ИСО: Опубликована новая редакция стандарта ISO 14533-3:2025 усиленной электронной подписи для PDF-файлов PAdES, способствующей перепроверке в длительной перспективе

В октябре 2025 года года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой редакции стандарта ISO 14533-3:2025 «Процессы, элементы данных и документы в коммерции, промышленности и государственном управлении – Варианты электронных подписей для долговременного использования - Часть 3: Профили для усиленных электронных подписей для PDF-файлов (PAdES)» (Processes, data elements and documents in commerce, industry and administration - Long-term signature - Part 3: Profiles for PDF Advanced Electronic Signatures (PAdES)) объёмом 33 страницы, см. https://www.iso.org/standard/88298.html и https://www.iso.org/obp/ui/en/#!iso:std:88298:en .

Документ, подготовленный техническим комитетом ИСО TC154 «Процессы, элементы данных и документы в коммерции, промышленности и государственном управлении» (Processes, data elements and documents in commerce, industry and administration), заменил предыдущую редакцию ISO 14533-3:2017.

Во вводной части документа, в частности, отмечается:

«В настоящем документе специфицированы элементы, из числа используемых в усиленных электронных подписях для PDF-файлов (PAdES), которые обеспечивают возможность проверки усиленной электронной подписи в течение длительного периода времени.

Документ не содержит ни каких-либо новых технических спецификаций для самой усиленной электронной подписи, ни новых ограничений на использование уже существующих технических спецификаций усиленных электронных подписей.»

Содержание стандарта следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Сокращения
5. Требования
6. Профили подписей для долговременного использования

6.1. Определение профиля PAdES и его позиционирование
6.2. Представление требуемого уровня
6.3. Стандарт для установки требуемого уровня
6.4. Профиль PAdES-T
6.5. Профиль PAdES-A
6.6. Множественные подписи

Приложения
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/88298.html 
https://www.iso.org/obp/ui/en/#!iso:std:88298:en 

Управление рисками для архивов, часть 3-2

(Продолжение, предыдущую часть см. http://rusrim.blogspot.com/2026/02/3-1_12.html )

Выявление рисков

Цель выявления и чёткого описания рисков заключается в следующем (п.5.5):

• Повышение уровня осведомленности и понимания связанных с документами рисков которые являются актуальными для организации;
  
  
• Способствование планированию и реагированию на риски;
  
  
• Совершенствование документных процессов, методов и средств контроля и управления документами, а также документных систем.

Формула описания риска (п.5.5) может включать следующие компоненты:

• Подверженные риску документы, процессы и/или системы;
  
  
• Источники риска и/или области неопределённости;
  
  
• Событие;
  
  
• Последствия источника риска и события.

Риски могут повлиять на управление документами следующим образом (п.7.1):

• Воспрепятствовать либо способствовать сохранению ключевых характеристик документа (аутентичности, надёжности, целостности и пригодности к использованию);
  
  
• Ослабить или усилить документные процессы, меры контроля и управления, и системы; 
  
  
• Поставить под угрозу или способствовать защите надёжности, безопасности, исполнению установленных процедур, всестороннему охвату и систематическому характеру работы документных систем.

В Приложении B стандарта ISO 18128:2024 (см. также Приложение В в ГОСТ Р 57551-2017 – Н.Х.) приведен используемый для выявления рисков контрольный список областей определенности с указанием подлежащих анализу факторов, который имеет следующую структуру:

• Области неопределенности - Внешний контекст (п. B.2)
  
  
• Области неопределенности - Внутренний контекст (п. B.3)
  
  
• Области неопределенности - Документные процессы (п. B.4)
  
  
• Создание документов и развёртывание документных систем (п. B.4.2)
  
  
• Использование и повторное использование документов и документных систем  (п. B.4.3)
  
  
• Поддержание пригодности к использованию (п. B.4.4) 
  
  
• Уничтожение/передача документов (п. B.4.5)
  
  
• Области неопределенности – Меры и средства управления документами (п. B.5)
  
  
• Метаданные (п. B.5.1)
  
  
• Деловые классификационные схемы (п. B.5.2)
  
  
• Правила доступа (кто, где, когда, при каких условиях может получить доступ?) и разрешения (что пользователь может делать после получения доступа - чтение, модификация, создание/добавление, удаление, управление и т.д.)) (п. B.5.3)
  
  
• Нормативные документы, устанавливающие сроки хранения и действия по их истечении (п. B.5.4)
  
  
• Области неопределенности – Документные системы

Анализ рисков

Рекомендуются следующие методы анализа рисков (п.8.2):

• Анализ последствий для деловой деятельности (Business Impact Analysis, BIA)
  
  
• Анализ влияния человеческого фактора (Human Reliability Analysis, HRA)
  
  
• Анализ рисков по методу «галстук-бабочка» (Bow Tie Analysis)

Оценка величины рисков

Рекомендуются следующие методы (п.9.2):

• ALARP (as low as reasonably practicable - минимальный практически приемлемый уровень риска), с определением недопустимых, допустимых или общепринятых рисков;
  
  
• RCM (reliability-centered maintenance - техническое обслуживание, ориентированное на обеспечение надёжности) — действия, направленные на упреждающую оптимизацию систем;
  
  
• Индексы риска – величина риска оценивается как произведение воздействия и вероятности;
  
  
• Сопоставление затрат и выгод (cost-benefit analysis).

(Продолжение следует)

Богдан-Флорин Поповичи (Bogdan-Florin Popovici)

Источник: блог Богдана-Флорина Поповичи
https://bogdanpopovici2008.wordpress.com/2025/12/25/managementul-riscurilor-pentru-arhive-3/ 

Искусственный интеллект и управление документами и контентом

Данная заметка известного американского эксперта и эксперта ИСО, лидера проекта разработки технических спецификаций ISO/TS 22957 Роберта Блатта (Robert Blatt – на фото) была опубликована 19 января 2026 года в социальной сети LinkedIn.

Вычислительная мощь, возможности и скорости новейших процессоров значительно возросли за последние несколько лет, наряду со значительным уменьшением размера «чипов». Эти достижения сделали возможным использование ИИ в постоянно расширяющемся спектре вариантов применения, охватывающем, помимо обработки сохраняемой в электронном виде информации (Electronically Stored Information, ESI), среды управления информацией/документами в т.ч. промышленное производство, автоматическую обработку телефонных звонков/чатов, а также множество иных возможностей. 

Опубликовано множество статей и проведено немало дискуссий, посвященных технологиям, связанным с искусственным интеллектом, - но все они на деле устаревают вскоре после разработки / публикации ввиду быстрых темпов развития технологий. С учётом этого сказанное ниже посвящено исключительно использованию технологий ИИ и роботехнической автоматизации технологических процессов и производств (Robotic Process Automation, RPA), связанных с маршрутизацией и обработкой электронной информации (ESI), - также известных как технологии управления контентом/документами, которые стабилизировались в последние годы. Такая обработка включает в себя: классификацию, маршрутизацию, установление и отслеживание сроков хранения, проведение уничтожения либо передачи на архивное хранение и т.д., в соответствии с потребностями в ней для целей управления и повышения качества сохраняемой электронной информации (ESI).

Многие организации стремятся использовать ИИ-компоненты для обработки контента существующих облачных хранилищ данных, с целью обработки уже хранящихся в них больших объёмов электронной информации организации, которая не классифицирована должным образом и для которой требуется установить сроки хранения и действия по их истечении. 

Данный подход не является вполне эффективным (и не дает точных результатов), поскольку большая часть электронной информации организации, требующей формального управления сроками хранения и уничтожением/передачей, создаётся посредством использования разнообразных приложений, генерирующих большие объёмы информации, который не может быть обработан вне соответствующего контроля и управления, осуществляемого этими приложениями. 

Более того, значительная часть электронной информации, хранящихся в облачных хранилищах данных, представляет собой нерелевантную информацию и дубликаты, которые следовало бы удалить вместе с черновиками, замененными обновлёнными версиями. Игнорирование этого обстоятельства при использовании ИИ-компонентов для классификации электронной информации и/или назначения ей сроков хранения и действий по их истечении приводит к недостаточному уровню соблюдения законодательно-нормативных требований к срокам хранения/уничтожению, особенно для финансовых организаций, которые жёстко регулируются и/или стремятся соблюдать разнообразные требования федеральных и региональных регуляторов.

Роботехническая автоматизация технологических процессов и производств (RPA), использование которой для обработки входящей электронной информации началось ещё 15 лет тому назад, до недавнего времени применялась в первую очередь из-за значительного увеличения объёмов требующих различного рода обработки электронных данных, с целью снизить становившиеся непомерными затраты на ручную обработку этой входящей электронной информации. 

Еще один фактор, приводивший к сокращению количества использующих RPA организаций, был связан с ограниченностью количества продвинутых функциональных возможностей, выходящих за рамки маршрутизации входящих документов. 

Прямым результатом быстрого роста скорости обработки и мощности компьютеров/серверов, а также снижения стоимости памяти стало то, что организации стали чаще внедрять различные вариации ИИ не только для маршрутизации входящего электронного контента, но и для дальнейшей обработки и управления огромными объемами электронной информации. 

Еще одним фактором, способствующим быстрому внедрению технологий ИИ организациями, является их способность заменить вмешательство человека в различные действия, реализуемая на основе платформ обработки естественного языка (Natural Language Processing, NLP) и искусственного интеллекта – речь идёт о таких действиях, как, например, как маршрутизация телефонных звонков, обработка электронной информации и т.д. Этот переход привел к огромным преимуществам в плане экономии расходов, что позволяет организациям перенаправлять ресурсы в более важные виды деятельности.

ИИ - это не какие-то автономные решения, а скорее платформа или фундамент, состоящий из множества слоёв, начиная с классической версии ИИ, где эти технологии начинались с базовой функциональности «да/нет», на самом деле ставшей началом того, что мы привыкли называть RPA. 

Концепция RPA заключается в том, чтобы оценить, появились ли (находились ли) определённые слова в определенной близости друг от друга. Модуль будет маршрутизировать/обрабатывать электронную информацию очень специфическим образом на основе правил, установленных системными программистами во время внедрения и обучения. Если ни одно из условий (маршрутизации – Н.Х.) не было выполнено, то электронная информация будет направлена на анализ «человеку», а затем «правила» будут обновлены соответствующим образом, обеспечивая, что такой тип информации впоследствии будет обрабатывался надлежащим образом. На этом первоначальном фундаменте обработки было основано то, что сейчас называется «машинным обучением» (machine learning, ML), когда затем были подключены как контролируемое, так и неконтролируемое обучение, классификация и регрессионный анализ.

Важно отметить, что эти технологии, ставшие за последние 10 лет более зрелыми, продолжают развиваться очень быстрыми темпами, и что все вариации ИИ требуют времени и ресурсов для проведения «обучения» и мониторинга работы модулей с целью выполнения необходимых организации измерений уровня надежности и возможности доверять. В состав ресурсов обычно входят репрезентативные ресурсы руководителей, юристов, владельцев бизнеса, аудиторов и т.д. Эти ресурсы, представляющие владельцев бизнеса, юристов, аудиторов и т.д., необходимы для мониторинга необходимых журналов аудита (все модули ИИ/RPA должны генерировать журналы обработки), уровней точности и надежности для определения степени достоверности результатов этой обработки.

Ключевым моментом при рассмотрении вопросов автоматизации с использованием технологий ИИ обработки, классификации, установления и отслеживания сроков хранения, а также обработки в рамках судебных процессов, является необходимость помнить о том, что эта ключевая технология (ИИ - Н.Х.) все еще быстро развивается. Важно признать этот момент и помнить, по-прежнему требуются политика и ресурсы организации для ведения мониторинга результатов технологии, с целью обеспечения того, что решение работает надлежащим образом и соответствует всем применимым законодательно-нормативным требованиям и иным установленным процедурам.

Эти технологии вместе, с другими приложениями, генерирующими и/или обрабатывающими электронную информацию, следует принимать во внимание при выполнении оценки надёжности и доверенности на основе положений стандарта ISO 18829:2017 «Управление контентом - Оценка внедрений систем управления контентом, информацией и документами - Доверие» (Document management - Assessing ECM/EDRM implementations – Trustworthiness, см. https://www.iso.org/standard/63513.html и https://www.iso.org/obp/ui/en/#!iso:std:63513:en , а также мой пост http://rusrim.blogspot.com/2017/06/iso-188292017-ecm.html - Н.Х.).

Мой комментарий: В России данный стандарт был недавно адаптирован как ГОСТ Р ИСО 18829-2024 «Управление документооборотом. Оценка внедрений ECM/EDRM. Достоверность», см. https://protect.gost.ru/document1.aspx?control=31&baseC=6&id=264164  и мой пост http://rusrim.blogspot.com/2024/11/18829-2024-ecmedrm.html .

При проведении любой такой оценки важно понимать, наряду с другими аспектами оцениваемой среды, как эти технологии были реализованы и как осуществлялся мониторинг их применения. Применение этих технологий в интеграции со структурированными приложениями, генерирующими электронную информацию, является важным аспектом, который никогда не следует упускать из виду в ходе обычной повседневной обработки и особенно во время проведения проектов или деятельности по оценке стратегического управления информацией/документами.

Роберт Блатт (Robert Blatt)

Источник: сайт LinkedIn
https://www.linkedin.com/pulse/contentrecords-management-ai-robert-blatt-igp-mit-lit-cigo-chpp-i0ajc/ 

Управление рисками для архивов, часть 3-1

(Продолжение, предыдущую часть см. http://rusrim.blogspot.com/2026/02/2-2.html )

Данная заметка известного румынского архивиста Богдана-Флорина Поповичи (Bogdan-Florin Popovici, на фото) была опубликована 25 декабря 2025 года на его блоге «Bogdan's Archival Blog - Blog de arhivist».

Уже более 10 лет существует международный стандарт ISO по оценке рисков при управлении документами. Сейчас действует его вторая редакция ISO 18128:2024 «Информация и документация – Риски для документов – Оценка риска в контексте управления документами» (Information and documentation - Records risks - Risk assessment for records management), см. https://www.iso.org/standard/85321.html и https://www.iso.org/obp/ui/en/#!iso:std:85321:en (а также мой пост https://rusrim.blogspot.com/2024/04/iso-181282024.html - Н.Х.).

Мой комментарий: Данный документ был адаптирован в России как ГОСТ Р 57551-2017 / ISO/TR 18128:2014 «Информация и документация. Оценка рисков для документных процессов и систем», см. http://protect.gost.ru/v.aspx?control=8&baseC=6&id=210200 , на основе его первой редакции - технического отчёта ISO/TR 18128:2014 «Информация и документация – Оценка рисков для документных процессов и систем» (Information and documentation - Risk assessment for records processes and systems, см. https://www.iso.org/standard/61521.html и https://www.iso.org/obp/ui/#!iso:std:61521:en , а также пост на блоге http://rusrim.blogspot.com/2014/03/iso-tr-18128-2014.html ). 

Ниже приводится краткое изложение стандарта (на основе открытых источников).

Риск - это следствие влияния неопределенности на достижение поставленных организацией целей: потенциальное отклонение от запланированного, которое может оказаться положительным (появление возможностей), негативным (появление угроз для достижения целей) или же сочетанием того и другого.

В контексте управления документами риски связаны с неопределенностями, относящимися к:

• процессам работы с документами (создание/захват, упорядочение, обеспечение сохранности, доступ);
  
  
• инструментам контроля над документами (инструменты для создания/захвата и упорядочения, правила доступа и т. п.); и
  
  
• управляющим  документами системам.

(Этот подход к анализу напрямую связывает данный стандарт со стандартом ISO 15489).

Мой комментарий: Выше упомянут стандарт ISO 15489-1:2016 «Информация и документация - Управление документами - Часть 1: Понятия и принципы» (Information and documentation - Records management - Part 1: Concepts and principles, см. https://www.iso.org/standard/62542.html и https://www.iso.org/obp/ui/en/#!iso:std:62542:en . Данный стандарт адаптирован в России как ГОСТ Р ИСО 15489-1-2019 (ISO 15489-1:2016) «Система стандартов по информации, библиотечному и издательскому делу. Информация и документация. Управление документами. Часть 1. Понятия и принципы», см. https://protect.gost.ru/document1.aspx?control=31&baseC=6&id=232615 .
 

Предварительные шаги

Шаг 1. В стандарте оценки рисков при управлении документами отмечается, что риски можно рассматривать на разных уровнях, от стратегического до уровня оперативной деятельности. Конечно, всё зависит от актуальности проблемы. Поэтому первый шаг состоит в определении области охвата для анализа рисков.

Шаг 2. Анализ внешнего и внутреннего контекста (условий) деятельности организации.

• Под внешним контекстом понимаются внешние по отношению к организации факторы, которые могут влиять на её деятельность (культурная, правовая, нормативная, финансовая, технологическая, экономическая, природная и конкурентная среда).
  
  Мой комментарий: В ГОСТ Р 57551-2017, п.5.1, сказано следующее: «Под внешним контекстом деятельности организации понимается совокупность неподконтрольных ей общественно-политических, макроэкономических, технологических, а также физических и экологических факторов, оказывающих влияние на ее деятельность и учитываемых при определении связанных с документами требований и потребностей организации. Частью внешнего контекста являются внешние заинтересованные стороны, имеющие конкретные интересы, связанные с деятельностью организации.»
  
  
• Внутренний контекст включает в себя аспекты лидерства, организационной культуры, потенциала, технологий, применяемых стандартов и политик и т.д.
  
  Мой комментарий: В ГОСТ Р 57551-2017, п.5.1, сказано следующее: «Существует также внутренний контекст деятельности организации, под которым понимается совокупность внутренних факторов, неподконтрольных ответственным за документные процессы и системы специалистам по управлению документами. Внутренний контекст включает в себя такие факторы, как структура и финансы организации, применяемые ею технологии, ресурсное обеспечение деятельности (кадры и бюджеты), а также культура организации, которые влияют на политики и практику управления документами.»

Шаг 3. В разделе 5.4 стандарта ISO 18128:2024 (раздел 4 в ГОСТ Р 57551-2017 – Н.Х.) рассматриваются критерии для выявления рисков и определения их допустимых уровней. Риски определяются исходя из требований организации и точек зрения заинтересованных в деятельности организации сторон.

(Продолжение следует, см. http://rusrim.blogspot.com/2026/02/3-2_01957553945.html )

Богдан-Флорин Поповичи (Bogdan-Florin Popovici)

Источник: блог Богдана-Флорина Поповичи
https://bogdanpopovici2008.wordpress.com/2025/12/25/managementul-riscurilor-pentru-arhive-3/