятельность или вновь приступивших к работе.»

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Контекст организации спроса
5. Лидерство
6. Планирование
7. Поддержка
8. Оперативное планирование и управление
9. Оценка
10. Совершенствование
Приложение A: Пример действий по борьбе с эпидемией в офисном здании
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/68173.html
https://www.iso.org/obp/ui/en/#!iso:std:68173:en

ИСО: Опубликована новая редакция стандарта ISO 41011:2024 «Менеджмент зданий и сооружений – Словарь»

В феврале 2024 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO 41011:2024 «Менеджмент зданий и сооружений – Словарь» (Facility management – Vocabulary) объёмом 26 страниц, см. https://www.iso.org/standard/82405.html и https://www.iso.org/obp/ui/en/#!iso:std:82405:en .

Стандарт подготовлен Техническим комитетом ИСО TC 267 «Менеджмент зданий и сооружений» (Facility management). Он заменил ранее действовавший документ ISO 41011:2017.

Как отмечается во вводной части документа, «Данный стандарт определяет термины, используемые в области менеджмента зданий и сооружений».

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
3.1. Термины, относящиеся к менеджменту зданий и сооружений
3.2. Термины, относящиеся к активам
3.3. Термины, относящиеся к людям
3.4. Термины, относящиеся к выбору поставщиков
3.5. Термины, относящиеся к процессам
3.6. Термины, относящиеся к финансам
3.7. Термины, относящиеся к общим вопросам деловой деятельности
3.8. Термины, относящиеся к измерениям
3.9. Термины, относящиеся к технологиям
3.10. Термины, относящиеся к жизнеспособности
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/82405.html
https://www.iso.org/obp/ui/en/#!iso:std:82405:en

суббота, 27 апреля 2024 г.

Будущее управления данными — это нечто больше, чем один только искусственный интеллект

Данная заметка Дика Вейсингера (Dick Weisinger – на фото) была опубликована 18 марта 2024 года на блоге компании Formtek.


Искусственный интеллект (ИИ), несомненно, является одной из самых заметных и влиятельных тенденций в области данных последнего десятилетия. ИИ открыл новые возможности и приложения для данных и аналитики - от беспилотных автомобилей до умных помощников. Однако искусственный интеллект - не единственная тенденция, которая будет иметь значение для лидеров в области обработки данных в 2024 году и в последующий период. Будущее данной области будут определять и другие тенденции ( https://www.dataleadershipcollaborative.com/data-impact/data-trends-2024-5-watch ), такие как:

  • Демократизация данных: Тенденция к тому, чтобы делать данные доступными и понятными для всех и каждого, независимо от их технических навыков или опыта. Демократизация данных может дать пользователям возможность принимать более обоснованные решения, создавать новые идеи и быстрее осуществлять инновации. Однако демократизация данных также требует баланса между качеством данных, безопасностью и стратегическим управлением.

  • Унификация данных: Тенденция интеграции данных разных форматов из различных источников и систем в единую платформу или сервис. Унификация данных может повысить качество, согласованность и удобство использования данных. Однако она также создаёт проблемы, такие как проблемы совместимости, интероперабельности и масштабируемости.

  • Данные как услуга (Data-as-a-Service, DaaS) и аналитика данных, не требующая сложного кодирования: Тенденция предоставления данных как услуги через облачные платформы или инструменты, которые дают пользователям возможность получать доступ, анализировать и визуализировать данные без написания сложного кода. DaaS-сервисы и не требующая сложного кодирования аналитика могут понизить «порог вхождения» для пользователей данных и позволить им использовать возможности продвинутой аналитики. Однако здесь также возникают такие проблемы, как зависимость от поставщика, оптимизация производительности и этические последствия.

  • Стратегическое управление данными: Тенденция к разработке и введению политик, стандартов и процессов для управления жизненным циклом данных от создания до уничтожения либо передачи на архивное хранение. Стратегическое управление данными может обеспечить качество и безопасность данных, защиту персональных данных и соответствие законодательно-нормативным требованиям к данным в масштабе всей организации, - однако оно также требует высокого уровня координации между различными заинтересованными сторонами.

  • Интернет вещей и данные в реальном времени: Тенденция подключения физических устройств и датчиков к интернету и сбора с них данных в реальном времени. Интернет вещей и собираемые в реальном времени данные могут сделать возможным получение ценных знаний и представлений о различных аспектах соответствующей среды, такой как здравоохранение, промышленное производство или сельское хозяйство. Однако эти тенденции также создают проблемы с потреблением полосы пропускания, задержками и надёжностью.

Таким образом, ИИ является не единственной тенденцией, которая повлияет на сферу управления данными в 2024 году и в последующий период. Существуют и другие тенденции, которые потребуют сотрудничества между различными областями и осуществления инноваций лидерами в области обработки данных. Эти тенденции потенциально могут открыть новые возможности для получения деловой отдачи на основе данных, но они также порождают серьёзные проблемы, которые придётся решать.

Дик Вейсингер (Dick Weisinger)

Источник: блог компании Formtek
https://formtek.com/blog/the-future-of-data-management-is-more-than-just-ai/  

ИСО: Опубликована новая редакция стандарта ISO 13611:2024 «Устный перевод для локальных сообществ - Требования и рекомендации»

В феврале 2024 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO 13611:2024 «Услуги устного перевода - Устный перевод для локальных сообществ - Требования и рекомендации» (Interpreting services - Community interpreting - Requirements and recommendations) объёмом 18 страниц, см. https://www.iso.org/standard/82387.html и https://www.iso.org/obp/ui/en/#iso:std:iso:13611:ed-2:v1:en .

Стандарт подготовлен техническим подкомитетом TC37/SC5 «Письменный и устный перевод и взаимосвязанные технологии» (Translation, interpreting and related technology). Он заменил ранее действовавший стандарт ISO 13611:2014.

Во вводной части документа отмечается следующее:

«В настоящем документе сформулированы требования и рекомендации по предоставлению услуг устного перевода для локальных сообществ. Стандарт определяет основополагающие принципы и практики, необходимые для обеспечения качественных услуг устного перевода для локальных сообществ - для всех языковых сообществ (разговорных и/или жестовых языков), для конечных пользователей, а также для клиентов и для переводчиков.»

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Основные принципы устного перевода для локальных сообществ
5. Роль и обязанности переводчика для локальных сообществ
6. Обязанности поставщиков услуг устного перевода
7. Рекомендации для клиентов и конечных пользователей
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/82387.html
https://www.iso.org/obp/ui/en/#iso:std:iso:13611:ed-2:v1:en

пятница, 26 апреля 2024 г.

Будьте очень осторожны, обещая деловую отдачу от управления документами, часть 2

(Окончание, начало см. https://rusrim.blogspot.com/2024/04/1_0185097515.html )

Магистры делового администрирования (вероятно, половина вашей управленческой команды имеет степень MBA) в рамках своего обучения обычно получают базовое образование в области логики. Они учат думать о таких вещах, как «необходимое и достаточное». Например, являются ли документы и управление ими необходимыми и достаточными для обеспечения подотчётности?

Мой комментарий: Здесь я вижу ещё одну, уже более серьёзную идейную ошибку автора. Любая современная деловая деятельность ведётся с использованием документов как инструментов, и с созданием документов в качестве побочных продуктов и свидетельств этой деятельности. Управление документами – дисциплина, поддерживающая все прочие виды деятельности, она не является самодостаточной и не решает в одиночку каких-либо задач основной деловой деятельности (даже в тех организациях и учреждениях, которые занимаются одной только работой с документами и информацией!). Поэтому приличное управление документами всегда необходимо для эффективного ведения деловой деятельности (но, что важно, оно реализуется не обязательно силами именно службы управления документами) – и практически никогда не является достаточным!

Вам, вероятно, захочется сказать «да», потому что Вы работаете в службе управления документами, и Вам, вероятно, внушили, что именно этим и занимается управление документами. Однако правильный ответ – «нет».

Если Вы хотите обеспечить подотчётность ученика плотника за правильное забивание гвоздя, Вы наблюдаете за тем, как он забивает гвоздь, а затем идёте и требуете от него отчёта. Необходимыми и достаточными условиями являются знание того, как правильно забить гвоздь, и процесс подотчетности (намерение наблюдать за тем, как они это делают - хорошо, у Вас также должен быть ученик, за которым нужно будет наблюдать?). Никакие документы здесь не нужны, ни один.

Мой комментарий: Автор путает ответственность и подотчётность, это совсем не одно и то же. Свою часть ответственности несёт каждый работник, а вот подотчётность обычно является «привилегией» должностных лиц и руководителей. Подотчётность – это в первую очередь обязанность давать объяснения определенному кругу заинтересованных сторон в отношении принятых решений и совершенных действий, в то время как ответственность – это, с одной стороны, обязанность решить определенные задачи и выполнить определённую работу, а с другой – перспектива наказаний за провалы и обязанность возместить ущерб. В приведенном примере ученик плотника сам несёт ответственность за неумело вбитый гвоздь, однако подотчётным лицом является, скорее всего, его наставник.

Если Вы хотите привлечь к отчёту владельца фабрики за соблюдение требований охраны труда и техники безопасности, Вы пойдете и проинспектируете его фабрику. Необходимы ли для этого документы и управление документами? На самом деле, нет.

Мой комментарий: Ещё одна иллюстрация путаницы понятий. Инспектирования достаточно для привлечения к ответственности за факты нарушений, а вот для привлечения к отчёту с целью выяснения причин этих нарушений нужно выслушать показания владельца и/или изучить соответствующую документацию!

Что вам действительно нужно, так это человек, обладающий достаточными полномочиями, чтобы проинспектировать фабрику и сказать людям, что делать. До того, как у нас появились документы или управление документами, мы делали это с помощью армий, а преступные организации исторически делали это с помощью угрозы применения насилия.

Мой комментарий: Это утверждение стало для меня сюрпризом. Сколько-нибудь крупные армии невозможны без документов и управления документами (не случайно во многих странах, в том числе в России, в основу общей практики управления документами легло военное делопроизводство). Точно так же не работает без документов и ни одна серьёзная криминальная организация… И в обоих случаях подотчётность – очень важная тема!

В демократической системе, основанной на верховенстве закона, этот процесс усиливается через законодательные акты – документирующие то, что, по мнению парламента, представлял собой закон. Это также улучшается за счет наличия документов о нормативном регулировании – о том, что, по мнению регулирующего органа, должно быть реализовано. В какой-то момент инспектор может усовершенствовать этот процесс, идентифицировав себя с помощью документов, а также подготовив документ (акт) по итогам проверки.

Мой комментарий: Непонятно, каким боком ко всему этому относится демократия. Нормативные правовые акты, проверки и акты по их итогам существовали с незапамятных времен при всех известных формах правления. Не говоря уже о том, что и в так называемых «демократиях» были и есть и армии, и преступные группировки …

Дело в том, что привлечение к отчётности в обеих этих ситуациях возможно без каких-либо документов. Это непрактично, но достижимо - потому что подотчётность не имеет ничего общего с документами. Это обязательство давать отчёт за взятые на себя обязательства – обязательство, которое принять взять на себя и исполнять люди, заинтересованные в обеспечении того, чтобы то, что было обещанное было исполнено.

Это дело людей.

И где же в любой из этих гипотез место управлению документами? Да нигде. Оно не произвело ни грамма подотчётности.

Мой комментарий: Выскажу свою точку зрения.

  • Возможна ли подотчётность без документов? – В простейших жизненных ситуациях, когда документы обычно не создаются, да. Устные объяснения по мелким вопросам старосты класса на собрании – вполне подходящий пример.

  • Возможна ли подотчётность с использованием одних только документов? – Да, и, более того, в огромном количестве ситуаций многие документы создаются именно с этой целью – объяснить, почему были приняты (или не приняты) конкретные решения и совершены (или не совершены) конкретные действия. Устные же показания должностных лиц, которые исторически были первоосновой подотчётности, сейчас используются достаточно редко – и практически всегда немедленно документируются.

  • Управление документами в контексте подотчётности – как автодорога, которая сама по себе не доставляет грузы по адресам, но создает условия для того, чтобы это можно было сделать эффективно. Специалисты по управлению документами не определяют политик подотчётности и не создают поддерживающих подотчётность документов (за исключением, разве что, своих узкоспециальных вопросов). Они обеспечивают их аутентичность, целостность и пригодность к использованию во времени этих документов (что позволяет их использовать в качестве надлежащих свидетельств и доказательств), а также, при необходимости, эффективные поиск, извлечение и доставку нужным лицам.

Поэтому, когда мы говорим, что управление документами обеспечивает подотчетность, руководители просто думают, что мы промокли под последним ливнем и неважно себя чувствуем, - ведь они весь день требовали от людей отчета, а управление документами при этом задействовано не было.

Однако документы, вероятно, были-таки вовлечены - даже если руководители в полной мере не осознавали этого.

Это потому, что руководители понимают в документах кое-что, чего не осознают многие из нас [специалистов по управлению документами – Н.Х.], и им даже не нужно об этом говорить.

Они знают, что документ - это инструмент, обладающий определенной внутренне присущей и неотъемлемой ценностью, который (как и любой другой инструмент) можно использовать для повышения эффективности и продуктивности - но на этом и всё, это нейтральный в плане своей отдачи инструмент, который даёт нулевую отдачу в отсутствие людей, которые с ним работают.

Мой комментарий: В духе времени хочется спросить – а если с документами работает не человек, а искусственный интеллект, то что тогда? :)

Руководители также знают, что управление документами, как правило, финансируется ими потому, что этот процесс предназначен для обеспечения соответствия политике их архивной службы - это происходит потому, что законодательство и политика были разработаны, имея в виду названные выше результаты, и это то, что отражает типовая практика.

Им известно, что если они хотят обеспечить подотчётность в своей организации, то им нужна (в первую очередь) группа людей, приверженных подотчётности как принципу. Затем им нужен деловой процесс, который обеспечивает подотчётность. Они будут создавать и использовать документы в ходе этого процесса ввиду их внутренне присущей и неотъемлемой ценности. В какой-то момент, если возникнут требования к хранению создаваемых ими документов в течение определённых сроков, управление документами может помочь им реализовать эту крошечную часть гораздо более крупного проекта и программы изменений, которые им придётся реализовать для своей «программы расширенной подотчётности».

Вопрос, который мы должны иметь в виду, когда высказываем какие-либо утверждения о полезности управления документами, выходящие за рамки управления хранением в течение установленных сроков, заключается в том, как нам понять, находимся ли мы на зыбком грунте или на твёрдой почве, когда делаем эти заявления.

С моей точки зрения, это просто: Нам нужно помнить, что управление документами было создано для решения конкретной проблемы, и подумать, говорим ли мы именно об этой конкретной проблеме.

Если это не так, это не значит, что мы не можем этого сделать. Но это означает, что у нас, вероятно, будет значительный разрыв между тем, что мы делаем, и тем, что мы обещаем.

И мы должны признать, что наша аудитория, вероятно, будет испытывать некоторую форму когнитивного диссонанса, вызванного этим разрывом.

Итак, нам нужен план, который формулирует ответ на вопрос «Как?», и нам нужно сделать эту формулировку частью своих обещаний – или же нам не будет веры.

Каково Ваше мнение по этому вопросу? Что ещё, по Вашему мнению, можно с уверенностью сказать о ценности и пользе управления документами?

Карл Мелроуз (Karl Melrose)

Мой комментарий: Я бы сказала, что нет универсальной пользы от управления документами, и нет такой универсальной отдачи, которую способен обеспечить абсолютно любой специалист нашей профессии.

Чем больше общая эрудиция руководителя службы управления документами, чем лучше его понимание деловой деятельности «своей» организации, соответствующих правовых вопросов и проблем, чем глубже понимание информационных технологий и проблем безопасности, чем крепче взаимосвязи с высшим руководством и руководителями ключевых подразделений – тем больше будет возможностей подключиться к решению важных для организации и её руководства задач, в том числе и выходя при необходимости далеко за рамки своей профессии; и тем проще будет получать необходимые ресурсы и финансирование.

Загубить же дело проще всего, придерживаясь «классики» и настаивая на том, что служба управления документами будет заниматься одной только организационно-распорядительной документацией – преимущественно бумажными документами длительного и постоянного срока хранения, в строгом соответствии с безнадёжно устаревшими действующими правилами и инструкциями Росархива.

Источник: блог Meta-IRM
https://metairm.substack.com/p/being-very-careful-making-promises

ИСО и МЭК: Стандарты в области данных и пространств данных, часть 2

(Окончание, начало см. http://rusrim.blogspot.com/2024/04/1_01184796076.html )

6. Коллективное использование данных – Стратегическое управление

6.1. ISO/IEC 38505-1:2017 «Информационная технология - Стратегическое управление ИТ - Стратегическое управление данными - Часть 1: Применение ISO/IEC 38500 для менеджмента данных» (Information technology - Governance of IT - Governance of data - Part 1: Application of ISO/IEC 38500 to the governance of data), см. https://www.iso.org/standard/56639.html (ПК JTC1/SC40)

6.2. ISO/IEC 23751:2022 «Информационная технология - Облачные вычисления и распределенные платформы - Рамочное соглашение об обмене данными (DSA)» (Information technology - Cloud computing and distributed platforms - Data sharing agreement (DSA) framework), см. https://www.iso.org/standard/76834.html (ПК JTC1/SC38)

6.3. ISO/IEC TS 38508:2024 «Информационные технологии - Управление ИТ - Последствия влияния управления при использовании общей платформы цифровых услуг экосистемными организациями» (Information technology - Governance of IT - Governance implications of the use of a shared digital service platform among ecosystem organizations), см. https://www.iso.org/standard/82288.html (ПК JTC1/SC40)

7. Коллективное использование данных – Политики

7.1. ISO/IEC 5181 «Информационные технологии - Безопасность и защита персональных данных - Происхождение данных» (Information technology - Security and privacy - Data provenance), см. https://www.iso.org/standard/80971.html (ПК JTC1/SC27)

7.2. ISO 8000-120:2016 (Data quality - Part 120: Master data: Exchange of characteristic data: Provenance), см. https://www.iso.org/standard/62393.html (ПК TC184/SC4).

8. Коллективное использование данных – Защита персональных данных

8.1. ISO/IEC 20889:2018 «Терминология и классификация методов деидентификации данных для усиленной защиты персональных данных» (Privacy enhancing data de-identification terminology and classification of techniques), см. https://www.iso.org/standard/69373.html (ПК JTC1/SC27)

8.2. ISO/IEC 27559:2022 «Информационная безопасность, кибербезопасность и защита персональных данных – Концепция усиления защиты персональных данных посредством деидентификации данных» (Information security, cybersecurity and privacy protection – Privacy enhancing data de-identification framework), см. https://www.iso.org/standard/71677.html (ПК JTC1/SC27)

9. Коллективное использование данных – Безопасность

9.1. ISO/IEC 27040:2024 «Информационные технологии – Методы обеспечения безопасности - Безопасность хранения данных» (Information technology - Security techniques - Storage security), см. https://www.iso.org/standard/80194.html (ПК JTC1/SC27)

10. Коллективное использование данных – Качество, надёжность и доверие

10.1. Стандарты серии ISO/IEC 250xx «Системная и программная инженерия - Требования и оценка качества систем и программного обеспечения (SQuaRE)»  (Systems and software engineering - Systems and software Quality Requirements and Evaluation (SQuaRE)) (ПК JTC1/SC7)

10.2. ISO/IEC 25012:2008 « Программная инженерия - Требования и оценка качества программного продукта (SQuaRE) - Модель качества данных» (Software engineering - Software Quality Requirements and Evaluation (SQuaRE) - Data quality model), см. https://www.iso.org/standard/35736.html (ПК JTC1/SC7)

10.3. ISO 8000-2:2022 «Качество данных - Часть 2: Словарь» (Data quality - Part 2: Vocabulary), см. https://www.iso.org/standard/85032.html (ПК TC184/SC4)

11. Коллективное использование данных – Инфраструктура пространства данных

11.1. ISO/IEC TR 10032:2003 «Информационные технологии - Эталонная модель управления данными» (Information technology - Reference Model of Data Management), см. https://www.iso.org/standard/38607.html (ПК JTC1/SC32)

11.2. ISO/IEC 20547-3:2020 «Информационная технология - Эталонная архитектура больших данных - Часть 3: Эталонная архитектура» (Information technology - Big data reference architecture - Part 3: Reference architecture), см. https://www.iso.org/standard/71277.html (ПК JTC1/SC42)

11.3. ISO/IEC 20547-4:2020 «Информационные технологии – Эталонная архитектура больших данных – Часть 4: Безопасность и неприкосновенность частной жизни» (Information technology - Big data reference architecture - Part 4: Security and privacy), см. https://www.iso.org/standard/71278.html (ПК JTC1/SC27)

11.4. ISO/IEC TR 23186:2018 «Информационные технологии - Облачные вычисления - Инфраструктура обеспечения доверия при обработке данных из нескольких источников» (Information technology - Cloud computing - Framework of trust for processing of multi-sourced data), см. https://www.iso.org/standard/74844.html (ПК JTC1/SC38)

11.5. ISO/IEC 20151 «Информационные технологии - Облачные вычисления и распределенные платформы – Концепции и характеристики пространства данных» (Information technology - Cloud computing and distributed platforms - Dataspace concepts and characteristics), см. https://www.iso.org/standard/86589.html (ПК JTC1/SC38)

12. Коллективное использование данных – Искусственный интеллект

12.1. ISO/IEC 22989:2022 «Информационные технологии - Искусственный интеллект - Понятия и терминология в области искусственного интеллекта» (Information technology - Artificial intelligence - Artificial intelligence concepts and terminology), см. https://www.iso.org/standard/74296.html (ПК JTC1/SC42)

12.2. ISO/IEC FDIS 5259-1 «Искусственный интеллект - Качество данных для аналитики и машинного обучения – Часть 1: Обзор, терминология и примеры» (Artificial intelligence - Data quality for analytics and machine learning (ML) - Part 1: Overview, terminology, and examples), см. https://www.iso.org/standard/81088.html (ПК JTC1/SC42)

12.3. ISO/IEC FDIS 5259-2 «Искусственный интеллект - Качество данных для аналитики и машинного обучения – Часть 2: Показатели качества данных» (Artificial intelligence - Data quality for analytics and machine learning (ML) - Part 2: Data quality measures), см. https://www.iso.org/standard/81860.html (ПК JTC1/SC42)

12.4. ISO/IEC 8183:2023 «Информационные технологии -  Искусственный интеллект - Концепция жизненного цикла данных» (Information technology - Artificial intelligence - Data life cycle framework), см. https://www.iso.org/standard/83002.html (ПК JTC1/SC42)

12.5. ISO/IEC 23053:2022 «Концепция систем искусственного интеллекта (ИИ) с использованием машинного обучения» (Framework for Artificial Intelligence (AI) Systems Using Machine Learning (ML)), https://www.iso.org/standard/74438.html (ПК JTC1/SC42)

12.6. ISO/IEC 25059:2023 «Системная и программная инженерия - Требования и оценка качества систем и программного обеспечения (SQuaRE) – Модель качества для систем искусственного интеллекта» (Software engineering - Systems and software Quality Requirements and Evaluation (SQuaRE) - Quality model for AI systems), см. https://www.iso.org/standard/80655.html (ПК JTC1/SC42)

12.7. ISO/IEC TR 42103 «Информационные технологии – Искусственный интеллект – Обзор синтетических данных в контексте ИИ-систем» (Information technology - Artificial intelligence - Overview of synthetic data in the context of AI systems), см. https://www.iso.org/standard/86899.html (ПК JTC1/SC42)

12.8. ISO/IEC CD 27090 «Кибербезопасность - Искусственный интеллект - Руководство по устранению угроз безопасности и сбоев в системах искусственного интеллекта» (Cybersecurity - Artificial Intelligence - Guidance for addressing security threats and failures in artificial intelligence systems), см. https://www.iso.org/standard/56581.html (ПК JTC1/SC27)

12.9. ISO/IEC WD 27091.2 «Кибербезопасность и защита персональных данных – Искусственный интеллект – Защита персональных данных» (Cybersecurity and Privacy - Artificial Intelligence - Privacy protection), см. https://www.iso.org/standard/56581.html (ПК JTC1/SC27)

Источник: сайт ИСО

четверг, 25 апреля 2024 г.

Будьте очень осторожны, обещая деловую отдачу от управления документами, часть 1

Данный пост австралийского специалиста в области управления документами и информацией Карла Мелроуза (Karl Melrose – на фото) был опубликован 17 марта 2024 года на его блоге Meta-IRM (Мета-управление информацией и документами).

В кругу специалистов по управлению документами ходит множество утверждений о полезности этого вида деятельности. По большей части они не соответствуют действительности. Принятие их на веру и повторение без понимания того, насколько далеко за рамки практики управления документами нам нужно выйти, чтобы реально получить такую отдачу - это действительно подрывает доверие к нам [специалистам по управлению документами – Н.Х.] в наших организациях; а если нам не будет доверия в плане той пользы, которую мы можем принести, никто не поверит нам, когда мы начнём заявлять о том, что способны дать невероятную деловую отдачу.

И, как многие из моих читателей знают, я считаю, что мы реально можем принести колоссальную пользу нашим организациям - если только поймём, какие документы и какие из наших практик управления документами действительно способны давать отдачу, чтобы мы могли обоснованно ответить на вопрос Как?, когда от нас этого потребуют. Если же мы не способны дать обоснованный ответ на этот вопрос, и не даём на него ответ заблаговременно (иными словами, сделав утверждение, мы затем должны сказать, как именно обещанное будет реализовано), - то наши организации смотреть на нас как на любого другого коммивояжёра. который обещает целый новый континент, а реально предоставляет ровно столько места, чтобы там уместились наши ботинки.

На мой взгляд, нам необходима ясность в вопросе полезности и отдачи от документов и управления ими, а также понимание того, что необходимо для достижения результата помимо собственно управления документами.

Коротко говоря, создание документов - это способность общего назначения, с которой связан ряд источников внутренне присущей и неотъемлемой пользы. Управление документами - это набор процессов, которые должны (очень сильно должны) улучшить конкретные аспекты получения деловой отдачи посредством введения мер управления в отношении документов.

Внутренне присущая и неотъемлемая польза документов на самом деле лучше всего обоснована в психологии. Дело в том, что документы позволяют нам работать за пределами ограничений нашей памяти. Ограничением номер один для способности людей выполнять любую детальную работу является наша оперативная память. В частности, она имеет очень ограниченную емкость, очень быстро затухает (т.е. мы забываем), и она не очень точна. Таким образом, мы способны помнить не очень многое, не очень долго и с не слишком большой точностью – а это означает, что мы не способны выполнять работу, требующую от нас точного запоминания многого и надолго – если у нас нет чего-то такого, что позволяет нам запоминать множество вещей, на длительное время и с высокой степенью точности. Именно в этом заключается внутренне присущая и неотъемлемая польза документов.

Специфическая полезность практики управления документами, в том виде, в котором она спроектирована сейчас, основана на экономике (т.е. на производстве, распределении и потреблении). Первый источник полезности традиционной практики управления документами связан с экономическими аспектами поиска конкретной информации, когда она зафиксирована на бумаге; а второй - это вопрос затрат на хранение документов (опять же, бумажных).

Первый источник полезности управления документами решает простую проблему, связанную с тем, что ограниченность нашей памяти означает, что мы очень быстро теряем возможность вспомнить, что мы создали и куда мы это положили, - и нам часто приходится полагаться на вещи, созданные другими людьми. Поэтому мы каталогизируем и описываем наши документы, и ещё у нас есть система для их хранения. Всё это уменьшает зависимость от нашей собственной способности запоминать, где что находится. Это основная экономическая проблема для бумажных документов, потому что единственный способ найти утерянный бумажный документ - это заставить людей пойти и просмотреть большие объёмы этих документов; а единственный способ установить, что у нас нет такого документа (при отсутствии каталога) – это прочитать все документы.

Второй источник отдачи - это экономика затрат на хранение, а также соблазн уничтожить первопричину этих затрат. Если Вы обратитесь к предыстории многих государственных архивов, то найдёте множество упоминаний о том, что расходы на хранение документов в городских офисных помещениях выходили из-под контроля, а там, где они были под контролем, иногда уничтожались документы, которые впоследствии потребовались (в частности, в Управлении государственных документов австралийского штата Виктория хранится замечательный документ, описывающий события, предшествовавшие основанию этой архивно-документационной службы штата). Создание группы людей, которые организуют хранение документов в более дешёвом месте, будут использовать понятную систему каталогизации и управления, и будут нести ответственность за деловой процесс уничтожения документов по истечении периода времени, который, по коллективно согласованному мнению, означает конец их полезного использования – это отличный способ улучшить экономику хранения больших объемов бумажной документации.

Конечно, ситуация изменилась в тот момент, когда был изобретен файловый сервер и электронный документ - мы автоматически получили каталог документов виде структуры папок. Тогда основной функцией стал поиск, и нам уже больше не нужно было полистно прочитывать все материалы, чтобы найти нужное с приемлемой степенью надёжности. Стоимость хранения документа резко упала, а сочетание новой структуры затрат и нового законодательства сделало уничтожение рискованным делом - поэтому теперь, конечно, мы всё храним гораздо дольше.

Все сказанное - преамбула к моему мнению о том, что когда коллеги говорят мне, что основной задачей управления документами является обеспечение подотчётности, исполнение законодательно-нормативных требований, эффективный поиск, сохранением знаний, эффективность оперативной работы и т.д. - это заставляет меня задаться вопросом, понимают ли они то, что сами ежедневно делают, потому что перечисленное – это не, что мы получаем от документов в рамках их внутренне присущей и неотъемлемой ценности, и не то, для чего была разработана общая модель управления документами (функциональное описание и управлением сроками хранения).

Всем нам необходимо это осознавать, когда мы делаем заявления о пользе управления документами и деловой отдаче от него.

Если мы даем обещания, выходящие за рамки внутренне присущей и неотъемлемой полезности документов или же того, для чего была разработана типовая практика управления документами в нашей организации, то мы делаем обещания, которым вряд ли поверят. Те, кто их слышит, испытывают то, что психологи называют «когнитивным диссонансом» - это означает (в данном случае), что мы делаем утверждение о реальной жизни, которое не совпадает с их восприятием реальности, и слушатели испытывают дискомфорт, когда наши утверждения не совпадают с их опытом.

Их первой мыслью поэтому, скорее всего, будет: «Нет, это не так». А их вторая мысль (это если нам повезет, и они не остановятся на первой мысли и вообще продолжат с нами разговаривать), скорее всего, будет «Как?» - то есть, каким образом управление документами обеспечит подотчетность? Всё, что вам нужно делать, это каталогизировать наши документы и управлять их жизненным циклом, так как это влияет на подотчётность?

Короткий ответ: «нет, не влияет» - потому что подотчётность не является частью внутренне присущей и неотъемлемой полезности документов, и это не та задача, для решения которой была разработана практика управления документами.

Мой комментарий: Данное высказывание – одна из тех крайностей, которые мешают Карлу донести свои по-настоящему ценные идеи до коллег по профессии. Решает ли электрик задачи по освещению дома и улицы? Или же он просто вкручивает лампочки и паяет провода? Думаю, что в соответствующей службе есть как те, кто занимается высокоуровневой работой – стратегическим планированием и оперативным управлением работами по освещению микрорайона, так и те, кто выполняет одни только технические операции. То же самое можно сказать и об управлении документами. И лично меня, например, мало интересует, зачем службы управления документами и соответствующие практики создавались при Петре I; куда важнее то, какие востребованные задачи они способны решать сегодня.

(Окончание следует, см. https://rusrim.blogspot.com/2024/04/2_0571087548.html )

Карл Мелроуз (Karl Melrose)

Источник: блог Meta-IRM
https://metairm.substack.com/p/being-very-careful-making-promises

ИСО и МЭК: Стандарты в области данных и пространств данных, часть 1

Одна из целевых групп технического подкомитета ИСО/МЭК JTC1/SC41 «Интернет вещей и взаимосвязанные технологии» в апреле 2024 года подготовила любопытный и весьма объёмный отчёт «Стандарты в области данных и пространств данных» (Data and data spaces standards), в котором попыталась дать обзор существующих стандартов ИСО/МЭК, касающихся данных и управления ими.

Во вводной части документа отмечается:

«Целью данного отчета является предоставление обзора стандартов, которые, возможно, придется учитывать в пространствах данных. Это живой документ, поскольку в нём приводятся сведения как об опубликованных стандартах, так и о стандартах, находящиеся в стадии разработки.

Отчёт структурирован в соответствии с аспектами использования и коллективного использования данных (метаданные, описание использования, представление, стратегическое управление, политики, защита персональных данных, безопасность, качество, надёжность и доверие, инфраструктура пространства данных и искусственный интеллект).

Данный отчёт может использоваться в качестве хранилища информации, поддерживающей анализ ландшафта данных и пространств данных.»

Экосистему стандартов авторы отчета видят следующим образом (см. рис.).


С моей точки зрения, самостоятельный интерес представляет содержание отчёта, представляющее собой перечень соответствующих стандартов (который я выверила по каталогу стандартов ИСО) – см. ниже.

1. Введение

2. Использование данных

2.1. ISO/IEC 5207:2024 «Информационные технологии - Использование данных - Терминология и варианты использования» (Information technology - Data usage - Terminology and use cases), см. https://www.iso.org/standard/80998.html (ПК JTC1/SC32)

2.2. ISO/IEC 5212:2024 «Информационные технологии - Использование данных - Руководство по использованию данных» (Information technology - Data usage - Guidance for data usage), см. https://www.iso.org/standard/80999.html (ПК JTC1/SC32)

3. Коллективное использование данных – Метаданные
 
3.1. ISO/IEC TR 19583-1:2019 «Информационные технологии - Концепции и использование метаданных - Часть 1: Концепции метаданных» (Information technology - Concepts and usage of metadata - Part 1: metadata concepts), см. https://www.iso.org/standard/67365.html (ПК JTC1/SC32)

3.2. ISO/IEC 11179-1:2023 «Информационные технологии - Регистры метаданных (РМД) - Часть 1: Концепция» (Information technology - Metadata registries (MDR) - Part 1: Framework), см. https://www.iso.org/standard/78914.html (ПК JTC1/SC32)

3.3. ISO/IEC 11179-3:2023 «Информационные технологии - Регистры метаданных (РМД) - Часть 3: Метамодель для общих средств реестра» (Information technology - Metadata registries (MDR) – Part 3: Metamodel for registry common facilities), см. https://www.iso.org/standard/78915.html (ПК JTC1/SC32)

3.4. ISO/IEC 11179-33:2023 «Информационные технологии - Регистры метаданных (РМД) - Часть 33: Метамодель для регистрации набора данных» (Information technology - Metadata registries (MDR) - Part 33: Metamodel for data set registration), см. https://www.iso.org/standard/81725.html (ПК JTC1/SC32)

3.5. ISO/IEC 19763-1:2023 «Информационные технологии - Концепция интероперабельности на основе метамоделей - Часть 1: Концепция» (Information technology - Metamodel framework for interoperability (MFI) - Part 1: Framework), см. https://www.iso.org/standard/84749.html (ПК JTC1/SC32)

3.6. ISO/IEC 19763-3:2020 + Amd 1:2024 «Информационные технологии - Концепция интероперабельности на основе метамоделей - Часть 3: Метамодель для регистрации онтологий» (Information technology - Metamodel framework for interoperability (MFI) - Part 3: Metamodel for ontology registration), см. https://www.iso.org/standard/76581.html (ПК JTC1/SC32)

3.7. ISO/IEC 19763-10:2023 «Информационные технологии - Концепция интероперабельности на основе метамоделей - Часть 10: Базовая модель и базисное отображение» (Information technology - Metamodel framework for interoperability (MFI) - Part 10: Core model and basic mapping), см. https://www.iso.org/standard/84750.html (ПК JTC1/SC32)

3.8. ISO/IEC 19763-12:2015 + Amd.1:2023 «Информационные технологии - Концепция интероперабельности на основе метамоделей - Часть 12: Метамодель регистрации информационной модели» (Information technology - Metamodel framework for interoperability (MFI) - Part 12: Metamodel for information model registration), см. https://www.iso.org/contents/data/standard/08/47/84750.html (ПК JTC1/SC32)

4. Коллективное использование данных – Описание использования

4.1. ISO/IEC 19944-1:2020 «Облачные вычисления и распределенные платформы - Поток данных, категории данных и их использование - Часть 1: Основные положения» (Cloud computing and distributed platforms - Data flow, data categories and data use - Part 1: Fundamentals), см. https://www.iso.org/standard/79573.html (ПК JTC1/SC38)

4.2. ISO/IEC 19944-2:2022 «Облачные вычисления и распределенные платформы - Поток данных, категории данных и их использование – Часть 2: Руководство по применению и расширяемости» (Cloud computing and distributed platforms - Data flow, data categories and data use - Part 2: Guidance on application and extensibility), см. https://www.iso.org/standard/79574.html (ПК JTC1/SC38)

5. Коллективное использование данных – Представление

5.1. ISO/IEC TR 9789:1994 «Информационные технологии – Рекомендации по организации и представлению элементов данных для обмена - Методы и принципы кодирования» (Information technology - Guidelines for the organization and representation of data elements for data interchange - Coding methods and principles), см. https://www.iso.org/standard/17651.html (ПК JTC1/SC32)

5.2. ISO/IEC 11404 «Информационные технологии - Типы данных общего назначения (GPD)» (General-Purpose Datatypes (GPD)), см. https://www.iso.org/standard/39479.html (ПК JTC1/SC32)

5.3. ISO/IEC 14957:2010 «Информационные технологии - Представление значений элементов данных - Обозначение формата» (Information technology - Representation of data element values - Notation of the format), см. https://www.iso.org/standard/55652.html (ПК JTC1/SC32)

5.4. ISO/IEC 30178 «Интернет вещей – Формат, значение и кодировка данных» (Internet of Things (IoT) - Data format, value and coding), см. https://www.iso.org/standard/53298.html (ПК JTC1/SC41)

(Окончание следует, см. http://rusrim.blogspot.com/2024/04/2_089757853.html )

Источник: сайт ИСО

среда, 24 апреля 2024 г.

США: Нью-Йорк ужесточает требования в отношении хранения и уничтожения данных, часть 2

(Окончание, начало см. http://rusrim.blogspot.com/2024/04/1_01920765750.html )

Определение обязанностей по уничтожению непубличной информации

Как только подпадающая под требования организация выяснит, какая непубличная информация у неё имеется и где она хранится, ей нужно будет определить, какие законодательно-нормативные требования в отношении сроков хранения на неё распространяются.

До введения GDPR в 2016 году основным инструментом документирования требований в отношении сроков хранения непубличной информации был перечень видов документов с указанием сроков хранения и действий по их истечении (records retention schedule, RRS – далее «перечень»). Обычно в таком перечне:

  • Перечисляются все виды используемых корпоративных документов (например, контракты),

  • Приводятся шаблоны, включая типовые соглашения о неразглашении информации, генеральные соглашения об оказании услуг и контракты с поставщиками.

    Мой комментарий: Обычно перечни подобных шаблонов не содержат, сами шаблоны же – поскольку к срокам хранения они отношения не имеют и ведутся другими структурными подразделениями – хранятся отдельно.

  • Устанавливаются сроки хранения – например, «1 год поле прекращения действия соглашения».

  • Даются ссылки на соответствующие законы и нормативные акты, использованные для определения срока хранения.

После того, как закон GDPR обязал ввести ROPA-документацию, организациям пришлось определять цели сбора и обработки информации, чтобы затем установить сроки её хранения. Закон GDPR, примеру которого в этом отношении последовали почти все появившиеся позднее законы о защите персональных данных, требует, чтобы организации определили цели, для которых они собирают персональные данные (ПДн), и сохраняли ПДн только до тех пор, пока это будет необходимо для достижения заявленных целей, а затем уничтожали ПДн.

Для директоров по информационной безопасности в подпадающих под требования организациях сочетание перечня и сведений о целях обработки ПДн, по-видимому, значительно облегчит соблюдение требований подраздела 500.13. Тем не менее, как и в случае с CMBD и ROPA, у комбинации перечней и целей обработки имеются существенные недостатки, которые создают проблемы для директоров по информационной безопасности, стремящихся использовать их для соблюдения требований подраздела 500.13.

Во-первых, перечни обычно определяет сроки хранения только для документов, которые являются подмножеством непубличной информации. Почти все службы управления документами четко определяют, что можно считать документом, а что нет. В рамках установленной политики, перечни охватывают только документы. Например, проекты документов сами по себе не являются документами и, следовательно, не регламентируются перечнями.

Мой комментарий: Автор, к сожалению, использует устаревшие представления конца 20-века о документах и об управлении ими. Понятие «документа» (особенно в органах государственной власти США) трактуется неизмеримо более широко, да и практика э-раскрытия вынуждает те же коммерческие и некоммерческие организации охватывать управлением документами не только традиционные для 20-го века официальные административные и иные документы, но и многое другое, особенно электронную почту. В перечни в настоящее время сплошь и рядом включаются не только «официальные» документы, но и черновики и проекты, официальная и неофициальная переписка, информация, базы данных, контент веб-сайтов и т.д. – здесь многое зависит от самой организации.

Однако положения подраздела 500.13 не смотрят на то, представлена ли непубличная информация в форме черновой или же окончательной версии документа. Вся непубличная информация должна быть уничтожена, как только у организации больше не будет законодательно-нормативных обязательств по её сохранению. Таким образом, использование одних только перечней не позволит организации исполнить новые требования.

Во-вторых, существует разрыв между тем, как перечни смотрят на непубличную информацию на уровне документа, и тем, как цели обработки формулируются на уровне элементов данных. Например, с точки зрения перечня важно, является ли документ счетом или контрактом, в то время как с точки зрения цели обработки имеет значение, является ли элемент данных биометрическими данными или номером телефона. Директорам по информационной безопасности, стремящимся использовать перечни и цели обработки для управления уничтожением непубличной информации, затем потребуется создать перекрестные ссылки, чтобы обеспечить согласованное представление о своих законодательно-нормативных обязанностях по уничтожению непубличной информации. Сказать это легче, чем сделать. Согласование точек зрения специалистов по управлению документами и по защите ПДн, с тем, чтобы они могли видеть непубличную информацию с точки зрения друг друга, требует готовности изменить свой образ мышления, а также выделить значительные ресурсы для обновления и расширения политик и процедур, которые бы отражали более широкую точку зрения.

Уничтожение непубличной информации

Как только директор по информационной безопасности подпадающей под требования организации преодолеет проблемы установления того, какая непубличная информация у него есть, в каких системах, и в течение каких сроков она должна храниться, - он столкнётся с самой сложной задачей из всех: фактическим уничтожением непубличной информации в больших масштабах.

Обеспечить уничтожение непубличной информации сложно, поскольку большинство организаций никогда этого не делало и не имеет соответствующего опыта. Представители широкого круга заинтересованных сторон, которым следует собраться вместе и решить, как структурировать корпоративные усилия по уничтожению непубличной информации – это специалисты по управлению документами и защите ПДн, специалисты по ведению судебных разбирательств, ИТ-специалисты, специалисты по кибербезопасности, управлению данными и представители деловых подразделений - владельцев данных — в прошлом обычно не могли достичь консенсуса. Каждый из них предлагает разные и зачастую противоречивые взгляды на ценность непубличной информации, на риски чрезмерно длительного сохранения в сравнении с рисками, связанными с уничтожением, а также на уровень усилий, соразмерный уровню риска для организации.

Мой комментарий: В России эта «неподъёмная» проблема решается с помощью хорошо всем известных экспертных комиссий – и когда у заинтересованных сторон (особенно у высшего руководства) есть воля и желание решить вопрос, тот решается довольно быстро и эффективно.

Даже если эти заинтересованные стороны собираются вместе и приходят к согласию о том что непубличную информацию следует уничтожить после того, как исполнены требования законодательства в отношении её хранения, - неспособность согласовать надлежащий курс действий, роли и обязанности в деятельности по уничтожению непубличной информации, необходимые технологические и бюджетные требования  может привести к неудаче.

Мой комментарий: На практике обещание первого лица жёстко покарать всех саботажников в случае неудачи реально творит чудеса :)

Директора по информационной безопасности, ответственные за аттестацию по подразделу 500, должны работать над преодолением этой тупиковой ситуации и обеспечить комфортное прохождение аттестации. В противном случае им придется пометить аттестацию как проект высокого риска или вовсе отказаться от неё. Оба этих варианта приведут к разрушительным последствиям для соответствующих организаций.

Путь вперёд к исполнению требований подраздела 500.13

Директора по информационной безопасности подпадающих под требования организаций должны решать эти проблемы на двух фронтах, поддерживая реестр активов и обеспечивая возможность уничтожения непубличной информации.

Создание и ведение реестра активов является наиболее ясной задачей, поскольку заинтересованными сторонами в первую очередь являются служба ИТ и владельцы деловых систем, а также ввиду того, что требуемая согласно подразделу 500.13 информация является узкой и находимой. Потребуется время на то, чтобы выявить десятки, сотни или тысячи систем, в которых хранится непубличная информация, а также найти людей, обладающих достаточными знаниями для заполнения реестра. Однако в конечном итоге это не что иное, как составление списка.

Уничтожение непубличной информации, с другой стороны, предусматривает осуществление крупномасштабных изменений, требующие от целого ряда подразделений и служб переосмысления своего понимания непубличной информации и того, как они с ней работают. Устоявшиеся предположения о ценности непубличной информации и связанных с ней рисках, о надлежащей подотчетности и ответственности за неё, а также масштабы взаимодействия служб и подразделений с непубличной информацией потребуется изменить, прежде чем избавляться от какой-либо части такой информации. И даже тогда организации потребуются многолетние усилия, затрагивающие почти каждую систему и влияющие на почти каждое подразделение.

Концептуальный подход к уничтожению непубличной информации

Директорам по информационной безопасности (CISO) в подпадающих под требования организациях необходимо внедрить концептуальный подход к уничтожению непубличной информации, охватывает все этапы этого пути, от необходимых политик и процедур до осуществления уничтожения непубличной информации в больших масштабах. Хотя детали могут различаться в зависимости от конкретной организации, ниже представлена дорожная карта, которая поможет организациям обеспечить успешное уничтожение непубличной информации и обеспечить уверенность CISO в соблюдении требований подраздела 500.13.

Подпадающие под требования организации должны начать с оценки своих возможностей стратегического управления информацией в плане уничтожения данных. Такая оценка может быть основана на ряде принятых в отрасли концепций, таких, например, как  концепции Конференции Седона (Sedona Conference, https://thesedonaconference.org/sites/default/files/publications/Commentary%20on%20Information%20Governance.pdf ), ассоциации ARMA International  ( https://www.arma.org/general/custom.asp?page=principles ), Международной организации по стандартизации ISO ( https://www.iso.org/standard/77915.html ) и американского Национального института стандартов и технологий NIST ( https://www.nist.gov/privacy-framework ).

После этого подпадающая под требования организация должна устранить пробелы в своих политиках и процедурах, связанных с уничтожением данных - например, в тех, владельцами которых являются службы управления документами, защиты персональных данных, ведения судебных разбирательства и управлению данными. Затем организация может выбрать технологические решения, подходящие для поддержки усилий, от решений для инвентаризации активов и э-раскрытия данных до специализированных инструментов, предназначенных для облегчения уничтожения данных в структурированных и неструктурированных системах.

Затем подпадающей под требования организации необходимо ранжировать по степени риска системы, в которых хранятся непубличные данные, чтобы принять хорошо продуманные, основанные на фактах решения о том, какие действия следует предпринять и в каком порядке. Это поможет сформировать план по проведению уничтожения непубличных данных. Поскольку уничтожение непубличных данных является многолетней задачей, данный план необходимо будет пересматривать по ходу процессов уничтожения, обеспечивая непрерывное улучшение соответствия организации требованиям подраздела 500.13 по мере её продвижения по пути снижения рисков.

Наконец, подпадающей под требования организации необходимо поэтапно выполнить уничтожение непубличной информации в больших масштабах, уничтожая ежеквартально ту непубличную информацию, сроки хранения которой истекли. Только в этот момент директор по информационной безопасности может вздохнуть спокойно и предпринять более обоснованные усилия в рамках должной осмотрительности, касающиеся исполнения требований раздела 500. Хотя, возможно, работа еще продолжается, но раз усилия организации по уничтожению непубличной информации налажены как следует, директора по информационной безопасности смогут с большей уверенностью дать заверения в том, что требования подраздела 500.13 соблюдаются последовательно и эффективно.

Джозеф Шепли (Joseph Shepley)

Источник: Издание CCI (Corporate Compliance Insights)
https://www.corporatecomplianceinsights.com/ciso-data-retention-disposal-nycrr/

ИСО и МЭК: Опубликована новая редакция стандарта ISO/IEC 27040:2024 «Безопасность хранения данных»

В январе 2024 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO/IEC 27040:2024 «Информационные технологии – Методы обеспечения безопасности - Безопасность хранения данных» (Information technology - Security techniques - Storage security) объёмом 92 страницы, см. https://www.iso.org/standard/80194.html и  https://www.iso.org/obp/ui/en/#!iso:std:80194:en .

Стандарт подготовлен техническим подкомитетом ИСО/МЭК JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection). Он заменил ранее действовавшую редакцию ISO/IEC 27040:2015.

Во вводной части документа отмечается:

«Настоящий документ содержит подробные технические требования и рекомендации относительно того, как организации могут достичь надлежащего уровня смягчения рисков, используя хорошо зарекомендовавший себя последовательный подход к планированию, проектированию, документированию и реализации безопасности хранения данных.

Обеспечение безопасности хранения подразумевает защиту данных как во время их хранения в ИКТ-системах, так и во время их передачи по каналам связи, связанным с хранилищем. Безопасность хранилища включает в себя безопасность устройств и носителей; действия по контролю и управлению, связанные с устройствами и носителями; приложения и сервисы; а также контроль или мониторинг действий пользователей в течение срока службы устройств и носителей, а также после окончания использования или окончания срока службы.

Безопасность хранения актуальная для всех тех, кто владеет, эксплуатирует или использует устройства хранения данных, носители и сети. К ним относятся руководители высшего звена, закупщики продуктов и услуг хранения данных, а также другие руководители нетехнические подразделений и пользователи, - в дополнение к менеджерам и администраторам, у которых имеется конкретная ответственность за безопасность информации или хранилища, работы хранилища, или же которые отвечают за общую программу безопасности организации и за разработку политики безопасности. Безопасность хранения также актуальна для всех, кто участвует в планировании, проектировании и внедрении архитектурных аспектов безопасности сети хранения данных.

Данный документ включает обзор концепций безопасности хранения и соответствующих определений. Он включает требования и рекомендации по угрозам, проектированию и аспектам контроля и управления, связанным с типичными сценариями хранения и областями технологий хранения. Кроме того, в нём приведены ссылки на другие международные стандарты и технические отчеты, в которых рассматриваются существующие практики и методы, которые можно использовать для обеспечения безопасности хранения.»

Содержание документа следующее:

Предисловие
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Обозначения и сокращения
5. Структура настоящего документа
6. Обзор и концепции
7. Организационные меры контроля и управления хранением
8. Кадровые меры контроля и управления хранением
9. Физические меры контроля и управления хранением
10. Технологические меры контроля и управления хранением
Приложение A: Краткая сводка мер и средств обеспечения безопасности хранения
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/80194.html
https://www.iso.org/obp/ui/en/#!iso:std:80194:en

вторник, 23 апреля 2024 г.

США: Нью-Йорк ужесточает требования в отношении хранения и уничтожения данных, часть 1

Компании могут столкнуться с тем, что для обеспечения соответствия новым правилам потребуется провести доработку существующих систем.

Статья управляющего директора чикагской юридической фирмы «Alvarez & Marsal Disputes and Investigations» Джозефа Шепли (Joseph Shepley) была опубликована 19 февраля 2024 года на сайте «Аналитика корпоративного комплайнса» (CCI, Corporate Compliance Insights).

Недавние изменения, внесённые Департаментом финансовых услуг Нью-Йорка (New York Department of Financial Services) в часть 500 «Требования по кибербезопасности для компаний, оказывающих финансовые услуги» (Cybersecurity Requirements for Financial Services Companies) раздела 23 «Финансовые услуги» Свода кодексов, правила и положений Нью-Йорка (New York Codes, Rules and Regulations, NYCRR, см. https://govt.westlaw.com/nycrr/ ), которая пять лет назад коренным образом изменила требования к кибербезопасности для тысяч страховых компаний, финансовых и медицинских организаций, - грозят новыми потрясениями, связанными с добавлением новых требований. Джозеф Шепли из фирмы «Alvarez & Marsal» даёт свои рекомендации директорам по информационной безопасности в подпадающих под эти требования организациях.
 

«Требования по кибербезопасности для компаний, оказывающих финансовые услуги»  Департамента финансовых услуг Нью-Йорка (23 NYCRR Part 500, см. https://www.dfs.ny.gov/system/files/documents/2023/12/rf23_nycrr_part_500_amend02_20231101.pdf ) с 2017 года являются частью ландшафта обязательных требований для страховых компаний, финансовых и медицинских организаций. Эти требования изменили отношение к кибербезопасности подпадающих под них организаций, от чего выиграли потребители, сотрудники и другие субъекты данных, чьи персональные данные обрабатываются организациями.

Хотя все недавние поправки в «часть 500» были предметом активного обсуждения, изменения в подразделе 500.13 «Ограничения на сроки хранения данных» (Limitations on data retention,  см. https://govt.westlaw.com/nycrr/Document/I60c6444d0d5f11e79781d30ba488e782 ), вероятно, окажутся наиболее существенными, регламентируя, каким образом подпадающие под эти требования организации должны управлять (и проводить уничтожение) своей «непубличной информации» (non-public information, NPI), чтобы соответствовать нормативным требованиям.

Мой комментарий: Понятие «непубличная информация» охватывает как чувствительные данные о деловой деятельности, так и определённые персональные данные физических лиц.

Что нового в подразделе 500.13 «Ограничения на сроки хранения данных»?

До 1 ноября 2023 года положения подраздела 500.13 требовали периодического проведения защищённого уничтожения непубличной информации, когда она переставала быть нужной для деловых операций. Недавно внесённая поправка добавляет новое направление регулирования, обязывающее подпадающие под требования организации документировать и вести реестр активов для информационных систем, в которых хранятся их непубличная информация. Сюда входит отслеживание ключевой информации о каждом активе, включая сведения о владельце, местоположении, классификации, даты истечения срока поддержки и целевое время восстановления.

Таким образом, теперь, в дополнение к уничтожению непубличной информации после исполнения обязанности по её сохранению в течение установленных сроков, подпадающие под требования организации должны документировать системы, в которых хранится их непубличная информация. Для исполнения этого требования организации теперь должны знать, какие данные у них есть и где они хранятся.

Проблемы соответствия требованиям подраздела 500.13

Очевидны три существенные проблемы соблюдения этих требований:

  • Знание того, какие системы хранят и управляют непубличной информацией,

  • Установление законодательно-нормативных требований в отношении сроков хранения непубличной информации,

  • Систематическое, последовательное и защитимое уничтожение непубличной информации, охватывающее все активы, где такая информация хранится и управляется.

Знание того, какие системы хранят и управляют непубличной информацией

До 2016 года наиболее распространенным способом узнать, какие системы имеются у подпадающей под требования организации, было использование базы данных управления конфигурациями (configuration management database, CMDB), своего рода реестра ИТ-систем, документировавшего их ключевые свойства, такие как назначение, операционная система, оборудование, сетевое расположение и владелец приложения. Обычно владеет базой данных CMDB и обслуживает её ИТ-служба, обеспечивая надлежащее управление и поддержку этих активов.

После 2016 года, с введением в Евросоюзе «Общих правил защиты персональных данных» (General Data Protection Regulation, GDPR, https://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1532348683434&uri=CELEX:02016R0679-20160504европейский закон о защите персональных данных – Н.Х.), от организаций потребовались разработка и ведение документации об обработки данных (records of processing activity, ROPA), которая документировала действия по обработке и системы, которые обрабатывали персональные данные субъектов данных. В отличие от баз данных CMDB, которые были ориентированы на поддержку деятельности ИТ, ROPA-документация ориентирована на исполнение законодательно-нормативных требований по защите персональных данных и содержат более полную информацию об активах и поддерживаемых ими деловых процессах.

Несмотря на использование баз данных CMDB и ROPA-документации, большинство организаций в лучшем случае имеют частичное представление о системах, которые управляют их непубличной информацией. В первую очередь такая ситуация связана с тем, что, хотя базы данных CMDB были важной частью хорошей практики оперативного использования ИТ - особенно при получении отраслевых сертификатов, таких как NIST-CSF, ISO 27001, HITRUST или SOC, - они не связаны напрямую с законодательно-нормативными требованиями. И наоборот, ориентация ROPA-документации на защиту персональных данных означала, что в неё были включены только системы, которые обрабатывали персональные данные. Это привело к тому, что в этой документации не были отражены большие объемы непубличной информации, не содержащие персональных данных, которые теперь, однако, подпадают под действие положений подраздела 500.13.

Директора по информационной безопасности (CISO), стремящиеся использовать существующие механизмы, такие как CMDB или ROPA, должны будут чем-то дополнить эти инструменты, чтобы обеспечить соответствие новым стандартам, установленным измененным подразделом 500.13.

(Окончание следует, см. http://rusrim.blogspot.com/2024/04/2_01145651150.html )

Джозеф Шепли (Joseph Shepley)

Источник: Издание CCI (Corporate Compliance Insights)
https://www.corporatecomplianceinsights.com/ciso-data-retention-disposal-nycrr/