Продолжается работа над европейским стандартом prEN 40000-1-2 «Требования по кибербезопасности к продуктам с цифровыми элементами - Часть 1-2: Принципы киберустойчивости»

Как сообщили сайты Европейского комитета по стандартизации CEN (от фр. Comité Européen de Normalisation) и Европейского комитета электротехнической стандартизации CENELEC (от фр. Comité Européen de Normalisation Électrotechnique), а также сайты органов по стандартизации стран Евросоюза, с 15 октября начато публичное обсуждение проекта нового европейского стандарта prEN 40000-1-2 «Требования по кибербезопасности к продуктам с цифровыми элементами - Часть 1-2: Принципы киберустойчивости» (Cybersecurity requirements for products with digital elements - Part 1-2: Principles for cyber resilience) объёмом 57 страниц, см. https://standards.cencenelec.eu/ords/f?p=CEN:110:::::FSP_PROJECT,FSP_ORG_ID:81335,2307986&cs=1D72BA048927BF4E6076BA309587EA01A 

Над стандартом работает технический комитет CEN/CLC/JTC 13 «Кибербезопасность и защита данных» (Cybersecurity and Data Protection),

Публичное обсуждение продлится до 13 декабря 2025 года. С текстом проекта можно ознакомиться на сайтах национальных органов по стандартизации стан Евросоюза, в т.ч. на эстонском сайте, см. https://komport.evs.ee/Default.aspx?s=standardCommenting&doc=19694 

Веб-страница публичного обсуждения на сайте эстонского органа по стандартизации

Во вводной части стандарта отмечается:

«В настоящем документе специфицированы общие принципы кибербезопасности и общие меры управления рисками для всех продуктов, имеющих цифровые элементы (далее именуемых «продуктами»). Данный документ охватывает все этапы жизненного цикла продукта с целью обеспечения и поддержания надлежащего уровня кибербезопасности на основе учёта рисков.

В настоящем документе также представлены типовые компоненты, поддерживающие разработку согласованных между собой стандартов, специфических для отдельных категорий продуктов (вертикальных стандартов).

Настоящий документ:

• Устанавливает общие принципы кибербезопасности, применимые ко всем этапам жизненного цикла продукта;
  
  
• Специфицирует требования к оценке и обработке рисков кибербезопасности;
  
  
• Специфицирует требования в отношении мер и действий, которые могут применяться для обеспечения надлежащего уровня кибербезопасности на каждом этапе жизненного цикла продукта;
  
  
• Предоставляет компоненты и соображения для использования в стандартах, специфических для отдельных категорий продуктов, с целью обеспечения гармонизированного подхода.

В настоящем документе не рассматриваются меры и компоненты, специфические для отдельных вертикальных категорий продуктов.»

В стандарте сформулированы четыре принципа:

• Риск-ориентированный подход к кибербезопасности: Риск-ориентированный подход к кибербезопасности продуктов обеспечивает то, что меры кибербезопасности основаны на выявленных рисках и соразмерны им, принимая во внимание масштаб потерь или перебоев, а также вероятность их возникновения. Такой подход способствует принятию обоснованных решений относительно обработки рисков, в конечном итоге направленных на снижение рисков кибербезопасности продукта на протяжении всего его жизненного цикла посредством приятия целенаправленных и адекватных мер.
  
  
• Запроектированная безопасность (security by design): Принцип «запроектированной безопасности» в отношении кибербезопасности означает, что продукт проектируется, разрабатывается и производится таким образом, чтобы интегрировать меры кибербезопасности на протяжении всего жизненного цикла продукта, начиная с этапа разработки концепции. Подход «запроектированной безопасности» обеспечивает то, что кибербезопасность рассматривается как фундаментальный аспект проектирования на всех его этапах, и подчеркивает, что кибербезопасность не должна рассматриваться как добавляемый позже элемент.
  
  
• Обеспечение безопасности по умолчанию (secure by default): Принцип обеспечения безопасности по умолчанию в отношении кибербезопасности означает, что поведение продукта по умолчанию является безопасным для его предполагаемого назначения при разумно предсказуемом использовании и в условиях целевой среды эксплуатации. Сюда входит обеспечение безопасной настройки продукта при установке или развертывании, а также установку доступных обновлений кибербезопасности без неоправданных задержек в интересах поддержания безопасного по умолчанию состояния.
  
  
• Прозрачность: Принцип прозрачности подразумевает распространение и предоставление необходимой информации о кибербезопасности заинтересованным сторонам для поддержки усилий по достижению и поддержанию кибербезопасности продуктов.

Содержание документа следующее:

Европейское предисловие
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Введение
5. Принципы кибербезопасности
5.1. Общие положения
5.2. Риск-ориентированный подход к кибербезопасности
5.3. Запроектированная безопасность
5.4. Обеспечение безопасность по умолчанию
5.5. Прозрачность
6. Элементы менеджмента риска
7. Меры и действия по обеспечению кибербезопасности
Приложение A (справочное): Согласованность с вертикальными стандартами
Приложение B (справочное): Пример соглашения с поставщиком услуг кибербезопасности (Cybersecurity Supplier Agreement, CSSA)
Приложение C (справочное): Взаимосвязь настоящего европейского стандарта с ключевыми требованиями к обеспечению кибербезопасности Регламента №2024/2847
Приложение D (справочное): Доступная и инклюзивная кибербезопасность
Библиография

Одновременно проходит публичное обсуждение части 1-1 данного стандарта - prEN 40000-1-1 «Требования по кибербезопасности к продуктам с цифровыми элементами - Часть 1-2: Словарь» (Cybersecurity requirements for products with digital elements – Vocabulary) объёмом 8 страниц, см. https://standards.cencenelec.eu/ords/f?p=CEN:110:::::FSP_PROJECT,FSP_ORG_ID:82349,2307986&cs=1233A32A252D91A47BFF714F1B8C1ED26 

Во вводной части отмечается, что «в настоящем документе приведены термины и определения, обычно используемые в требованиях к кибербезопасности, включаемых в стандарты для продуктов с цифровыми элементами».

Документ содержит 16 терминов. Его содержание следующее:

Европейское предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
Библиография

Источники: сайт CEN / сайт эстонского органа по стандартизации
https://standards.cencenelec.eu/ords/f?p=CEN:110:::::FSP_PROJECT,FSP_ORG_ID:81335,2307986&cs=1D72BA048927BF4E6076BA309587EA01A
https://komport.evs.ee/Default.aspx?s=standardCommenting&doc=19694 
https://standards.cencenelec.eu/ords/f?p=CEN:110:::::FSP_PROJECT,FSP_ORG_ID:82349,2307986&cs=1233A32A252D91A47BFF714F1B8C1ED26 
https://komport.evs.ee/Default.aspx?s=standardCommenting&doc=19689 

Как управление документами эволюционировало, и при этом никогда не теряло ориентиров

Данный пост британского специалиста румынского происхождения в области управления контентом и документами и защиты персональных данных Лючии Стефан (Lucia Stefan – на фото) был опубликован в начале 8 октября 2025 года в социальной сети LinkedIn. 

Мой пост является ответом на статью Йохана Питерсе (Johan Pieterse) «Как управление документами потеряло ориентиры в 1990-е и 2000-е годы», см. https://www.linkedin.com/pulse/how-records-management-lost-its-way-90s-00s-johan-pieterse-kxyxc/ - есть перевод на русский язык, опубликованную 7 октября 2025 года в социальной сети LinkedIn.

Я совершенно не согласна с тем, что управление документами сбилось с пути в 90-х и 2000-х годах. Я не наблюдала ничего подобного, когда начала работать в этой сфере, являясь специалистом по управлению информацией и по EDRM-системам управления документами и контентом.

Период первопроходцев - 1995–2000 годы - был временем огромного прогресса, огромных усилий по освоению, управлению и обеспечению сохранности материалов в электронных форматах. Мир переходил от бумажного к электронно-цифровому управлению документами и электронному архивированию документов постоянного срока хранения. Профессия специалиста по управлению документами превратилась из канцелярской работы в работу, полностью связанную с информационными технологиями. Всё хранилось на общих дисках или в базах данных. 

В 1997 году большинство информационных систем представляли собой реляционные базы данных (моя магистерская диссертация 1997 года была посвящена именно им). Это было время, когда была написана первая редакция стандарта ISO 15489 и стандарты для электронных систем управления документами (TNA 2002, MoReq2, OAIS, национальные стандарты и т.д.). Системы ERP (корпоративное планирование и управление ресурсами – Н.Х.), ECM (управление корпоративным контентом – Н.Х.) и CRM (управление взаимоотношениями с клиентами – Н.Х.) находились во младенческом состоянии; и единственными системами, способными поддерживать документы в начале 2000-х были ERM и EDRM-системы управления документами и контентом. Это был пик развития ERM/ERDM-систем, продолжавшийся до 2010 года.

Примерно в то же время (2010 год) начали появляться новые технологии - например, системы управления веб-контентом, а позднее и облачные решения как хранилища информации. Информационные системы эволюционировали в такие области, как управление веб-контентом, совместная работа в SharePoint и подобных системах, CRM, ERP, HR, CAD и многие другие, включая нишевые системы. По мере повышения зрелости технологий различных информационных систем и появления новых файловых форматов, EDRM-системы трансформировались в ECM-решения и утратили своё значение как единственные системы управления документами. В настоящее время многие корпорации используют унаследованные ECM-системы в качестве корпоративных архивов.

Специалисты по управлению документами знали об этих технологических изменениях и научились управлять документами в этих системах, в том числе теми, что подпадают под действие законов о защите персональных данных и под иные законодательно-нормативные требования и обязательных правил. Управление документами никогда не теряло ориентиры; оно эволюционировало одновременно с появлением новых технологий. Специалистам по управлению документами и архивистам необходимо эволюционировать вместе с технологиями и новыми методами работы.

Лючия Стефан (Lucia Stefan)

Источник: сайт LinkedIn
https://www.linkedin.com/pulse/how-records-management-evolved-never-lost-its-way-lucia-stefan-lnwef/ 

Швеция: Новая публикация «Понятие документа: Понятийные неопределённости в научном дискурсе как угроза архивной практике»

В августе 2025 года шведский Университет Уппсалы (Uppsala Universitet) опубликовал сборник статей «Код и культура: 30 лет факультета архивно-библиотечных наук, информатики, музейного дела и культурного наследия Университета Уппсала – исследовательская антология» (Kod & Kultur: Institutionen för ABM i Uppsala 30 år – en forskarantologi) объёмом 294 страницы и состоящий из 14 глав, написанных профессорско-преподавательским составом кафедры и аспирантами. Сборник был подготовлен под редакцией Керстин Рюдбек (Kerstin Rydbeck), Исто Хувила (Isto Huvila) и Анны Фока (Anna Foka). Полный текст сборника (со статьями на английском и шведском языках) доступен по адресу https://www.diva-portal.org/smash/record.jsf?pid=diva2%3A1989349&dswid=-8112 , прямая ссылка на PDF-файл: https://www.diva-portal.org/smash/get/diva2:1989349/FULLTEXT01.pdf 

Моё внимание, как специалиста по управлению документами, привлекла статья (на английском языке) аспирантки факультета Шарлотты Боргеруд (Charlotte Borgerud - на фото) «Понятие документа: Понятийные неопределённости в научном дискурсе как угроза архивной практике» (The concept of record: Conceptual ambiguities in the scholarly discourse as a threat to archival practices, название на шведском языке: Handlingens vara eller icke vara: begreppsliga utmaningar och deras konsekvenser för bevarande), см. стр. 177-197 сборника (статью можно индивидуально скачать по адресу https://uu.diva-portal.org/smash/get/diva2:2003651/FULLTEXT02.pdf ).

В аннотации на статью отмечается:

«Предшествующие исследования выявили расхождения между архивной практикой и теорией, а также понятийную путаницу между такими ключевыми терминами, как «документы» (records), «контент» (documents), «данные» и «информация», что приводит к «терминологической инфляции». Неопределенность в трактовке понятия «документ» приводит к неадекватному архивированию, создавая тем самым угрозу для сохранности культурного наследия.

Цель данной главы — проанализировать определения понятия «документ», имеющиеся в международной архивной теории и в шведском законодательстве, а также рассмотреть практические последствия этих определений. Исследование проводилось посредством обзора литературы, основанного на качественном контент-анализе. Результаты показывают, что определения являются расплывчатыми и порою противоречивыми.

Шведское определение тесно связано с принципом публичного доступа, означающим, что документы становятся частью архива раньше, чем это предполагает международная теория. Это приводит к произвольности при экспертизе ценности и затрудняет международное сотрудничество при проведении исследований. Такая неопределенность также влияет на распределение обязанностей и ответственности в проектах с несколькими руководителями и приводит к использованию устаревших систем цифрового архивирования.

Вывод заключается в том, что в будущих исследованиях необходимо изучить, как следует определять понятие «документ» в среде, в которой решения всё чаще принимаются автоматизированно; а также как можно достичь гармонизации теоретических архивных и правовых определений посредством исследований, более ориентированных на пользователя.»

Во введении, в частности, сказано следующее:

В этой данной главе представлен обзор литературы, показывающий, как понятие «документ» (record) определяется в архивных исследованиях, и рассматриваются его взаимосвязи с другими понятиями в информатике. Рассматривается, как эти определения соотносятся со шведским законодательством в контексте более широкого международного дискурса. 

Глава начинается с краткого исторического обзора, за которым следует объяснение методологии отбора литературы. Далее понятие «документ» анализируются с шести тематических точек зрения, выявленных в литературе. Наконец, эти теоретические выводы соотносятся с опытом автора как архивиста и с результатами её исследований в области архивирования научно-исследовательских материалов, - тем самым иллюстрируются практические последствия различных определений.»

В выводах автор отмечает:

«Как в шведском законодательстве, так и в международной литературе принята инклюзивная терминологию и делается акцент на независимости понятия «документ» от носителя информации. В данной главе показано, что документы, контент, информация и данные определяются схожим образом, что приводит к понятийной путанице, потенциально способной поставить под угрозу наше культурное наследие и подорвать правовую определённость, поскольку становится неясно, что и кем должно сохраняться. Нечёткость определения термина «документ» может привести к проблемам в установлении границ между должностными обязанностями и затруднить различение различных профессий. Данная неоднозначность также может привести к неэффективности и недопониманию в управлении документами. Более чёткая понятийная концептуальная основа, как можно предположить, может быть кране важна для обеспечения того, чтобы архивными материалами управлял соответствующий персонал, делая это таким образом, чтобы обеспечить их долговременную сохранность.»

Что касается самих определений, то автор ссылается на определение шведского Указа о свободе печати (Tryckfrihetsförordning (1949:105), https://www.riksdagen.se/sv/dokument-och-lagar/dokument/svensk-forfattningssamling/tryckfrihetsforordning-1949105_sfs-1949-105/ ):

Статья 2: «Публичный характер государственных документов»

Что такое государственный документ

§3. Документ (handling) – это письменное или графическое представление, либо запись, которая может быть прочитана, прослушана или воспринята иным способом только с использованием технических средств

Благодарности: Благодарю Энди Поттера (Andy Potter) за информацию о данной публикации, выложенную в социальной сети LinkedIn, см. https://www.linkedin.com/feed/update/urn:li:activity:7382406829185855488 

Источник: сайт «Цифровой научный архив» (Digitala Vetenskapliga Arkivet, DiVA)
https://www.diva-portal.org/smash/record.jsf?pid=diva2%3A1989349&dswid=-8112 
https://www.diva-portal.org/smash/get/diva2:1989349/FULLTEXT01.pdf 
 

Как управление документами потеряло ориентиры в 1990-е и 2000-е годы, часть 2

(Окончание, начало см. https://rusrim.blogspot.com/2025/12/1990-2000-1.html )

Что нам следовало сделать: Участие в работе с ключевыми системами

Альтернативный подход существовал всегда, но был гораздо сложнее: следовало встраивать принципы управления документами непосредственно в ключевые деловые системы. Это означало бы:

• Работу с транзакционными системами: Партнёрство с поставщиками ERP- и CRM-решений, а также с внутренними ИТ-группами с целью обеспечения встраивания в те системы, которые реально создают и управляют деловыми документами. надлежащих функциональных возможностей для ведения журналов аудита, для управления сроками хранения и для поддержания целостности доказательств.
  
  
• Применение подхода, основанного на стратегическом управлении: Как признают сейчас современные концепции, управление документами должно быть «встроено в основные процессы, а не являться отдельным дополнением к ним». Это требует взаимодействия между различными подразделениями и службами.
  
  Вместо создания сложных «ручных» систем для управления менее важными документами, следует сосредоточиться на автоматизации установлении и отслеживании сроков хранения, а также на проведении уничтожения важных документов в основных системах, где такие усилия действительно имеют важное значение.
  
  
• Участие в выборе систем: Участие в процессе выбора организациями ERP-, CRM-систем и других ключевых систем, чтобы обеспечить принятие с самого начала во внимание требований к управлению документами.

Движение вперед: Современное управление документами

Наша профессия начинает осознавать эти проблемы. Современные концепции стратегического управления информацией подчеркивают ряд вещей, которые нам следовало бы делать:

• Фокус на деловой отдаче: Современное управление документами должно «выходить за рамки снижения затрат и рисков, обеспечивая реальную деловую отдачу».
  
  
• Встраивание управления документами в системы: «Избавьте работающих со знаниями сотрудников от бремени управления документами», внедрив соответствующие функциональные возможности в уже используемые ими системы.
  
  
• Стратегическое мышление: Стратегическое управление информацией (information governance) воспринимается как «более стратегическое», чем тактическое «управление документами».
  
  Мой комментарий: Здесь, по сути, речь идёт о смене названия профессии, наблюдаемой кое-где (в США, в здравоохранении англосаксонских стран) с «управления документами» на «стратегическое управление информацией». Этот ребрендинг не имеет ничего общего с концепцией стратегического управления информацией ИСО, суть которой заключается в объединении и координации усилий специалистов различных дисциплин с целью обеспечения согласованного, эффективного и соответствующего законодательно-нормативных требованиям управления всеми информационными активами организации.
  
  
• Использование интеллектуальных систем: Новые платформы «эффективно управляют как структурированными, так и неструктурированными данными, одновременно  встраивая ключевые функциональные возможности в основные деловые операции».

Реальность, которую нам следует осознать

Упомянутый в начале комментарий к моей статье был точным, поскольку указывал на фундаментальную ошибку. Сосредоточение внимания на более легких для управления периферийных системах вместо работы с более сложными ключевыми деловыми системами привело к маргинализации управления документами с точки зрения организационной его значимости для организации.

Для 95% деловой ценности, заключённой в транзакционных системах, то здесь не было необходимости в более эффективных реализациях EDRMS-систем. Нужны были специалисты по управлению документами, которые бы понимали деловые процессы, были бы способные работать с ИТ-службами и основными деловыми подразделениями, а также могли «встраивать» требования к доказательной базе в действительно важные с деловой точки зрения системы.

Мы [специалисты по управлению документами – Н.Х.] выбрали более комфортный для нас путь управления хранилищами документов вместо более сложной работы по оказанию влиянию на ключевые деловые системы. В результате наша профессия два десятилетия провела на обочине.

Мой комментарий: Исторически представление о «двух десятилетиях на обочине» не соответствует действительности – от слова «совсем». Начиная с конца 20-го века и примерно до начала 2010-х годов, наоборот, в ведущих странах наблюдался рост интереса к управлению документами, сопровождавшийся немалыми инвестициями, ростов зарплат и влияния в организациях. Кризис наступил уже потом, с приходом очередной волны новых технологий и новых способов ведения деловой деятельности, а также с завершением «острой фазы» перехода на использование электронных документов и адаптации к новым требованиям корпоративного и судебно-процессуального законодательства. 

В настоящее время вопрос заключается том, способны ли мы извлечь уроки из своих ошибок и восстановить свою актуальность, сфокусировав свои усилия, где действительно получается деловая отдача.

Каков Ваш опыт в данном вопросе? Наблюдали ли Вы, что управление документами начинает работает лучше, когда оно «встраивается» в ключевые системы, или испытывает трудности, когда внимание фокусируется на отдельных хранилищах? Мне хотелось бы услышать Ваше мнение.

Литература:

• «Сопоставление программного обеспечения для управления корпоративным контентом и программного обеспечения для управления документами: Что Вам подойдёт?» (Enterprise Content Management vs. Records Management Software: What’s Right for You?), TAB Records Management, 2012, https://recordsmanagement.tab.com/electronic-records-management/enterprise-content-management-vs-records-management-software-whats-right-for-you/ 
  
  
• Линь Туи Нгуен (Linh Thuý Nguyễn), Паула Сватмен (Paula M.C. Swatman) и Бардо Фраунгольц (Bardo Fraunholz) «EDMS, ERMS, ECMS или EDRMS: Продираясь через аббревиатуры» (EDMS, ERMS, ECMS or EDRMS: Fighting through the acronyms), ResearchGate, 2012, https://www.researchgate.net/publication/239612319_EDMS_ERMS_ECMS_or_EDRMS_Fighting_through_the_acronyms_towards_a_strategy_for_effective_corporate_records_management 

• Эндрю Уорланд (Andrew Warland) «Смена парадигмы управления документами от EDRMS к Office 365» (Shifting the paradigm for managing records – from EDRMS to Office 365), 2020, https://andrewwarland.wordpress.com/2020/01/30/shifting-the-paradigm-for-managing-records-from-edrms-to-office-365/ 
  
  
• «Сравнение CRM и ERP: Ключевые различия и преимущества» (CRM vs ERP: Key Differences and Benefits), Oracle, NetSuite, 2023-2025
  
  
• Шон Макголи (Sean McGauley) «Сравнение управления документами и стратегического управления информацией – Это И, а не ИЛИ» (Records Management Vs. Information Governance - It's AND not OR), AIIM, 2020,  https://info.aiim.org/aiim-blog/records-management-vs-information-governance 
  
  
• Стивен Кларк (Stephen Clarke) и Дэвид Робинсон (David Robinson) «Сравнение положения дел в 1985 и в 2025 году: Действительно ли улучшилось управление информацией?» (1985 vs 2025: Has Information Management Actually Improved?), AIIM, 2025, https://info.aiim.org/aiim-blog/1985-vs-2025-has-information-management-actually-improved 
  
  
• Джордан Джонс (Jordan Jones) и Деметра Эдвардс (Demetra Edwards) «Сравнение стратегического управления информацией и управления документами» (Compare information governance vs. records management), TechTarget, 2024, https://www.techtarget.com/searchcontentmanagement/feature/Compare-information-governance-vs-records-management 
  
  
• Стандарт ISO 15489-1:2016 «Информация и документация - Управление документами - Часть 1: Понятия и принципы» (Information and documentation - Records management - Part 1: Concepts and principles, см. https://www.iso.org/standard/62542.html и https://www.iso.org/obp/ui/en/#!iso:std:62542:en - стандарт адаптирован в России как ГОСТ Р ИСО 15489-1-2019 (ISO 15489-1:2016) «Система стандартов по информации, библиотечному и издательскому делу. Информация и документация. Управление документами. Часть 1. Понятия и принципы», см.  https://protect.gost.ru/document1.aspx?control=31&baseC=6&id=232615 – Н.Х.),

Йохан Питерсе (Johan Pieterse)

Источник: сайт LinkedIn
https://www.linkedin.com/pulse/how-records-management-lost-its-way-90s-00s-johan-pieterse-kxyxc/