Будущее управления данными — это нечто больше, чем один только искусственный интеллект

Данная заметка Дика Вейсингера (Dick Weisinger – на фото) была опубликована 18 марта 2024 года на блоге компании Formtek.

Искусственный интеллект (ИИ), несомненно, является одной из самых заметных и влиятельных тенденций в области данных последнего десятилетия. ИИ открыл новые возможности и приложения для данных и аналитики - от беспилотных автомобилей до умных помощников. Однако искусственный интеллект - не единственная тенденция, которая будет иметь значение для лидеров в области обработки данных в 2024 году и в последующий период. Будущее данной области будут определять и другие тенденции ( https://www.dataleadershipcollaborative.com/data-impact/data-trends-2024-5-watch ), такие как:

• Демократизация данных: Тенденция к тому, чтобы делать данные доступными и понятными для всех и каждого, независимо от их технических навыков или опыта. Демократизация данных может дать пользователям возможность принимать более обоснованные решения, создавать новые идеи и быстрее осуществлять инновации. Однако демократизация данных также требует баланса между качеством данных, безопасностью и стратегическим управлением.
  
  
• Унификация данных: Тенденция интеграции данных разных форматов из различных источников и систем в единую платформу или сервис. Унификация данных может повысить качество, согласованность и удобство использования данных. Однако она также создаёт проблемы, такие как проблемы совместимости, интероперабельности и масштабируемости.
  
  
• Данные как услуга (Data-as-a-Service, DaaS) и аналитика данных, не требующая сложного кодирования: Тенденция предоставления данных как услуги через облачные платформы или инструменты, которые дают пользователям возможность получать доступ, анализировать и визуализировать данные без написания сложного кода. DaaS-сервисы и не требующая сложного кодирования аналитика могут понизить «порог вхождения» для пользователей данных и позволить им использовать возможности продвинутой аналитики. Однако здесь также возникают такие проблемы, как зависимость от поставщика, оптимизация производительности и этические последствия.
  
  
• Стратегическое управление данными: Тенденция к разработке и введению политик, стандартов и процессов для управления жизненным циклом данных от создания до уничтожения либо передачи на архивное хранение. Стратегическое управление данными может обеспечить качество и безопасность данных, защиту персональных данных и соответствие законодательно-нормативным требованиям к данным в масштабе всей организации, - однако оно также требует высокого уровня координации между различными заинтересованными сторонами.
  
  
• Интернет вещей и данные в реальном времени: Тенденция подключения физических устройств и датчиков к интернету и сбора с них данных в реальном времени. Интернет вещей и собираемые в реальном времени данные могут сделать возможным получение ценных знаний и представлений о различных аспектах соответствующей среды, такой как здравоохранение, промышленное производство или сельское хозяйство. Однако эти тенденции также создают проблемы с потреблением полосы пропускания, задержками и надёжностью.

Таким образом, ИИ является не единственной тенденцией, которая повлияет на сферу управления данными в 2024 году и в последующий период. Существуют и другие тенденции, которые потребуют сотрудничества между различными областями и осуществления инноваций лидерами в области обработки данных. Эти тенденции потенциально могут открыть новые возможности для получения деловой отдачи на основе данных, но они также порождают серьёзные проблемы, которые придётся решать.

Дик Вейсингер (Dick Weisinger)

Источник: блог компании Formtek
https://formtek.com/blog/the-future-of-data-management-is-more-than-just-ai/  

ИСО: Опубликована новая редакция стандарта ISO 13611:2024 «Устный перевод для локальных сообществ - Требования и рекомендации»

В феврале 2024 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO 13611:2024 «Услуги устного перевода - Устный перевод для локальных сообществ - Требования и рекомендации» (Interpreting services - Community interpreting - Requirements and recommendations) объёмом 18 страниц, см. https://www.iso.org/standard/82387.html и https://www.iso.org/obp/ui/en/#iso:std:iso:13611:ed-2:v1:en .

Стандарт подготовлен техническим подкомитетом TC37/SC5 «Письменный и устный перевод и взаимосвязанные технологии» (Translation, interpreting and related technology). Он заменил ранее действовавший стандарт ISO 13611:2014.

Во вводной части документа отмечается следующее:

«В настоящем документе сформулированы требования и рекомендации по предоставлению услуг устного перевода для локальных сообществ. Стандарт определяет основополагающие принципы и практики, необходимые для обеспечения качественных услуг устного перевода для локальных сообществ - для всех языковых сообществ (разговорных и/или жестовых языков), для конечных пользователей, а также для клиентов и для переводчиков.»

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Основные принципы устного перевода для локальных сообществ
5. Роль и обязанности переводчика для локальных сообществ
6. Обязанности поставщиков услуг устного перевода
7. Рекомендации для клиентов и конечных пользователей
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/82387.html
https://www.iso.org/obp/ui/en/#iso:std:iso:13611:ed-2:v1:en

Будьте очень осторожны, обещая деловую отдачу от управления документами, часть 2

(Окончание, начало см. https://rusrim.blogspot.com/2024/04/1_0185097515.html )

Магистры делового администрирования (вероятно, половина вашей управленческой команды имеет степень MBA) в рамках своего обучения обычно получают базовое образование в области логики. Они учат думать о таких вещах, как «необходимое и достаточное». Например, являются ли документы и управление ими необходимыми и достаточными для обеспечения подотчётности?

Мой комментарий: Здесь я вижу ещё одну, уже более серьёзную идейную ошибку автора. Любая современная деловая деятельность ведётся с использованием документов как инструментов, и с созданием документов в качестве побочных продуктов и свидетельств этой деятельности. Управление документами – дисциплина, поддерживающая все прочие виды деятельности, она не является самодостаточной и не решает в одиночку каких-либо задач основной деловой деятельности (даже в тех организациях и учреждениях, которые занимаются одной только работой с документами и информацией!). Поэтому приличное управление документами всегда необходимо для эффективного ведения деловой деятельности (но, что важно, оно реализуется не обязательно силами именно службы управления документами) – и практически никогда не является достаточным!

Вам, вероятно, захочется сказать «да», потому что Вы работаете в службе управления документами, и Вам, вероятно, внушили, что именно этим и занимается управление документами. Однако правильный ответ – «нет».

Если Вы хотите обеспечить подотчётность ученика плотника за правильное забивание гвоздя, Вы наблюдаете за тем, как он забивает гвоздь, а затем идёте и требуете от него отчёта. Необходимыми и достаточными условиями являются знание того, как правильно забить гвоздь, и процесс подотчетности (намерение наблюдать за тем, как они это делают - хорошо, у Вас также должен быть ученик, за которым нужно будет наблюдать?). Никакие документы здесь не нужны, ни один.

Мой комментарий: Автор путает ответственность и подотчётность, это совсем не одно и то же. Свою часть ответственности несёт каждый работник, а вот подотчётность обычно является «привилегией» должностных лиц и руководителей. Подотчётность – это в первую очередь обязанность давать объяснения определенному кругу заинтересованных сторон в отношении принятых решений и совершенных действий, в то время как ответственность – это, с одной стороны, обязанность решить определенные задачи и выполнить определённую работу, а с другой – перспектива наказаний за провалы и обязанность возместить ущерб. В приведенном примере ученик плотника сам несёт ответственность за неумело вбитый гвоздь, однако подотчётным лицом является, скорее всего, его наставник.

Если Вы хотите привлечь к отчёту владельца фабрики за соблюдение требований охраны труда и техники безопасности, Вы пойдете и проинспектируете его фабрику. Необходимы ли для этого документы и управление документами? На самом деле, нет.

Мой комментарий: Ещё одна иллюстрация путаницы понятий. Инспектирования достаточно для привлечения к ответственности за факты нарушений, а вот для привлечения к отчёту с целью выяснения причин этих нарушений нужно выслушать показания владельца и/или изучить соответствующую документацию!

Что вам действительно нужно, так это человек, обладающий достаточными полномочиями, чтобы проинспектировать фабрику и сказать людям, что делать. До того, как у нас появились документы или управление документами, мы делали это с помощью армий, а преступные организации исторически делали это с помощью угрозы применения насилия.

Мой комментарий: Это утверждение стало для меня сюрпризом. Сколько-нибудь крупные армии невозможны без документов и управления документами (не случайно во многих странах, в том числе в России, в основу общей практики управления документами легло военное делопроизводство). Точно так же не работает без документов и ни одна серьёзная криминальная организация… И в обоих случаях подотчётность – очень важная тема!

В демократической системе, основанной на верховенстве закона, этот процесс усиливается через законодательные акты – документирующие то, что, по мнению парламента, представлял собой закон. Это также улучшается за счет наличия документов о нормативном регулировании – о том, что, по мнению регулирующего органа, должно быть реализовано. В какой-то момент инспектор может усовершенствовать этот процесс, идентифицировав себя с помощью документов, а также подготовив документ (акт) по итогам проверки.

Мой комментарий: Непонятно, каким боком ко всему этому относится демократия. Нормативные правовые акты, проверки и акты по их итогам существовали с незапамятных времен при всех известных формах правления. Не говоря уже о том, что и в так называемых «демократиях» были и есть и армии, и преступные группировки …

Дело в том, что привлечение к отчётности в обеих этих ситуациях возможно без каких-либо документов. Это непрактично, но достижимо - потому что подотчётность не имеет ничего общего с документами. Это обязательство давать отчёт за взятые на себя обязательства – обязательство, которое принять взять на себя и исполнять люди, заинтересованные в обеспечении того, чтобы то, что было обещанное было исполнено.

Это дело людей.

И где же в любой из этих гипотез место управлению документами? Да нигде. Оно не произвело ни грамма подотчётности.

Мой комментарий: Выскажу свою точку зрения.

• Возможна ли подотчётность без документов? – В простейших жизненных ситуациях, когда документы обычно не создаются, да. Устные объяснения по мелким вопросам старосты класса на собрании – вполне подходящий пример.
  
  
• Возможна ли подотчётность с использованием одних только документов? – Да, и, более того, в огромном количестве ситуаций многие документы создаются именно с этой целью – объяснить, почему были приняты (или не приняты) конкретные решения и совершены (или не совершены) конкретные действия. Устные же показания должностных лиц, которые исторически были первоосновой подотчётности, сейчас используются достаточно редко – и практически всегда немедленно документируются.
  
  
• Управление документами в контексте подотчётности – как автодорога, которая сама по себе не доставляет грузы по адресам, но создает условия для того, чтобы это можно было сделать эффективно. Специалисты по управлению документами не определяют политик подотчётности и не создают поддерживающих подотчётность документов (за исключением, разве что, своих узкоспециальных вопросов). Они обеспечивают их аутентичность, целостность и пригодность к использованию во времени этих документов (что позволяет их использовать в качестве надлежащих свидетельств и доказательств), а также, при необходимости, эффективные поиск, извлечение и доставку нужным лицам.

Поэтому, когда мы говорим, что управление документами обеспечивает подотчетность, руководители просто думают, что мы промокли под последним ливнем и неважно себя чувствуем, - ведь они весь день требовали от людей отчета, а управление документами при этом задействовано не было.

Однако документы, вероятно, были-таки вовлечены - даже если руководители в полной мере не осознавали этого.

Это потому, что руководители понимают в документах кое-что, чего не осознают многие из нас [специалистов по управлению документами – Н.Х.], и им даже не нужно об этом говорить.

Они знают, что документ - это инструмент, обладающий определенной внутренне присущей и неотъемлемой ценностью, который (как и любой другой инструмент) можно использовать для повышения эффективности и продуктивности - но на этом и всё, это нейтральный в плане своей отдачи инструмент, который даёт нулевую отдачу в отсутствие людей, которые с ним работают.

Мой комментарий: В духе времени хочется спросить – а если с документами работает не человек, а искусственный интеллект, то что тогда? :)

Руководители также знают, что управление документами, как правило, финансируется ими потому, что этот процесс предназначен для обеспечения соответствия политике их архивной службы - это происходит потому, что законодательство и политика были разработаны, имея в виду названные выше результаты, и это то, что отражает типовая практика.

Им известно, что если они хотят обеспечить подотчётность в своей организации, то им нужна (в первую очередь) группа людей, приверженных подотчётности как принципу. Затем им нужен деловой процесс, который обеспечивает подотчётность. Они будут создавать и использовать документы в ходе этого процесса ввиду их внутренне присущей и неотъемлемой ценности. В какой-то момент, если возникнут требования к хранению создаваемых ими документов в течение определённых сроков, управление документами может помочь им реализовать эту крошечную часть гораздо более крупного проекта и программы изменений, которые им придётся реализовать для своей «программы расширенной подотчётности».

Вопрос, который мы должны иметь в виду, когда высказываем какие-либо утверждения о полезности управления документами, выходящие за рамки управления хранением в течение установленных сроков, заключается в том, как нам понять, находимся ли мы на зыбком грунте или на твёрдой почве, когда делаем эти заявления.

С моей точки зрения, это просто: Нам нужно помнить, что управление документами было создано для решения конкретной проблемы, и подумать, говорим ли мы именно об этой конкретной проблеме.

Если это не так, это не значит, что мы не можем этого сделать. Но это означает, что у нас, вероятно, будет значительный разрыв между тем, что мы делаем, и тем, что мы обещаем.

И мы должны признать, что наша аудитория, вероятно, будет испытывать некоторую форму когнитивного диссонанса, вызванного этим разрывом.

Итак, нам нужен план, который формулирует ответ на вопрос «Как?», и нам нужно сделать эту формулировку частью своих обещаний – или же нам не будет веры.

Каково Ваше мнение по этому вопросу? Что ещё, по Вашему мнению, можно с уверенностью сказать о ценности и пользе управления документами?

Карл Мелроуз (Karl Melrose)

Мой комментарий: Я бы сказала, что нет универсальной пользы от управления документами, и нет такой универсальной отдачи, которую способен обеспечить абсолютно любой специалист нашей профессии.

Чем больше общая эрудиция руководителя службы управления документами, чем лучше его понимание деловой деятельности «своей» организации, соответствующих правовых вопросов и проблем, чем глубже понимание информационных технологий и проблем безопасности, чем крепче взаимосвязи с высшим руководством и руководителями ключевых подразделений – тем больше будет возможностей подключиться к решению важных для организации и её руководства задач, в том числе и выходя при необходимости далеко за рамки своей профессии; и тем проще будет получать необходимые ресурсы и финансирование.

Загубить же дело проще всего, придерживаясь «классики» и настаивая на том, что служба управления документами будет заниматься одной только организационно-распорядительной документацией – преимущественно бумажными документами длительного и постоянного срока хранения, в строгом соответствии с безнадёжно устаревшими действующими правилами и инструкциями Росархива.

Источник: блог Meta-IRM
https://metairm.substack.com/p/being-very-careful-making-promises

ИСО и МЭК: Стандарты в области данных и пространств данных, часть 2

(Окончание, начало см. http://rusrim.blogspot.com/2024/04/1_01184796076.html )

6. Коллективное использование данных – Стратегическое управление

6.1. ISO/IEC 38505-1:2017 «Информационная технология - Стратегическое управление ИТ - Стратегическое управление данными - Часть 1: Применение ISO/IEC 38500 для менеджмента данных» (Information technology - Governance of IT - Governance of data - Part 1: Application of ISO/IEC 38500 to the governance of data), см. https://www.iso.org/standard/56639.html (ПК JTC1/SC40)

6.2. ISO/IEC 23751:2022 «Информационная технология - Облачные вычисления и распределенные платформы - Рамочное соглашение об обмене данными (DSA)» (Information technology - Cloud computing and distributed platforms - Data sharing agreement (DSA) framework), см. https://www.iso.org/standard/76834.html (ПК JTC1/SC38)

6.3. ISO/IEC TS 38508:2024 «Информационные технологии - Управление ИТ - Последствия влияния управления при использовании общей платформы цифровых услуг экосистемными организациями» (Information technology - Governance of IT - Governance implications of the use of a shared digital service platform among ecosystem organizations), см. https://www.iso.org/standard/82288.html (ПК JTC1/SC40)

7. Коллективное использование данных – Политики

7.1. ISO/IEC 5181 «Информационные технологии - Безопасность и защита персональных данных - Происхождение данных» (Information technology - Security and privacy - Data provenance), см. https://www.iso.org/standard/80971.html (ПК JTC1/SC27)

7.2. ISO 8000-120:2016 (Data quality - Part 120: Master data: Exchange of characteristic data: Provenance), см. https://www.iso.org/standard/62393.html (ПК TC184/SC4).

8. Коллективное использование данных – Защита персональных данных

8.1. ISO/IEC 20889:2018 «Терминология и классификация методов деидентификации данных для усиленной защиты персональных данных» (Privacy enhancing data de-identification terminology and classification of techniques), см. https://www.iso.org/standard/69373.html (ПК JTC1/SC27)

8.2. ISO/IEC 27559:2022 «Информационная безопасность, кибербезопасность и защита персональных данных – Концепция усиления защиты персональных данных посредством деидентификации данных» (Information security, cybersecurity and privacy protection – Privacy enhancing data de-identification framework), см. https://www.iso.org/standard/71677.html (ПК JTC1/SC27)

9. Коллективное использование данных – Безопасность

9.1. ISO/IEC 27040:2024 «Информационные технологии – Методы обеспечения безопасности - Безопасность хранения данных» (Information technology - Security techniques - Storage security), см. https://www.iso.org/standard/80194.html (ПК JTC1/SC27)

10. Коллективное использование данных – Качество, надёжность и доверие

10.1. Стандарты серии ISO/IEC 250xx «Системная и программная инженерия - Требования и оценка качества систем и программного обеспечения (SQuaRE)»  (Systems and software engineering - Systems and software Quality Requirements and Evaluation (SQuaRE)) (ПК JTC1/SC7)

10.2. ISO/IEC 25012:2008 « Программная инженерия - Требования и оценка качества программного продукта (SQuaRE) - Модель качества данных» (Software engineering - Software Quality Requirements and Evaluation (SQuaRE) - Data quality model), см. https://www.iso.org/standard/35736.html (ПК JTC1/SC7)

10.3. ISO 8000-2:2022 «Качество данных - Часть 2: Словарь» (Data quality - Part 2: Vocabulary), см. https://www.iso.org/standard/85032.html (ПК TC184/SC4)

11. Коллективное использование данных – Инфраструктура пространства данных

11.1. ISO/IEC TR 10032:2003 «Информационные технологии - Эталонная модель управления данными» (Information technology - Reference Model of Data Management), см. https://www.iso.org/standard/38607.html (ПК JTC1/SC32)

11.2. ISO/IEC 20547-3:2020 «Информационная технология - Эталонная архитектура больших данных - Часть 3: Эталонная архитектура» (Information technology - Big data reference architecture - Part 3: Reference architecture), см. https://www.iso.org/standard/71277.html (ПК JTC1/SC42)

11.3. ISO/IEC 20547-4:2020 «Информационные технологии – Эталонная архитектура больших данных – Часть 4: Безопасность и неприкосновенность частной жизни» (Information technology - Big data reference architecture - Part 4: Security and privacy), см. https://www.iso.org/standard/71278.html (ПК JTC1/SC27)

11.4. ISO/IEC TR 23186:2018 «Информационные технологии - Облачные вычисления - Инфраструктура обеспечения доверия при обработке данных из нескольких источников» (Information technology - Cloud computing - Framework of trust for processing of multi-sourced data), см. https://www.iso.org/standard/74844.html (ПК JTC1/SC38)

11.5. ISO/IEC 20151 «Информационные технологии - Облачные вычисления и распределенные платформы – Концепции и характеристики пространства данных» (Information technology - Cloud computing and distributed platforms - Dataspace concepts and characteristics), см. https://www.iso.org/standard/86589.html (ПК JTC1/SC38)

12. Коллективное использование данных – Искусственный интеллект

12.1. ISO/IEC 22989:2022 «Информационные технологии - Искусственный интеллект - Понятия и терминология в области искусственного интеллекта» (Information technology - Artificial intelligence - Artificial intelligence concepts and terminology), см. https://www.iso.org/standard/74296.html (ПК JTC1/SC42)

12.2. ISO/IEC FDIS 5259-1 «Искусственный интеллект - Качество данных для аналитики и машинного обучения – Часть 1: Обзор, терминология и примеры» (Artificial intelligence - Data quality for analytics and machine learning (ML) - Part 1: Overview, terminology, and examples), см. https://www.iso.org/standard/81088.html (ПК JTC1/SC42)

12.3. ISO/IEC FDIS 5259-2 «Искусственный интеллект - Качество данных для аналитики и машинного обучения – Часть 2: Показатели качества данных» (Artificial intelligence - Data quality for analytics and machine learning (ML) - Part 2: Data quality measures), см. https://www.iso.org/standard/81860.html (ПК JTC1/SC42)

12.4. ISO/IEC 8183:2023 «Информационные технологии -  Искусственный интеллект - Концепция жизненного цикла данных» (Information technology - Artificial intelligence - Data life cycle framework), см. https://www.iso.org/standard/83002.html (ПК JTC1/SC42)

12.5. ISO/IEC 23053:2022 «Концепция систем искусственного интеллекта (ИИ) с использованием машинного обучения» (Framework for Artificial Intelligence (AI) Systems Using Machine Learning (ML)), https://www.iso.org/standard/74438.html (ПК JTC1/SC42)

12.6. ISO/IEC 25059:2023 «Системная и программная инженерия - Требования и оценка качества систем и программного обеспечения (SQuaRE) – Модель качества для систем искусственного интеллекта» (Software engineering - Systems and software Quality Requirements and Evaluation (SQuaRE) - Quality model for AI systems), см. https://www.iso.org/standard/80655.html (ПК JTC1/SC42)

12.7. ISO/IEC TR 42103 «Информационные технологии – Искусственный интеллект – Обзор синтетических данных в контексте ИИ-систем» (Information technology - Artificial intelligence - Overview of synthetic data in the context of AI systems), см. https://www.iso.org/standard/86899.html (ПК JTC1/SC42)

12.8. ISO/IEC CD 27090 «Кибербезопасность - Искусственный интеллект - Руководство по устранению угроз безопасности и сбоев в системах искусственного интеллекта» (Cybersecurity - Artificial Intelligence - Guidance for addressing security threats and failures in artificial intelligence systems), см. https://www.iso.org/standard/56581.html (ПК JTC1/SC27)

12.9. ISO/IEC WD 27091.2 «Кибербезопасность и защита персональных данных – Искусственный интеллект – Защита персональных данных» (Cybersecurity and Privacy - Artificial Intelligence - Privacy protection), см. https://www.iso.org/standard/56581.html (ПК JTC1/SC27)

Источник: сайт ИСО

Будьте очень осторожны, обещая деловую отдачу от управления документами, часть 1

Данный пост австралийского специалиста в области управления документами и информацией Карла Мелроуза (Karl Melrose – на фото) был опубликован 17 марта 2024 года на его блоге Meta-IRM (Мета-управление информацией и документами).

В кругу специалистов по управлению документами ходит множество утверждений о полезности этого вида деятельности. По большей части они не соответствуют действительности. Принятие их на веру и повторение без понимания того, насколько далеко за рамки практики управления документами нам нужно выйти, чтобы реально получить такую отдачу - это действительно подрывает доверие к нам [специалистам по управлению документами – Н.Х.] в наших организациях; а если нам не будет доверия в плане той пользы, которую мы можем принести, никто не поверит нам, когда мы начнём заявлять о том, что способны дать невероятную деловую отдачу.

И, как многие из моих читателей знают, я считаю, что мы реально можем принести колоссальную пользу нашим организациям - если только поймём, какие документы и какие из наших практик управления документами действительно способны давать отдачу, чтобы мы могли обоснованно ответить на вопрос Как?, когда от нас этого потребуют. Если же мы не способны дать обоснованный ответ на этот вопрос, и не даём на него ответ заблаговременно (иными словами, сделав утверждение, мы затем должны сказать, как именно обещанное будет реализовано), - то наши организации смотреть на нас как на любого другого коммивояжёра. который обещает целый новый континент, а реально предоставляет ровно столько места, чтобы там уместились наши ботинки.

На мой взгляд, нам необходима ясность в вопросе полезности и отдачи от документов и управления ими, а также понимание того, что необходимо для достижения результата помимо собственно управления документами.

Коротко говоря, создание документов - это способность общего назначения, с которой связан ряд источников внутренне присущей и неотъемлемой пользы. Управление документами - это набор процессов, которые должны (очень сильно должны) улучшить конкретные аспекты получения деловой отдачи посредством введения мер управления в отношении документов.

Внутренне присущая и неотъемлемая польза документов на самом деле лучше всего обоснована в психологии. Дело в том, что документы позволяют нам работать за пределами ограничений нашей памяти. Ограничением номер один для способности людей выполнять любую детальную работу является наша оперативная память. В частности, она имеет очень ограниченную емкость, очень быстро затухает (т.е. мы забываем), и она не очень точна. Таким образом, мы способны помнить не очень многое, не очень долго и с не слишком большой точностью – а это означает, что мы не способны выполнять работу, требующую от нас точного запоминания многого и надолго – если у нас нет чего-то такого, что позволяет нам запоминать множество вещей, на длительное время и с высокой степенью точности. Именно в этом заключается внутренне присущая и неотъемлемая польза документов.

Специфическая полезность практики управления документами, в том виде, в котором она спроектирована сейчас, основана на экономике (т.е. на производстве, распределении и потреблении). Первый источник полезности традиционной практики управления документами связан с экономическими аспектами поиска конкретной информации, когда она зафиксирована на бумаге; а второй - это вопрос затрат на хранение документов (опять же, бумажных).

Первый источник полезности управления документами решает простую проблему, связанную с тем, что ограниченность нашей памяти означает, что мы очень быстро теряем возможность вспомнить, что мы создали и куда мы это положили, - и нам часто приходится полагаться на вещи, созданные другими людьми. Поэтому мы каталогизируем и описываем наши документы, и ещё у нас есть система для их хранения. Всё это уменьшает зависимость от нашей собственной способности запоминать, где что находится. Это основная экономическая проблема для бумажных документов, потому что единственный способ найти утерянный бумажный документ - это заставить людей пойти и просмотреть большие объёмы этих документов; а единственный способ установить, что у нас нет такого документа (при отсутствии каталога) – это прочитать все документы.

Второй источник отдачи - это экономика затрат на хранение, а также соблазн уничтожить первопричину этих затрат. Если Вы обратитесь к предыстории многих государственных архивов, то найдёте множество упоминаний о том, что расходы на хранение документов в городских офисных помещениях выходили из-под контроля, а там, где они были под контролем, иногда уничтожались документы, которые впоследствии потребовались (в частности, в Управлении государственных документов австралийского штата Виктория хранится замечательный документ, описывающий события, предшествовавшие основанию этой архивно-документационной службы штата). Создание группы людей, которые организуют хранение документов в более дешёвом месте, будут использовать понятную систему каталогизации и управления, и будут нести ответственность за деловой процесс уничтожения документов по истечении периода времени, который, по коллективно согласованному мнению, означает конец их полезного использования – это отличный способ улучшить экономику хранения больших объемов бумажной документации.

Конечно, ситуация изменилась в тот момент, когда был изобретен файловый сервер и электронный документ - мы автоматически получили каталог документов виде структуры папок. Тогда основной функцией стал поиск, и нам уже больше не нужно было полистно прочитывать все материалы, чтобы найти нужное с приемлемой степенью надёжности. Стоимость хранения документа резко упала, а сочетание новой структуры затрат и нового законодательства сделало уничтожение рискованным делом - поэтому теперь, конечно, мы всё храним гораздо дольше.

Все сказанное - преамбула к моему мнению о том, что когда коллеги говорят мне, что основной задачей управления документами является обеспечение подотчётности, исполнение законодательно-нормативных требований, эффективный поиск, сохранением знаний, эффективность оперативной работы и т.д. - это заставляет меня задаться вопросом, понимают ли они то, что сами ежедневно делают, потому что перечисленное – это не, что мы получаем от документов в рамках их внутренне присущей и неотъемлемой ценности, и не то, для чего была разработана общая модель управления документами (функциональное описание и управлением сроками хранения).

Всем нам необходимо это осознавать, когда мы делаем заявления о пользе управления документами и деловой отдаче от него.

Если мы даем обещания, выходящие за рамки внутренне присущей и неотъемлемой полезности документов или же того, для чего была разработана типовая практика управления документами в нашей организации, то мы делаем обещания, которым вряд ли поверят. Те, кто их слышит, испытывают то, что психологи называют «когнитивным диссонансом» - это означает (в данном случае), что мы делаем утверждение о реальной жизни, которое не совпадает с их восприятием реальности, и слушатели испытывают дискомфорт, когда наши утверждения не совпадают с их опытом.

Их первой мыслью поэтому, скорее всего, будет: «Нет, это не так». А их вторая мысль (это если нам повезет, и они не остановятся на первой мысли и вообще продолжат с нами разговаривать), скорее всего, будет «Как?» - то есть, каким образом управление документами обеспечит подотчетность? Всё, что вам нужно делать, это каталогизировать наши документы и управлять их жизненным циклом, так как это влияет на подотчётность?

Короткий ответ: «нет, не влияет» - потому что подотчётность не является частью внутренне присущей и неотъемлемой полезности документов, и это не та задача, для решения которой была разработана практика управления документами.

Мой комментарий: Данное высказывание – одна из тех крайностей, которые мешают Карлу донести свои по-настоящему ценные идеи до коллег по профессии. Решает ли электрик задачи по освещению дома и улицы? Или же он просто вкручивает лампочки и паяет провода? Думаю, что в соответствующей службе есть как те, кто занимается высокоуровневой работой – стратегическим планированием и оперативным управлением работами по освещению микрорайона, так и те, кто выполняет одни только технические операции. То же самое можно сказать и об управлении документами. И лично меня, например, мало интересует, зачем службы управления документами и соответствующие практики создавались при Петре I; куда важнее то, какие востребованные задачи они способны решать сегодня.

(Окончание следует, см. https://rusrim.blogspot.com/2024/04/2_0571087548.html )

Карл Мелроуз (Karl Melrose)

Источник: блог Meta-IRM
https://metairm.substack.com/p/being-very-careful-making-promises

ИСО и МЭК: Стандарты в области данных и пространств данных, часть 1

Одна из целевых групп технического подкомитета ИСО/МЭК JTC1/SC41 «Интернет вещей и взаимосвязанные технологии» в апреле 2024 года подготовила любопытный и весьма объёмный отчёт «Стандарты в области данных и пространств данных» (Data and data spaces standards), в котором попыталась дать обзор существующих стандартов ИСО/МЭК, касающихся данных и управления ими.

Во вводной части документа отмечается:

«Целью данного отчета является предоставление обзора стандартов, которые, возможно, придется учитывать в пространствах данных. Это живой документ, поскольку в нём приводятся сведения как об опубликованных стандартах, так и о стандартах, находящиеся в стадии разработки.

Отчёт структурирован в соответствии с аспектами использования и коллективного использования данных (метаданные, описание использования, представление, стратегическое управление, политики, защита персональных данных, безопасность, качество, надёжность и доверие, инфраструктура пространства данных и искусственный интеллект).

Данный отчёт может использоваться в качестве хранилища информации, поддерживающей анализ ландшафта данных и пространств данных.»

Экосистему стандартов авторы отчета видят следующим образом (см. рис.).

С моей точки зрения, самостоятельный интерес представляет содержание отчёта, представляющее собой перечень соответствующих стандартов (который я выверила по каталогу стандартов ИСО) – см. ниже.

1. Введение

2. Использование данных

2.1. ISO/IEC 5207:2024 «Информационные технологии - Использование данных - Терминология и варианты использования» (Information technology - Data usage - Terminology and use cases), см. https://www.iso.org/standard/80998.html (ПК JTC1/SC32)

2.2. ISO/IEC 5212:2024 «Информационные технологии - Использование данных - Руководство по использованию данных» (Information technology - Data usage - Guidance for data usage), см. https://www.iso.org/standard/80999.html (ПК JTC1/SC32)

3. Коллективное использование данных – Метаданные
 
3.1. ISO/IEC TR 19583-1:2019 «Информационные технологии - Концепции и использование метаданных - Часть 1: Концепции метаданных» (Information technology - Concepts and usage of metadata - Part 1: metadata concepts), см. https://www.iso.org/standard/67365.html (ПК JTC1/SC32)

3.2. ISO/IEC 11179-1:2023 «Информационные технологии - Регистры метаданных (РМД) - Часть 1: Концепция» (Information technology - Metadata registries (MDR) - Part 1: Framework), см. https://www.iso.org/standard/78914.html (ПК JTC1/SC32)

3.3. ISO/IEC 11179-3:2023 «Информационные технологии - Регистры метаданных (РМД) - Часть 3: Метамодель для общих средств реестра» (Information technology - Metadata registries (MDR) – Part 3: Metamodel for registry common facilities), см. https://www.iso.org/standard/78915.html (ПК JTC1/SC32)

3.4. ISO/IEC 11179-33:2023 «Информационные технологии - Регистры метаданных (РМД) - Часть 33: Метамодель для регистрации набора данных» (Information technology - Metadata registries (MDR) - Part 33: Metamodel for data set registration), см. https://www.iso.org/standard/81725.html (ПК JTC1/SC32)

3.5. ISO/IEC 19763-1:2023 «Информационные технологии - Концепция интероперабельности на основе метамоделей - Часть 1: Концепция» (Information technology - Metamodel framework for interoperability (MFI) - Part 1: Framework), см. https://www.iso.org/standard/84749.html (ПК JTC1/SC32)

3.6. ISO/IEC 19763-3:2020 + Amd 1:2024 «Информационные технологии - Концепция интероперабельности на основе метамоделей - Часть 3: Метамодель для регистрации онтологий» (Information technology - Metamodel framework for interoperability (MFI) - Part 3: Metamodel for ontology registration), см. https://www.iso.org/standard/76581.html (ПК JTC1/SC32)

3.7. ISO/IEC 19763-10:2023 «Информационные технологии - Концепция интероперабельности на основе метамоделей - Часть 10: Базовая модель и базисное отображение» (Information technology - Metamodel framework for interoperability (MFI) - Part 10: Core model and basic mapping), см. https://www.iso.org/standard/84750.html (ПК JTC1/SC32)

3.8. ISO/IEC 19763-12:2015 + Amd.1:2023 «Информационные технологии - Концепция интероперабельности на основе метамоделей - Часть 12: Метамодель регистрации информационной модели» (Information technology - Metamodel framework for interoperability (MFI) - Part 12: Metamodel for information model registration), см. https://www.iso.org/contents/data/standard/08/47/84750.html (ПК JTC1/SC32)

4. Коллективное использование данных – Описание использования

4.1. ISO/IEC 19944-1:2020 «Облачные вычисления и распределенные платформы - Поток данных, категории данных и их использование - Часть 1: Основные положения» (Cloud computing and distributed platforms - Data flow, data categories and data use - Part 1: Fundamentals), см. https://www.iso.org/standard/79573.html (ПК JTC1/SC38)

4.2. ISO/IEC 19944-2:2022 «Облачные вычисления и распределенные платформы - Поток данных, категории данных и их использование – Часть 2: Руководство по применению и расширяемости» (Cloud computing and distributed platforms - Data flow, data categories and data use - Part 2: Guidance on application and extensibility), см. https://www.iso.org/standard/79574.html (ПК JTC1/SC38)

5. Коллективное использование данных – Представление

5.1. ISO/IEC TR 9789:1994 «Информационные технологии – Рекомендации по организации и представлению элементов данных для обмена - Методы и принципы кодирования» (Information technology - Guidelines for the organization and representation of data elements for data interchange - Coding methods and principles), см. https://www.iso.org/standard/17651.html (ПК JTC1/SC32)

5.2. ISO/IEC 11404 «Информационные технологии - Типы данных общего назначения (GPD)» (General-Purpose Datatypes (GPD)), см. https://www.iso.org/standard/39479.html (ПК JTC1/SC32)

5.3. ISO/IEC 14957:2010 «Информационные технологии - Представление значений элементов данных - Обозначение формата» (Information technology - Representation of data element values - Notation of the format), см. https://www.iso.org/standard/55652.html (ПК JTC1/SC32)

5.4. ISO/IEC 30178 «Интернет вещей – Формат, значение и кодировка данных» (Internet of Things (IoT) - Data format, value and coding), см. https://www.iso.org/standard/53298.html (ПК JTC1/SC41)

(Окончание следует, см. http://rusrim.blogspot.com/2024/04/2_089757853.html )

Источник: сайт ИСО

США: Нью-Йорк ужесточает требования в отношении хранения и уничтожения данных, часть 2

(Окончание, начало см. http://rusrim.blogspot.com/2024/04/1_01920765750.html )

Определение обязанностей по уничтожению непубличной информации

Как только подпадающая под требования организация выяснит, какая непубличная информация у неё имеется и где она хранится, ей нужно будет определить, какие законодательно-нормативные требования в отношении сроков хранения на неё распространяются.

До введения GDPR в 2016 году основным инструментом документирования требований в отношении сроков хранения непубличной информации был перечень видов документов с указанием сроков хранения и действий по их истечении (records retention schedule, RRS – далее «перечень»). Обычно в таком перечне:

• Перечисляются все виды используемых корпоративных документов (например, контракты),
  
  
• Приводятся шаблоны, включая типовые соглашения о неразглашении информации, генеральные соглашения об оказании услуг и контракты с поставщиками.
  
  Мой комментарий: Обычно перечни подобных шаблонов не содержат, сами шаблоны же – поскольку к срокам хранения они отношения не имеют и ведутся другими структурными подразделениями – хранятся отдельно.
  
  
• Устанавливаются сроки хранения – например, «1 год поле прекращения действия соглашения».
  
  
• Даются ссылки на соответствующие законы и нормативные акты, использованные для определения срока хранения.

После того, как закон GDPR обязал ввести ROPA-документацию, организациям пришлось определять цели сбора и обработки информации, чтобы затем установить сроки её хранения. Закон GDPR, примеру которого в этом отношении последовали почти все появившиеся позднее законы о защите персональных данных, требует, чтобы организации определили цели, для которых они собирают персональные данные (ПДн), и сохраняли ПДн только до тех пор, пока это будет необходимо для достижения заявленных целей, а затем уничтожали ПДн.

Для директоров по информационной безопасности в подпадающих под требования организациях сочетание перечня и сведений о целях обработки ПДн, по-видимому, значительно облегчит соблюдение требований подраздела 500.13. Тем не менее, как и в случае с CMBD и ROPA, у комбинации перечней и целей обработки имеются существенные недостатки, которые создают проблемы для директоров по информационной безопасности, стремящихся использовать их для соблюдения требований подраздела 500.13.

Во-первых, перечни обычно определяет сроки хранения только для документов, которые являются подмножеством непубличной информации. Почти все службы управления документами четко определяют, что можно считать документом, а что нет. В рамках установленной политики, перечни охватывают только документы. Например, проекты документов сами по себе не являются документами и, следовательно, не регламентируются перечнями.

Мой комментарий: Автор, к сожалению, использует устаревшие представления конца 20-века о документах и об управлении ими. Понятие «документа» (особенно в органах государственной власти США) трактуется неизмеримо более широко, да и практика э-раскрытия вынуждает те же коммерческие и некоммерческие организации охватывать управлением документами не только традиционные для 20-го века официальные административные и иные документы, но и многое другое, особенно электронную почту. В перечни в настоящее время сплошь и рядом включаются не только «официальные» документы, но и черновики и проекты, официальная и неофициальная переписка, информация, базы данных, контент веб-сайтов и т.д. – здесь многое зависит от самой организации.

Однако положения подраздела 500.13 не смотрят на то, представлена ли непубличная информация в форме черновой или же окончательной версии документа. Вся непубличная информация должна быть уничтожена, как только у организации больше не будет законодательно-нормативных обязательств по её сохранению. Таким образом, использование одних только перечней не позволит организации исполнить новые требования.

Во-вторых, существует разрыв между тем, как перечни смотрят на непубличную информацию на уровне документа, и тем, как цели обработки формулируются на уровне элементов данных. Например, с точки зрения перечня важно, является ли документ счетом или контрактом, в то время как с точки зрения цели обработки имеет значение, является ли элемент данных биометрическими данными или номером телефона. Директорам по информационной безопасности, стремящимся использовать перечни и цели обработки для управления уничтожением непубличной информации, затем потребуется создать перекрестные ссылки, чтобы обеспечить согласованное представление о своих законодательно-нормативных обязанностях по уничтожению непубличной информации. Сказать это легче, чем сделать. Согласование точек зрения специалистов по управлению документами и по защите ПДн, с тем, чтобы они могли видеть непубличную информацию с точки зрения друг друга, требует готовности изменить свой образ мышления, а также выделить значительные ресурсы для обновления и расширения политик и процедур, которые бы отражали более широкую точку зрения.

Уничтожение непубличной информации

Как только директор по информационной безопасности подпадающей под требования организации преодолеет проблемы установления того, какая непубличная информация у него есть, в каких системах, и в течение каких сроков она должна храниться, - он столкнётся с самой сложной задачей из всех: фактическим уничтожением непубличной информации в больших масштабах.

Обеспечить уничтожение непубличной информации сложно, поскольку большинство организаций никогда этого не делало и не имеет соответствующего опыта. Представители широкого круга заинтересованных сторон, которым следует собраться вместе и решить, как структурировать корпоративные усилия по уничтожению непубличной информации – это специалисты по управлению документами и защите ПДн, специалисты по ведению судебных разбирательств, ИТ-специалисты, специалисты по кибербезопасности, управлению данными и представители деловых подразделений - владельцев данных — в прошлом обычно не могли достичь консенсуса. Каждый из них предлагает разные и зачастую противоречивые взгляды на ценность непубличной информации, на риски чрезмерно длительного сохранения в сравнении с рисками, связанными с уничтожением, а также на уровень усилий, соразмерный уровню риска для организации.

Мой комментарий: В России эта «неподъёмная» проблема решается с помощью хорошо всем известных экспертных комиссий – и когда у заинтересованных сторон (особенно у высшего руководства) есть воля и желание решить вопрос, тот решается довольно быстро и эффективно.

Даже если эти заинтересованные стороны собираются вместе и приходят к согласию о том что непубличную информацию следует уничтожить после того, как исполнены требования законодательства в отношении её хранения, - неспособность согласовать надлежащий курс действий, роли и обязанности в деятельности по уничтожению непубличной информации, необходимые технологические и бюджетные требования  может привести к неудаче.

Мой комментарий: На практике обещание первого лица жёстко покарать всех саботажников в случае неудачи реально творит чудеса :)

Директора по информационной безопасности, ответственные за аттестацию по подразделу 500, должны работать над преодолением этой тупиковой ситуации и обеспечить комфортное прохождение аттестации. В противном случае им придется пометить аттестацию как проект высокого риска или вовсе отказаться от неё. Оба этих варианта приведут к разрушительным последствиям для соответствующих организаций.

Путь вперёд к исполнению требований подраздела 500.13

Директора по информационной безопасности подпадающих под требования организаций должны решать эти проблемы на двух фронтах, поддерживая реестр активов и обеспечивая возможность уничтожения непубличной информации.

Создание и ведение реестра активов является наиболее ясной задачей, поскольку заинтересованными сторонами в первую очередь являются служба ИТ и владельцы деловых систем, а также ввиду того, что требуемая согласно подразделу 500.13 информация является узкой и находимой. Потребуется время на то, чтобы выявить десятки, сотни или тысячи систем, в которых хранится непубличная информация, а также найти людей, обладающих достаточными знаниями для заполнения реестра. Однако в конечном итоге это не что иное, как составление списка.

Уничтожение непубличной информации, с другой стороны, предусматривает осуществление крупномасштабных изменений, требующие от целого ряда подразделений и служб переосмысления своего понимания непубличной информации и того, как они с ней работают. Устоявшиеся предположения о ценности непубличной информации и связанных с ней рисках, о надлежащей подотчетности и ответственности за неё, а также масштабы взаимодействия служб и подразделений с непубличной информацией потребуется изменить, прежде чем избавляться от какой-либо части такой информации. И даже тогда организации потребуются многолетние усилия, затрагивающие почти каждую систему и влияющие на почти каждое подразделение.

Концептуальный подход к уничтожению непубличной информации

Директорам по информационной безопасности (CISO) в подпадающих под требования организациях необходимо внедрить концептуальный подход к уничтожению непубличной информации, охватывает все этапы этого пути, от необходимых политик и процедур до осуществления уничтожения непубличной информации в больших масштабах. Хотя детали могут различаться в зависимости от конкретной организации, ниже представлена дорожная карта, которая поможет организациям обеспечить успешное уничтожение непубличной информации и обеспечить уверенность CISO в соблюдении требований подраздела 500.13.

Подпадающие под требования организации должны начать с оценки своих возможностей стратегического управления информацией в плане уничтожения данных. Такая оценка может быть основана на ряде принятых в отрасли концепций, таких, например, как  концепции Конференции Седона (Sedona Conference, https://thesedonaconference.org/sites/default/files/publications/Commentary%20on%20Information%20Governance.pdf ), ассоциации ARMA International  ( https://www.arma.org/general/custom.asp?page=principles ), Международной организации по стандартизации ISO ( https://www.iso.org/standard/77915.html ) и американского Национального института стандартов и технологий NIST ( https://www.nist.gov/privacy-framework ).

После этого подпадающая под требования организация должна устранить пробелы в своих политиках и процедурах, связанных с уничтожением данных - например, в тех, владельцами которых являются службы управления документами, защиты персональных данных, ведения судебных разбирательства и управлению данными. Затем организация может выбрать технологические решения, подходящие для поддержки усилий, от решений для инвентаризации активов и э-раскрытия данных до специализированных инструментов, предназначенных для облегчения уничтожения данных в структурированных и неструктурированных системах.

Затем подпадающей под требования организации необходимо ранжировать по степени риска системы, в которых хранятся непубличные данные, чтобы принять хорошо продуманные, основанные на фактах решения о том, какие действия следует предпринять и в каком порядке. Это поможет сформировать план по проведению уничтожения непубличных данных. Поскольку уничтожение непубличных данных является многолетней задачей, данный план необходимо будет пересматривать по ходу процессов уничтожения, обеспечивая непрерывное улучшение соответствия организации требованиям подраздела 500.13 по мере её продвижения по пути снижения рисков.

Наконец, подпадающей под требования организации необходимо поэтапно выполнить уничтожение непубличной информации в больших масштабах, уничтожая ежеквартально ту непубличную информацию, сроки хранения которой истекли. Только в этот момент директор по информационной безопасности может вздохнуть спокойно и предпринять более обоснованные усилия в рамках должной осмотрительности, касающиеся исполнения требований раздела 500. Хотя, возможно, работа еще продолжается, но раз усилия организации по уничтожению непубличной информации налажены как следует, директора по информационной безопасности смогут с большей уверенностью дать заверения в том, что требования подраздела 500.13 соблюдаются последовательно и эффективно.

Джозеф Шепли (Joseph Shepley)

Источник: Издание CCI (Corporate Compliance Insights)
https://www.corporatecomplianceinsights.com/ciso-data-retention-disposal-nycrr/

ИСО и МЭК: Опубликована новая редакция стандарта ISO/IEC 27040:2024 «Безопасность хранения данных»

В январе 2024 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO/IEC 27040:2024 «Информационные технологии – Методы обеспечения безопасности - Безопасность хранения данных» (Information technology - Security techniques - Storage security) объёмом 92 страницы, см. https://www.iso.org/standard/80194.html и  https://www.iso.org/obp/ui/en/#!iso:std:80194:en .

Стандарт подготовлен техническим подкомитетом ИСО/МЭК JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection). Он заменил ранее действовавшую редакцию ISO/IEC 27040:2015.

Во вводной части документа отмечается:

«Настоящий документ содержит подробные технические требования и рекомендации относительно того, как организации могут достичь надлежащего уровня смягчения рисков, используя хорошо зарекомендовавший себя последовательный подход к планированию, проектированию, документированию и реализации безопасности хранения данных.

Обеспечение безопасности хранения подразумевает защиту данных как во время их хранения в ИКТ-системах, так и во время их передачи по каналам связи, связанным с хранилищем. Безопасность хранилища включает в себя безопасность устройств и носителей; действия по контролю и управлению, связанные с устройствами и носителями; приложения и сервисы; а также контроль или мониторинг действий пользователей в течение срока службы устройств и носителей, а также после окончания использования или окончания срока службы.

Безопасность хранения актуальная для всех тех, кто владеет, эксплуатирует или использует устройства хранения данных, носители и сети. К ним относятся руководители высшего звена, закупщики продуктов и услуг хранения данных, а также другие руководители нетехнические подразделений и пользователи, - в дополнение к менеджерам и администраторам, у которых имеется конкретная ответственность за безопасность информации или хранилища, работы хранилища, или же которые отвечают за общую программу безопасности организации и за разработку политики безопасности. Безопасность хранения также актуальна для всех, кто участвует в планировании, проектировании и внедрении архитектурных аспектов безопасности сети хранения данных.

Данный документ включает обзор концепций безопасности хранения и соответствующих определений. Он включает требования и рекомендации по угрозам, проектированию и аспектам контроля и управления, связанным с типичными сценариями хранения и областями технологий хранения. Кроме того, в нём приведены ссылки на другие международные стандарты и технические отчеты, в которых рассматриваются существующие практики и методы, которые можно использовать для обеспечения безопасности хранения.»

Содержание документа следующее:

Предисловие
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Обозначения и сокращения
5. Структура настоящего документа
6. Обзор и концепции
7. Организационные меры контроля и управления хранением
8. Кадровые меры контроля и управления хранением
9. Физические меры контроля и управления хранением
10. Технологические меры контроля и управления хранением
Приложение A: Краткая сводка мер и средств обеспечения безопасности хранения
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/80194.html
https://www.iso.org/obp/ui/en/#!iso:std:80194:en

США: Нью-Йорк ужесточает требования в отношении хранения и уничтожения данных, часть 1

Компании могут столкнуться с тем, что для обеспечения соответствия новым правилам потребуется провести доработку существующих систем.

Статья управляющего директора чикагской юридической фирмы «Alvarez & Marsal Disputes and Investigations» Джозефа Шепли (Joseph Shepley) была опубликована 19 февраля 2024 года на сайте «Аналитика корпоративного комплайнса» (CCI, Corporate Compliance Insights).

Недавние изменения, внесённые Департаментом финансовых услуг Нью-Йорка (New York Department of Financial Services) в часть 500 «Требования по кибербезопасности для компаний, оказывающих финансовые услуги» (Cybersecurity Requirements for Financial Services Companies) раздела 23 «Финансовые услуги» Свода кодексов, правила и положений Нью-Йорка (New York Codes, Rules and Regulations, NYCRR, см. https://govt.westlaw.com/nycrr/ ), которая пять лет назад коренным образом изменила требования к кибербезопасности для тысяч страховых компаний, финансовых и медицинских организаций, - грозят новыми потрясениями, связанными с добавлением новых требований. Джозеф Шепли из фирмы «Alvarez & Marsal» даёт свои рекомендации директорам по информационной безопасности в подпадающих под эти требования организациях.
 

«Требования по кибербезопасности для компаний, оказывающих финансовые услуги»  Департамента финансовых услуг Нью-Йорка (23 NYCRR Part 500, см. https://www.dfs.ny.gov/system/files/documents/2023/12/rf23_nycrr_part_500_amend02_20231101.pdf ) с 2017 года являются частью ландшафта обязательных требований для страховых компаний, финансовых и медицинских организаций. Эти требования изменили отношение к кибербезопасности подпадающих под них организаций, от чего выиграли потребители, сотрудники и другие субъекты данных, чьи персональные данные обрабатываются организациями.

Хотя все недавние поправки в «часть 500» были предметом активного обсуждения, изменения в подразделе 500.13 «Ограничения на сроки хранения данных» (Limitations on data retention,  см. https://govt.westlaw.com/nycrr/Document/I60c6444d0d5f11e79781d30ba488e782 ), вероятно, окажутся наиболее существенными, регламентируя, каким образом подпадающие под эти требования организации должны управлять (и проводить уничтожение) своей «непубличной информации» (non-public information, NPI), чтобы соответствовать нормативным требованиям.

Мой комментарий: Понятие «непубличная информация» охватывает как чувствительные данные о деловой деятельности, так и определённые персональные данные физических лиц.

Что нового в подразделе 500.13 «Ограничения на сроки хранения данных»?

До 1 ноября 2023 года положения подраздела 500.13 требовали периодического проведения защищённого уничтожения непубличной информации, когда она переставала быть нужной для деловых операций. Недавно внесённая поправка добавляет новое направление регулирования, обязывающее подпадающие под требования организации документировать и вести реестр активов для информационных систем, в которых хранятся их непубличная информация. Сюда входит отслеживание ключевой информации о каждом активе, включая сведения о владельце, местоположении, классификации, даты истечения срока поддержки и целевое время восстановления.

Таким образом, теперь, в дополнение к уничтожению непубличной информации после исполнения обязанности по её сохранению в течение установленных сроков, подпадающие под требования организации должны документировать системы, в которых хранится их непубличная информация. Для исполнения этого требования организации теперь должны знать, какие данные у них есть и где они хранятся.

Проблемы соответствия требованиям подраздела 500.13

Очевидны три существенные проблемы соблюдения этих требований:

• Знание того, какие системы хранят и управляют непубличной информацией,
  
  
• Установление законодательно-нормативных требований в отношении сроков хранения непубличной информации,
  
  
• Систематическое, последовательное и защитимое уничтожение непубличной информации, охватывающее все активы, где такая информация хранится и управляется.

Знание того, какие системы хранят и управляют непубличной информацией

До 2016 года наиболее распространенным способом узнать, какие системы имеются у подпадающей под требования организации, было использование базы данных управления конфигурациями (configuration management database, CMDB), своего рода реестра ИТ-систем, документировавшего их ключевые свойства, такие как назначение, операционная система, оборудование, сетевое расположение и владелец приложения. Обычно владеет базой данных CMDB и обслуживает её ИТ-служба, обеспечивая надлежащее управление и поддержку этих активов.

После 2016 года, с введением в Евросоюзе «Общих правил защиты персональных данных» (General Data Protection Regulation, GDPR, https://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1532348683434&uri=CELEX:02016R0679-20160504 – европейский закон о защите персональных данных – Н.Х.), от организаций потребовались разработка и ведение документации об обработки данных (records of processing activity, ROPA), которая документировала действия по обработке и системы, которые обрабатывали персональные данные субъектов данных. В отличие от баз данных CMDB, которые были ориентированы на поддержку деятельности ИТ, ROPA-документация ориентирована на исполнение законодательно-нормативных требований по защите персональных данных и содержат более полную информацию об активах и поддерживаемых ими деловых процессах.

Несмотря на использование баз данных CMDB и ROPA-документации, большинство организаций в лучшем случае имеют частичное представление о системах, которые управляют их непубличной информацией. В первую очередь такая ситуация связана с тем, что, хотя базы данных CMDB были важной частью хорошей практики оперативного использования ИТ - особенно при получении отраслевых сертификатов, таких как NIST-CSF, ISO 27001, HITRUST или SOC, - они не связаны напрямую с законодательно-нормативными требованиями. И наоборот, ориентация ROPA-документации на защиту персональных данных означала, что в неё были включены только системы, которые обрабатывали персональные данные. Это привело к тому, что в этой документации не были отражены большие объемы непубличной информации, не содержащие персональных данных, которые теперь, однако, подпадают под действие положений подраздела 500.13.

Директора по информационной безопасности (CISO), стремящиеся использовать существующие механизмы, такие как CMDB или ROPA, должны будут чем-то дополнить эти инструменты, чтобы обеспечить соответствие новым стандартам, установленным измененным подразделом 500.13.

(Окончание следует, см. http://rusrim.blogspot.com/2024/04/2_01145651150.html )

Джозеф Шепли (Joseph Shepley)

Источник: Издание CCI (Corporate Compliance Insights)
https://www.corporatecomplianceinsights.com/ciso-data-retention-disposal-nycrr/

Национальные Архивы США опубликовали справочный документ о невзаимозаменяемых токенах (NFT)

Данная заметка специального помощника Маркуса Моста (Markus Most – на фото) была опубликована 12 апреля 2024 года на блоге «Records Express» Национальных Архивов США (NARA).

Мы рады объявить о выпуске справочного документа о последствиях для управления документами, связанных с использованием невзаимозаменяемых токенов (Non-Fungible Tokens, NFT).

Документ объёмом 11 страниц доступен по адресу: https://www.archives.gov/files/records-mgmt/policy/nft-briefing-paper-april-2024.pdf

Мой комментарий: содержание документа следующее:

Введение
Невзаимозаменяемые токены
•    Основы технологий блокчейна
•    Технологии
•    Воздействие на окружающую среду
•    Варианты использования
•    Концепция и политика федерального правительства США
Библиография

В 2019 году Национальные Архивы США (NARA) опубликовали аналитический отчёт по блокчейну (см. https://www.archives.gov/files/records-mgmt/policy/nara-blockchain-whitepaper.pdf - о нём см. мой пост: http://rusrim.blogspot.com/2019/03/blog-post_14.html - Н.Х.), в котором рассказывалось о том, как работает эта технология, как она используется в органах федерального правительства США, - а также о потенциальных последствиях её применения для управления документами.

Технологии блокчейна и распределенных реестров (distributed ledger technology, DLT – блокчейн рассматривается как один из видов распределённых реестров – Н.Х.) используется для таких приложений, как невзаимозаменяемые токены (non-fungible tokens, NFT), криптовалюта и смарт-контракты.

В данном справочном документе основное внимание уделяется использованию NFT-токенов и его потенциальному влиянию на управление федеральными документами.

Целью данного справочного документа является ознакомление специалистов по управлению документами органов федерального правительства США с NFT-токенами.
В качестве удивительно хорошего и при этом занимательного объяснения мы предлагаем посмотреть скетч канала «Субботним вечером в прямом эфире» (Saturday Night Live) ( https://www.youtube.com/watch?v=mrNOYudaMAc ), выпущенный в 2021 году.

Мой комментарий: Напоминаю – в Yandex-браузере есть возможность включить автоперевод видеоклипа на русский язык.

Мой комментарий: Бестолковость этого весёлого «объяснения» вполне адекватно отражает степень понимания NFT-токенов федеральными чиновниками :) Впрочем, в справочном документе объяснение дано вполне серьёзное.

К сожалению, в нём тоже не сказано прямо главное: при использовании в рамках деловой деятельности NFT-токены в большинстве случаев являются аналогом обыкновенных документов (любой электронный документ и любую учётную запись для бумажного или электронного документа либо актива можно считать NFT-токенами), а в наиболее интересном варианте применения - обращающимися документами вроде коносаментов, подтверждающими определенные права, которые их текущий владелец имеет в силу обладания NFT-токеном.

Сами по себе NFT-токены – это технологическое решение; и здесь важно, как и в каких целях токены используются в деловой деятельности. Если NFT-токен фактически выполняет функции документа, то и управлять им надо как документом.

Маркус Моуст (Markus Most)

Источник: блог «Records Express» на сайте NARA
https://records-express.blogs.archives.gov/2024/04/12/release-of-non-fungible-tokens-nfts-briefing-paper/

Платформы контент-сервисов – восходящая звезда

Данная заметка Дика Вейсингера (Dick Weisinger – на фото) была опубликована 1 марта 2024 года на блоге компании Formtek.

В цифровую эпоху управление корпоративным контентом (Enterprise Content Management, ECM) и платформы контент-сервисов (Content Services Platforms, CSP) стали становым хребтом ведения деловой деятельности, играя ключевую роль в управлении и оптимизации контента. Рынок этих систем переживает бум, при этом ожидается, что размер глобального рынка CSP-сервисов будет расти с показателем совокупного среднегодового темпа роста (compound annual growth rate, CAGR) в 17,3% с 2023 по 2030 год ( https://www.grandviewresearch.com/industry-analysis/content-services-platforms-market-report ), а рынок ECM, по прогнозам, достигнет к 2030 году объёма в 53,2 миллиарда долларов ( https://www.alliedmarketresearch.com/enterprise-content-management-system-market ).

Данные платформы революционизируют способы ведения оперативной деловой деятельности. Они предоставляют централизованную систему для хранения, управления и обмена цифровым контентом, для расширения сотрудничества и повышения эффективности оперативной деятельности. Последствия этого весьма значительны, от оптимизации рабочих процессов до повышения безопасности контента.

Будущее ECM/CSP-решений видится ещё более захватывающим. Нарождающиеся технологии, такие как искусственный интеллект (ИИ) и машинное обучение (МО), несомненно окажут влияние на формирование CSP-решений завтрашнего дня. Эти технологии могут автоматизировать такие задачи, как разметка контента, его классификация и извлечение, тем самым в ещё большей степени повышая производительность.

Что касается того, когда можно ожидать полномасштабной реализации этой технологии, - то это уже происходит. Переход от традиционных ECM-решений к современным CSP-сервисам уже идёт полным ходом. Коммерческие организации всё чаще внедряют облачные решения, а интеграция искусственного интеллекта и машинного обучения становится всё более распространённой.

Развитие ECM/CSP является свидетельством мощи цифровой трансформации. Поскольку эти платформы продолжают эволюционировать и интегрировать передовые технологии, они, несомненно, станут ещё более неотъемлемой частью деловой деятельности во всём мире. В этом заключается будущее, и это будущее - цифровое.

Дик Вейсингер (Dick Weisinger)

Источник: блог компании Formtek
https://formtek.com/blog/content-services-platforms-a-rising-star/

ИСО: Опубликован технический отчёт ISO/TR 8344:2024 «Вопросы и соображения относительно управления документами в средах структурированных данных»

15 апреля 2024 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации нового технического отчёта ISO/TR 8344:2024 «Информация и документация – Вопросы и соображения относительно управления документами в средах структурированных данных» (Information and documentation - Issues and considerations for managing records in structured data environments) объёмом 69 страниц, см. https://www.iso.org/standard/83138.html и https://www.iso.org/obp/ui/en/#!iso:std:83138:en . Документ подготовлен техническим подкомитетом TC46/SC11 «Управление документами».

О работе над техническим отчётом я уже рассказывала на блоге, см. http://rusrim.blogspot.com/2023/12/isodtr-8344.html .

Во вводной части документа отмечается:

«Возрастает деловая потребность в руководствах и рекомендациях по разработке и внедрению адекватных политик и процедур, помогающих обеспечить обладание документами в средах структурированных данных свойствами аутентичности, надежности, целостности и пригодности к использованию.

Хотя описанная в стандарте ISO 30301 система менеджмента документов может использоваться для обеспечения надлежащего руководства, планирования, поддержки, совершенствования и оценки применительно к документам в средах структурированных данных, существуют также специфические для этих сред вопросы, касающиеся мер и средств контроля и управления над документами и документных процессов и систем, которые необходимо принять во внимание.

Данный документ содержит обзор ландшафта управления документами в средах структурированных данных. В нём указаны соответствующие проблемы и соображения в отношении управлению документами в этих средах.

Основной целевой аудиторией данного документа являются разработчики политик в области данных, проектировщики систем, владельцы деловых систем, специалисты по управлению данными, по базам данных и по управлению документами, совместно работающие над тем, чтобы обеспечить применение в средах структурированных данных надлежащих подходов, процессов, мер и средств управления документами, а также систем управления документами.

… В настоящем документе описаны проблемы и соображения по вопросам управления документами в средах структурированных данных.»

Содержание технического отчёта следующее:

Предисловие
Введение
1. Область применения
2. Нормативная ссылка
3. Термины и определения
4. Основные понятия и концепции
5. Вопросы управления документами в средах структурированных данных
6. Сложности управления документами в средах структурированных данных
Приложение A: Понятия и характеристики структурированных данных
Приложение B: Пример реляционной базы данных
Приложение C: Понятие документа с точки зрения управления и с точки зрения технологий
Приложение D: Примеры из практики управления документами в средах структурированных данных и шаблон их описания
Приложения E-H: Примеры из практики 1-4
Приложение I: «Запроектированный» подход (by design)
Библиография

Источник: сайт  ИСО
https://www.iso.org/standard/83138.html
https://www.iso.org/obp/ui/en/#!iso:std:83138:en

Заявление журнала «Американский Архивист» о порядке использования авторами порождающего (генеративного) ИИ

Данное любопытное заявление издаваемого Обществом американских архивистов (Society of American Archivists, SAA) журнала «Американский Архивист» (American Archivist) было опубликовано на сайте SAA 29 марта 2024 года.

Весной 2023 года редакторы журнала «Американский Архивист» узнали, что авторы журнала использовали платформы искусственного интеллекта (ИИ), такие как ChatGPT, при публикации материалов через портал рецензирования. …

Стремясь воспрепятствовать распространению дезинформации и сохранить целостность журнала, а также серьёзно относясь к нашей ответственности перед авторами, перед членами Общества американских архивистов и читателями, - Редакционная коллегия журнала вводит следующие нормы и рекомендации по использованию ИИ при подготовке публикаций в нашем журнале.

Нормы и рекомендации:

Настоящие нормы и рекомендации представляют собой соглашение об этичном поведении между авторами, размещающими материалы в журнале и на портале, и Редакционной коллегией. Они призваны способствовать прозрачности использования ИИ в процессе проведения исследований и подготовки публикаций. Они не являются строго обязательными и не претендуют на роль юридически обязывающего соглашения между SAA, журналом «Американский Архивист» и предоставляющими контент авторами. Редакционная коллегия будет ежегодно пересматривать данные нормы и рекомендации.

• Ни одна статья не будет окончательно отклонена по одной только причине использования ИИ;
  
  
• Запрещены статьи, содержащие контент, созданный исключительно искусственным интеллектом;
  
  
• Авторы обязаны раскрыть информацию об использовании ИИ при представлении рукописи (обзора или статьи). Такое раскрытие охватывает, помимо прочего, сгенерированный ИИ контент и анализ данных. Для обеспечения максимальной прозрачности такое раскрытие должно появиться в начале статьи - в примечании автора, в аннотации или в заявлении, предшествующим введению.
  
  
• Весь контент – вне зависимости от того, был ли использован ИИ - будет проходить обычные процессы рецензирования (двойное слепое рецензирование специалистами и/или редакционное рецензирование, в зависимости от обстоятельств).
  
  
• Редакционные решения принимаются на основе результатов рецензирования, качества текста и содержания.
  
  
• Редакторы оставляют за собой право запросить у авторов расшифровки выданных ИИ результатов, а также дополнительную информацию о конкретном использовании ИИ, в том числе о том, где и как ИИ использовался в статье.

Принято 16 февраля 2024 года.

Источник: сайт SAA
https://www2.archivists.org/american-archivist/AI-statement