ИСО: Опубликована новая, вторая редакция стандарта ISO 16919:2025 «Требования к органам, проводящим аудит и сертификацию претендентов на статус доверенного электронного хранилища»

В конце марта 2025 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO 16919:2025 «Системы передачи данных и информации о космическом пространстве –Требования к органам, проводящим аудит и сертификацию претендентов на статус доверенного электронного хранилища» (Space data and information transfer systems - Requirements for bodies providing audit and certification of candidate trustworthy digital repositories) объёмом 38 страниц, см. https://www.iso.org/standard/87473.html и https://www.iso.org/obp/ui/en/#!iso:std:87473:en . Она заменила ранее действовавшую редакцию ISO 16919:2014.

Стандарт подготовлен техническим комитетом ИСО TC20/SC13 «Системы передачи данных и информации о космическом пространстве» (Space data and information transfer systems) на основе свободно доступного стандарта CCSDS 652.1-M-3 «Требования к органам, проводящим аудит и сертификацию претендентов на статус доверенного электронного хранилища» (Requirements for Bodies Providing Audit and Certification of Candidate Trustworthy Digital Repositories), см. https://ccsds.org/index.php?gf-download=2025%2F01%2F%2F652x1m3.pdf&form-id=5&field-id=9&hash=97e43c59bde131232e1701ecdd41acfdaf0b02b4f0fedb9600eff31943c65bae (стандарты CCSDS можно также скачать со страницы по адресу https://ccsds.org/publications/allpubs/ ).

В данном случае ИСО лишь предоставляет документу свою обложку. Его настоящим разработчиком является Консультативный комитет по системам хранения данных космических исследований (Consultative Committee for Space Data Systems, CCSDS) – глобальная организация, основной задачей которой является разработка и поддержка стандартов и рекомендаций, связанных с космическими исследованиями. И если стандарты ИСО платные, то идентичные по содержанию документы CCSDS свободно доступны.

Во вводной части документа отмечается:

«В настоящем документе описана рекомендуемая практика CCSDS, на которой может основываться деятельность организаций, проводящих оценку надежности и доверенности электронных хранилищ с использованием последней версии стандарта CCSDS 652.0 (ISO 16363 – о нём см. пост http://rusrim.blogspot.com/2025/03/iso-163632025.html - Н.Х.) и обеспечивающих соответствующую сертификацию. В данном документе специфицированы требования к органам, проводящим аудит и сертификацию электронных хранилищ, на основе показателей, содержащихся в стандарте ISO/IEC 17021-1. Он в первую очередь предназначен для поддержки аккредитации органов, проводящих такую сертификацию.

Мой комментарий:

• ISO 16363:2025 «Системы передачи данных и информации о космическом пространстве - Аудит и сертификация доверенных электронных хранилищ» (Space data and information transfer systems - Audit and certification of trustworthy digital repositories), см. https://www.iso.org/standard/87472.html и https://www.iso.org/obp/ui/en/#!iso:std:87472:en ;
  
  
• ISO/IEC 17021-1:2015 «Оценка соответствия - Требования к органам, проводящим аудит и сертификацию систем менеджмента - Часть 1: Требования» (Conformity assessment - Requirements for bodies providing audit and certification of management systems - Part 1: Requirements, см. https://www.iso.org/standard/61651.html и https://www.iso.org/obp/ui/en/#!iso:std:61651:en ). Стандарт ISO/IEC 17021-1:2015 в России адаптирован как ГОСТ Р ИСО/МЭК 17021-1-2017 «Оценка соответствия. Требования к органам, проводящим аудит и сертификацию систем менеджмента. Часть 1. Требования», см. https://protect.gost.ru/document.aspx?control=7&id=218000 .

Стандарт ISO/IEC 17021-1 содержит основную часть требований к органам, проводящим аудит и сертификацию распространённых типов систем менеджмента. Однако для каждого конкретного типа системы менеджмента требуются специфические дополнительные требования - например, для указания стандарта, на основе которого должен проводиться аудит, и необходимых аудиторам квалификаций.

Настоящий документ содержит (небольшое количество) специфических дополнительных требований к органам, проводящих аудит и сертификацию претендентов на статус доверенного электронного хранилища. Надежность и доверенность (trustworthiness) в данном случае означает, что таким хранилищам можно доверять поддержание в долгосрочной перспективе понятности и пригодности к использованию передаваемой им на ответственное хранение информации, закодированной в цифровой форме.

Для улучшения читаемости нумерация разделов соответствуют нумерации в стандарте ISO/IEC 17021-1. Некоторые подразделы применяются в том виде, в котором приведены в ISO/IEC 17021-1, и они просто обозначены; в противном случае дополнения к подразделам указаны явным образом. В первом случае разделы могут состоять всего из нескольких предложений. Как следствие, настоящий документ следует читать вместе с ISO/IEC 17021-1.

Соответствие содержащиеся в этой рекомендуемой практике CCSDS требованиям в плане компетентности и надежности должно быть продемонстрировано любой организацией или органом, проводящим сертификацию электронных хранилищ.»

Содержание документа следующее:

Предисловие
1. Введение
2. Обзор
3. (зарезервировано)
4. Принципы
5. Общие требования
6. Структурные требования
7. Требования к ресурсам
8. Требования к информации
9. Требования к процессам
10. Требования к органам, проводящим аудит и сертификацию систем менеджмента
Приложение A (нормативное): Требуемые компетенции в области систем менеджмента доверенных электронных хранилищ (trusted digital repository management system, TDRMS)
Приложение B (справочное): Вопросы безопасности, регистрации в SANA (Space Assigned Numbers Authority, https://sanaregistry.org/ - «Агентство по присвоению космических номеров» - подразделение CCSDS, ведущее разного рода реестры – Н.Х.) и патентные вопросы
Приложение C (справочное): Риски проведения аудита органами, не соответствующими данному стандарту

Источник: сайт ИСО
https://www.iso.org/standard/87473.html
https://www.iso.org/obp/ui/en/#!iso:std:87473:en

ИСО: Опубликован новый стандарт ISO 23507:2025 «Подготовка информации, способствующая её долговременному использованию»

11 марта 2025 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации нового стандарта ISO 23507:2025 «Системы передачи данных и информации о космическом пространстве - Подготовка информации, способствующая её долговременному использованию» (Space data and information transfer systems - Information preparation to enable long term use) объёмом 59 страниц основного текста, см. https://www.iso.org/standard/87477.html и https://www.iso.org/obp/ui/en/#!iso:std:87477:en .

Стандарт подготовлен техническим комитетом ИСО TC20/SC13 «Системы передачи данных и информации о космическом пространстве» (Space data and information transfer systems) на основе свободно доступного стандарта CCSDS 653.0-M-1 «Подготовка информации, способствующая её долговременному использованию» (Information Preparation to Enable Long Term Use (IPELTU)) объёмом 68 страниц, см. https://public.ccsds.org/Pubs/653x0m1.pdf . О работе над этим документом я уже рассказывала здесь: http://rusrim.blogspot.com/2023/11/isodis-23507.html

В данном случае ИСО лишь предоставляет документу свою обложку. Его настоящим разработчиком является Консультативный комитет по системам хранения данных космических исследований (Consultative Committee for Space Data Systems, CCSDS) – глобальная организация, основной задачей которой является разработка и поддержка стандартов и рекомендаций, связанных с космическими исследованиями. И если стандарты ИСО платные, то идентичные по содержанию документы CCSDS свободно доступны.

Во вводной части документа отмечается:

«Данный документ имеет дело с различными аспектами проекта, в особенности с используемой терминологией. Многие из этих терминов (с различными определениями) уже используются в целевых сообществах данной практики, например, в профессиональных сообществах космических исследований, общенаучном, медико-биологических наук, библиотечном, управления документами и архивном.

Ожидается, что другие сообщества смогут легко установить соответствие этой терминологии с терминологией, используемой внутри этих сообществ. Отправной точкой послужила эталонная модель открытой архивной информационной системы (OAIS), а данные из множества других источников были использованы для уточнения терминов, используемых в данном стандарте.

Данный документ обеспечивает следующее:

• определяет дополнительную информацию (имеются в виду метаданные – Н.Х.), которую необходимо собрать или улучшить на различных этапах;
  
  
• формирует основу для спецификации планов управления данными (Data Management Plans, DMP);
  
  
• формирует основу для выявления потребности и разработки дополнительных стандартов и руководств по внедрению, в том числе тех, в которых конкретные вопросы рассматриваются более детально.»

Содержание документа следующее:

Предисловие
1. Введение
2. Обзор
3. Виды деятельности, в рамках которых ведётся сбор дополнительной информации (collection groups)
4. Виды дополнительной информации для обеспечения возможности долговременного использования.
5. Концептуальная структура – детали деятельности
Приложение A (справочное): Вопросы безопасности, регистрации в SANA (Space Assigned Numbers Authority, https://sanaregistry.org/ - «Агентство по присвоению космических номеров», подразделение CCSDS, ведущее разного рода реестры – Н.Х.) и патентные вопросы
Приложение В (справочное): Своды знаний по управлению проектами (PMBOK) и по управлению данными (DMBOK)
Приложение С (справочное): Сопоставление концепции деятельности по сбору дополнительной информации с другими концепциями проектной деятельности
Приложение D (справочное): Контрольный список DTOPP (digital target of preservation proforma) по обеспечению сохранности информации о космическом проекте
Приложение E (справочное): Примеры вариантов использования 

Источник: сайт ИСО
https://www.iso.org/standard/87477.html
https://www.iso.org/obp/ui/en/#!iso:std:87477:en

ИСО: Опубликована новая, вторая редакция стандарта ISO 16363:2025 «Аудит и сертификация доверенных электронных хранилищ»

11 марта 2025 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO 16363:2025 «Системы передачи данных и информации о космическом пространстве - Аудит и сертификация доверенных электронных хранилищ» (Space data and information transfer systems - Audit and certification of trustworthy digital repositories) объёмом 77 страниц основного текста, см. https://www.iso.org/standard/87472.html и https://www.iso.org/obp/ui/en/#!iso:std:87472:en .

Стандарт подготовлен техническим комитетом ИСО TC20/SC13 «Системы передачи данных и информации о космическом пространстве» (Space data and information transfer systems) на основе свободно доступного стандарта CCSDS 652.0-M-2 «Аудит и сертификация доверенных электронных хранилищ» (Audit and Certification of Trustworthy Digital Repositories) объёмом 84 страницы, см. https://public.ccsds.org/Pubs/652x0m2.pdf . О работе над этим документом я уже рассказывала здесь: http://rusrim.blogspot.com/2024/12/2-iso-16363.html . Новая редакция заменила ранее действовавший стандарт ISO 16363:2012.

В данном случае ИСО лишь предоставляет документу свою обложку. Его настоящим разработчиком является Консультативный комитет по системам хранения данных космических исследований (Consultative Committee for Space Data Systems, CCSDS) – глобальная организация, основной задачей которой является разработка и поддержка стандартов и рекомендаций, связанных с космическими исследованиями. И если стандарты ИСО платные, то идентичные по содержанию документы CCSDS свободно доступны.

Во вводной части документа отмечается:

«Настоящий документ описывает рекомендуемую практику Консультативного комитета по системам хранения данных космических исследований (Consultative Committee for Space Data Systems, CCSDS), на которой основывается процесс аудита и сертификации, выполняемый с целью оценки возможности доверять электронным (цифровым) хранилищам.

Область применения настоящего документа охватывает весь спектр электронных (цифровых) хранилищ.»

Содержание документа следующее:

Предисловие
1. Введение
2. Обзор критериев аудита и сертификации
3. Инфраструктура организации
4. Управление цифровыми объектами
5. Управление рисками технической инфраструктуры и рисками безопасности
Приложение A (справочное): Вопросы безопасности, регистрации в SANA (Space Assigned Numbers Authority, https://sanaregistry.org/ - «Агентство по присвоению космических номеров» - подразделение CCSDS, ведущее разного рода реестры – Н.Х.) и патентные вопросы
Приложение B (справочное): Библиография

Источник: сайт ИСО
https://www.iso.org/standard/87472.html
https://www.iso.org/obp/ui/en/#!iso:std:87472:en

Новая статья Карен Триветт «Доверенные цифровые хранилища в контексте: Определения, диагнозы и направления совершенствования практики»

В выпускаемом Государственной архивной службой Украины журнале «Архивы Украины» (Архіви України, см. https://au.archives.gov.ua/index.php/au/issue/archive ) в выпуске 1 (334) за январь-март 2023 года ( https://au.archives.gov.ua/index.php/au/334 ) на английском языке опубликована статья профессора Технологического института моды при Университете штата Нью-Йорк (США) Карен Триветт (Karen Trivette – на фото) «Доверенные цифровые хранилища в контексте: Определения, диагнозы и направления совершенствования практики» (Trusted digital repositories in context: definitions, diagnoses, and directions for better practice) объёмом 20 страниц, см. https://au.archives.gov.ua/index.php/au/article/view/194/157 . Статью можно скачать в формате PDF. Эту публикацию рекомендовал сайт профильного технического комитета ИСО TC46/SC11 по управлению документами.

В аннотации на статью сказано следующее:

«Целью данной статьи является определение концепции доверенного цифрового хранилища (trusted digital repository, TDR) не только в широком плане, но также и на более детальном уровне, - а также сопоставить с этой четко сформулированной концепцией усилия специалистов, операции и технологическую инфраструктуру Технологического института моды при Университете штата Нью-Йорк (Fashion Institute of Technology - State University of New York).

Метод/подход: Автор проанализирует не только научную литературу, чтобы лучше понять концепцию доверенного цифрового хранилища (TDR), но также изучит пример операционной и технологической инфраструктуры учебного заведения, с тем, чтобы измерить её способность предоставлять заслуживающие доверия ресурсы и информацию. На последующем этапе исследования будет проведено качественное исследование в форме собеседований с соответствующими специалистами, работающими в выбранном учреждении.

Для полноты контекста следует отметить, что автор выбрала своё «домашнее» учебное заведение не из-за удобства, а, скорее, потому, что это финансируемое штатом учреждение с очень ограниченными ресурсами, включая время, деньги и кадровые ресурсы. Автор хотела выяснить, способна ли скомпрометированная среда обеспечить то, что ожидается от результатов деятельности доверенных хранилищ, и посмотреть, насколько близко к «передовой практике» учебное заведение вело свою деятельность с учетом его ограниченных ресурсов.

Результаты: В данной статье концепция доверенного цифрового хранилища (TDR) рассматривается в более широком контексте - том, что опирается на традиционную архивную практику, отражает инфраструктуру и цели «пилотного» учреждения, а также показывает успехи и проблемы «пилотного» учреждения в плане создания доверенных цифровых хранилищ.

Заключение/Выводы: У доверенности есть своя цена в виде затрачиваемых времени, денег и кадровых ресурсов. При их достаточном количестве (или правильной комбинации) есть возможность обеспечить доверие к цифровым хранилищам и их содержимому, и такие хранилища могут предоставлять данные, информацию, знания или даже мудрость, которые ожидаются или требуются для столь же заслуживающего доверия, надёжного и даже мудрого процесса принятия решений.»

Источник: сайт журнала «Архивы Украины».
https://au.archives.gov.ua/index.php/au/issue/archive
https://au.archives.gov.ua/index.php/au/article/view/194
https://orcid.org/0000-0003-4139-5187

Принципы TRUST для цифровых хранилищ

Данная статья большого коллектива авторов (19 человек!), в числе которых есть ряд известны специалистов, была опубликована 14 мая 2020 года в онлайн-журнале «Научные данные» (Scientific Data, ISSN 2052-4463, том 7, статья 144 (2020)), публикуемом издательством Шпрингер (Springer). В статье речь идёт о доверенных хранилищах научно-исследовательских данных.

Список авторов: Давэй Лин (Dawei Lin), Джонатан Крэбтри (Jonathan Crabtree), Ингрид Дилло (Ingrid Dillo), Роберт Даунс (Robert R. Downs), Рори Эдмундс (Rorie Edmunds), Дэвид Джаретта (David Giaretta), Мариса де Джусти (Marisa De Giusti), Эрве Льорс (Hervé L’Hours), Вим Хьюго (Wim Hugo), Рейна Дженкинс (Reyna Jenkyns), Варша Ходияр (Varsha Khodiyar), Мэриэн Мартони (Maryann E. Martone), Мустафа Мокран (Mustapha Mokrane), Вивек Наваль (Vivek Navale), Джонатан Петтерс (Jonathan Petters), Барбара Сирман (Barbara Sierman), Дина Соколова (Dina V. Sokolova), Мартина Штокхаузе (Martina Stockhause) и Джон Уэстбрук (John Westbrook).

Поскольку информационно-коммуникационные технологии стали в нашем обществе повсеместно распространёнными, мы все больше зависим как от цифровых данных, так и от хранилищ (репозиториев), которые обеспечивают доступ и делают возможным использование таких ресурсов. Хранилища должны завоевать доверие сообществ, которые они намерены обслуживать, и продемонстрировать свою надежность и способность надлежащим образом управлять хранимыми ими данными.

Вслед за проходившим в течение года публичным обсуждением и опираясь на сложившийся в профессиональном сообществе консенсус, несколько заинтересованных сторон, представляющих различные сегменты сообщества цифровых хранилищ, совместно разработали и одобрили набор руководящих принципов для демонстрации надежности цифрового хранилища.

Принципы TRUST (слово «доверие», в которое складываются первые буквы принципов – Transparency (прозрачность), Responsibility (ответственность), User focus (ориентация на пользователей), Sustainability (жизнестойкость) и Technology (технологии)) представляют собой общую основу, которая облегчает для всех заинтересованных сторон обсуждение и внедрение передового опыта в области обеспечения сохранности цифровых данных.

Мой комментарий: Честно говоря, я не слишком доверяю принципам, которые подбираются таким образом, чтобы «сложиться» в красивую аббревиатуру :)

Прозрачность

Все потенциальные пользователи, которым нужно подобрать наиболее подходящее хранилище для конкретного варианта использования, выиграют от возможности легко находить и получать доступ к информации о сфере охвата, целевом сообществе пользователей, политиках и возможностях хранилища данных. Прозрачность в этих вопросах даёт возможность больше узнать о хранилище и оценить его пригодность с точки зрения конкретных требований пользователей, включая вопросы депонирования данных, обеспечения их долговременной сохранности и поиска.

Чтобы соответствовать данному принципу, хранилища должны предоставить, как минимум, четкое описание своей миссии и сферы охвата хранилища. Кроме того, должны быть прозрачно освещены следующие вопросы:

• Условия использования, как для хранилищ, так и для фондов данных (data holdings);


• Минимальный сроки сохранения цифровых данных для фондов данных;


• Сведения о всех соответствующих дополнительных функциональных возможностях или услугах, например, способность ответственно курировать «чувствительные» данные.

Чёткое информирование о политиках хранилищ и, в частности, об условиях их использования фондами данных, осведомляет пользователей обо всех ограничениях, которые могут ограничивать использование ими находящихся в хранилище данных. Аналогичным образом, возможность легко оценить, способно ли хранилище ответственным образом обрабатывать конфиденциальные данные, также будет влиять на их решение о том, использовать ли имеющиеся сервисы данных.

Ответственность

Доверенные хранилища (в оригинале игра слов: TRUSTworthy, помимо «заслуживающие доверия», также означает «соответствующие принципам TRUST» - Н.Х.) берут на себя ответственность за курирование хранимых ими данных и за обслуживание своего целевого сообщества пользователей. Ответственное отношение демонстрируется:

• Соблюдением стандартов метаданных и курирования целевого сообщества, а также обеспечением курирования фондов данных, включающим, например, техническую валидацию, документацию, контроль качества, защиту аутентичности и долговременную живучесть.


• Предоставление сервисов данных, например, портальных и машинных интерфейсов, скачивание данных или обработка данных на сервере.


• Управление правами интеллектуальной собственности производителей данных, защита конфиденциальных информационных ресурсов, а также обеспечение безопасности системы и её контента.

Пользователи хранилища должны быть уверены в том, что депонентам данных предлагается предоставить все метаданные в соответствии с соответствующими нормами сообщества, поскольку это значительно повышает возможность обнаружения и полезность данных. Знание того, что хранилище проверяет целостность имеющихся данных и метаданных, даёт потенциальным пользователям уверенность в том, что фонды данных с большей вероятностью будут интероперабельны с другими соответствующими наборами данных. И депоненты, и пользователи должны быть уверены в том, что данные будут оставаться доступными с течением времени, и, следовательно, их можно будет цитировать и на них можно будет ссылаться в научных публикациях.

Ответственность может быть прояснена с помощью определённых правовых средств (право на долговременную сохранность), и может принимать форму добровольного соблюдения определённых норм (этических стандартов).

Ориентация на пользователей

Доверенное хранилище должно быть ориентировано на обслуживание целевого сообщества пользователей. У каждого сообщества пользователей вполне могут иметь свои ожидания в отношении им хранилища, отчасти в зависимости от зрелости сообщества в вопросах управления данными и обмена ими. Доверенное хранилище «встраивается» в практику работы с данными целевого сообщества пользователей, и может поэтому реагировать на меняющиеся требования сообщества. Мы трактуем понятие «сообщество пользователей» широко, поскольку сообщества могут включать пользователей, размещающих или получающих доступ к данным; тех, кто обращается к фондам данных программно; и косвенно заинтересованные стороны, такие как финансирующие организации, редакторы журналов, другие институциональные партнёры или граждане.

Использование и повторное использование научно-исследовательских данных является неотъемлемой частью научного процесса, и поэтому доверенные хранилища должны обеспечивать своему сообществу возможность находить, изучать и понимать свои фонды данных в плане их потенциального (повторного) использования. Хранилища должны поощрять пользователей к полному описанию данных во время депонирования, и облегчать обратную связь по всем проблемам, связанным с данными (таким, например, как качество или пригодность для использования), которые могут всплыть после того, как данные станут доступными.

Хранилища играют важнейшую роль в применении и обеспечении соблюдения норм и стандартов целевого сообщества пользователей, поскольку соответствие нормам и стандартам облегчает интероперабельность и повторное использование данных. Стандарты данных, соблюдение которых доверенные хранилища должны обеспечивать, включают схему метаданных, файловые форматы данных, контролируемые словари, онтологии и иную семантику, если таковая существуют в сообществе пользователей.

Доверенное хранилище может продемонстрировать приверженность этому принципу посредством:

• Внедрения соответствующих метрик данных и предоставления их пользователям;


• Предоставления (или содействия разработке) каталогов сообщества, облегчающих обнаружение данных;


• Мониторинга и выявления эволюционирующих ожиданий сообщества и реагирования по мере необходимости с целью удовлетворения этих меняющихся потребностей.

Жизнестойкость

Обеспечение жизнестойкости доверенного хранилища необходимо для обеспечения текущим и будущим сообществам пользователей бесперебойного доступа к их ценным фондам данных. Непрерывный доступ к данным зависит от способности хранилища предоставлять услуги во времени, и реагировать на меняющиеся требования целевого сообщества пользователей посредством предоставления новых или усовершенствованных услуг.

Доверенное хранилище может продемонстрировать жизнестойкость своих фондов посредством:

• Успешного планирования действий по смягчению рисков, обеспечению непрерывности деловой деятельности, восстановления после катастроф и преемственности;


• Гарантированного финансирования, обеспечивающего непрерывное использование и сохранение желаемых свойств ресурсов данных, обеспечение сохранности и распространение которые было поручено хранилищу;


• Обеспечения стратегического управления вопросами необходимой долговременной сохранности данных, с тем, чтобы ресурсы данных оставались обнаруживаемыми, доступными и пригодными для использования в будущем.

Технологии

Для поддержки безопасных, стабильных и надёжных услуг, хранилище опирается на взаимодействие людей, процессов и технологий. Его деятельность и функции поддерживаются программным обеспечением, аппаратурой и техническими сервисами. Совместно они предоставляют инструменты, поддерживающие реализацию принципов TRUST.

Доверенное хранилище может продемонстрировать пригодность своих технологических возможностей посредством:

• Внедрения соответствующих и надлежащих стандартов, инструментов и технологий для управления данными и их курирования;


• Наличия планов и реализованных механизмов для предотвращения, обнаружения и реагирования на угрозы информационной и физической безопасности.

Источник: сайт онлайн-журнала «Научные данные» (Scientific Data)
https://www.nature.com/articles/s41597-020-0486-7

Роберт Блатт: Надежны ли технологии облачного хранения для документов, критически-важных для выполнения организацией её миссии? Часть 2

(Окончание, начало см. http://rusrim.blogspot.com/2020/03/1_30.html )

Сведения о надёжности облачных технологий должны быть актуальными, чтобы иметь ценность

Данная в статье ссылка на публикацию американского Национального института стандартов и технологий (NIST) старше 7 лет, и она устарела вместе с большинством цитат и ссылок периода с 2013 по 2018 год, причем большинство из них относятся к периоду 2012–2015 годов (а некоторые - к 1998 году). Это временные рамки, когда облачные технологии только начали становиться популярными, прежде, чем конечный пользователь осознал опасности, связанные с использованием облачных технологий для всего, что не является общедоступным и некритичным для деловой деятельности коммерческих и государственных органов и учреждений в целом. По этой очень простой причине в мире сейчас НЕТ ГОСУДАРСТВЕННЫХ ОРГАНОВ, которые бы размещали критически-важную для их миссии или секретную информацию в публичном облаке, поэтому, хотя эта статья интересна, в ней представлено ОЧЕНЬ искаженное представление о текущей ситуации.

Мой комментарий: Как говорим мы, русские, «ловкость рук, и никакого мошенничества» :) Сначала автор говорит об облаке вообще (как и Дюранти в своей статье!), но, когда дело доходит до весьма ответственного вывода, подстраховывается, вставляя уже «публичное облако» (вдобавок к секретной информации, о которой вообще до этого речь не шла) – что, мягко говоря, совсем не одно и то же!

Я уже не говорю о такой «мелочи», что, как легко убедиться, высокоуровневые указания NIST даже 20-30 летней давности в принципе не так уж сильно отличаются от аналогичных свежих рекомендаций. Скорее, меняются предпочтительные способы реализации этих рекомендаций при использовании конкретных технологий…

Другие ссылки на OGM (? - Н.Х.), OASIS (? - Н.Х.), InerPARES (правильно: InterPARES - Н.Х.), PaaST основаны на концепции открытого исходного кода, которая делает эти типы атак более распространенными, способствует увеличению их масштабов и частоты, поскольку эти инструменты облегчают злоумышленникам поиск способов взлома этих технологий.

Мой комментарий: А вот некоторые считают, что открытый код позволяет «всем миром» эффективнее выжигать уязвимости, и что в него труднее прятать «закладки» … Известно, что в проприетарных решениях тоже частенько используются блоки открытого кода. Подобные заявления г-н Блатта наводят меня на мысль о том, что он определённо что-то продаёт, и это что-то конкурирует с программным обеспечением на основе открытого кода :)

Расширение технических требований и внедрение заслуживающих доверия решений

Как человек, который тратит немало времени на работу в мире цифровой криминалистики, а также на взаимодействие с государственными органами и учреждениями, внедряющими заслуживающие доверия технологии управления документами, - я принимал участие во многих расследованиях и попытках восстановления данных, в основном безуспешных.

Это ключевые факторы, приведшие к тому, что отрасль управления контентом / документами очень напряжённо занимается разработкой и расширением технических требований, связанных с проектированием, разработкой и внедрением доверенных (trustworthy) решений, защищающих данные с помощью таких инструментов, как модели «Доверенных подсистем хранения» (Trusted storage subsystem, TSS), и, что более важно, не допускающих хранение критически-важных или конфиденциальных данных вне контроля организации как ответственного хранителя. Данные, которые раскрываются для  общественности, обычно размещаются в облачных сервисах, поскольку эти данные легко могут быть заменены без потери контроля над контентом, и тем самым предотвращается потери верности данных.

Я надеюсь, что вся эта информация поможет всем лучше понять упомянутую  исследовательскую статью и проблемы, связанные с принятием решений о том, где размещать критически-важные для миссии организации документы. Хотя эта статья хорошо написана, следует отметить, что большая часть содержащихся в ней сведений устарела и не отражает сегодняшние условия.

Я приветствую дальнейшее обсуждение этой темы, поскольку это очень важный вопрос, который все организации должны принять во внимание до того, как разместят свои критически-важные документы вне своего контроля как ответственного хранителя, и передадут их под контроль внешней организации или службы.

Эта информация, связанная с защитой критически-важных документов, будет дополнительно обсуждаться на предстоящей конференции IIMC, и в следующей моей статье будут сообщены дополнительные сведения о различных компонентах и соображениях, связанных доверенными документными средами (trustworthy records environments).

Если кого-то заинтересован в том, чтобы познакомиться с упомянутой статьёй [Дюранти], опубликованной несколько лет тому назад, свяжитесь со мной, и я буду рад поделиться дополнительной информацией в электронном виде и / или во время предстоящей конференции IIMC.
   
Об авторе: Роберт Блатт

Автор данной статьи, Роберт М. Блатт (Robert M. Blatt), является основателем консультационной фирмы EID (исторически эта аббревиатура произошла от Electronic Image Designers – «Проектировщики систем управления электронными графическими образами» - Н.Х.) и предоставляет экспертные знания в области «технологий» клиентам EID, которые находятся в процессе «утрамбовывания» своего контента в общекорпоративные электронные системы управления контентом (ECM).

Роберт пользуется большим авторитетом в отрасли управления контентом за многолетнюю работу в американских и международных организациях по стандартизации. Он возглавлял многие усилия по разработке стандартов в ECM-отрасли, в том числе, в последнее время, передовых практик и стандартов, связанных с доверенными ECM-системами, которые дают определение того, что значит иметь доверенную систему управления контентом. Уверенность в том, что то, что Вы получаете из системы именно то, что в неё положили, в конце концов, часто является важнейшей часть головоломки обеспечения управления электронным контентом.

Мой комментарий: В этом резюме какие-либо степени и авторитетные профессиональные сертификации г-на Блатта не упоминаются …

Роберт Блатт (Robert Blatt)

Мой комментарий: Сопоставьте с высказывания Блатта 2020 года выводы, сделанные в статье Дюранти 2016 года:

«Как будут выглядеть заслуживающие доверия системы обеспечения долговременной сохранности (trustworthy preservation systems) в будущем? Вероятно, они не будут похожи на системы в технологическом смысле этого слова. Скорее, они будут выглядеть как набор взаимосвязанных частей, образующих комплексное целое, стратегическое управление которым, как можно надеяться, будет осуществляться на основе концепции, включающей принципы, правила и процедуры. Это будут гибридные решения - включающие облачные сервисы и собственные сервисы организации; но будет ли они согласованными, интегрированными, взаимозависимыми и интероперабельными, жизнестойкими, высокодоступными и надежными, будет зависеть от будущих технологических разработок и [ожидаемых – Н.Х.] экономических преимуществ.

Доверие к управлению документами и к обеспечению их долговременной сохранности в этих системах будет напрямую связано с надежностью поставщиков услуг и безопасностью облачной архитектуры, инфраструктуры и её операций. Будут ли подобные системы рассматриваться как эффективные решения для управления документами и обеспечения их долговременной сохранности, будет зависеть от способности поставщиков облачных услуг взаимодействовать как по вертикали (когда специализированные поставщики услуг полагаются на более крупных поставщиков), так и по горизонтали, в виде федерации, поддерживающей не только наличие и доступность (availability) посредством избыточности, но и универсальный доступ и все виды обмена информацией. Что касается аутентичности материалов, которые мы будем доверять этим системам, то можно лишь пожелать, чтобы продолжающиеся международные и междисциплинарные исследования смогли обеспечить, чтобы тема аутентичности оставалась в центре внимания.»

Источник: сайт EID
https://eid-documentmanagement.com/are-cloud-storage-technologies-reliable-for-mission-critical-records/

Роберт Блатт: Надежны ли технологии облачного хранения для документов, критически-важных для выполнения организацией её миссии? Часть 1

66-летний Роберт Блатт (Robert Michael Blatt – на фото) – достаточно известный американский консультант, который также руководил рядом проектов в техническом комитете Международной организации по стандартизации (ИСО) TC171. Моё отношение к нему, скажем так, сложное,- но я стараюсь не смешивать личное и профессиональное, поэтому и публикую перевод данной его заметки, целенаправленно написанной для того, чтобы задеть сообщество архивистов и специалистов по управлению документами. Думаю, имеет смысл внимательно посмотреть на аргументы оппонента, вне зависимости от того, как он к нашей профессии относится :) Выложенные на моём блоге переводы других заметок Блатта можно найти здесь http://rusrim.blogspot.com/2019/05/blog-post.html и здесь http://rusrim.blogspot.com/2012/06/tc171.html .

Недавно исследовательская статья Лючианы Дюранти (Luciana Duranti) под названием «Обеспечение долговременной сохранности в Облаке: Как будут выглядеть в будущем заслуживающие доверия системы обеспечения сохранности?» (Preservation in the Cloud: What will a Trustworthy Preservation Systems Look Like in the Future?) была распространен среди членов рабочей группы ISO/TC171/SC2/WG11 «заслуживающая доверия подсистема хранения» (Trustworthy Storage Sub-system).

Мой комментарий: Статья Лючианы Дюранти, классика современной архивной науки и бессменного идейного лидера международного проекта InterPARES, доступна по адресу: https://www.researchgate.net/publication/301490516_Building_a_Trustworthy_System_What_will_Trustworthy_Systems_Look_Like_in_the_Future . Она была опубликована в январе 2016 года как глава в книге под редакцией Филиппа Бантина (Philip Bantin) «Заслуживающие доверия системы для цифровых объектов: Теория и практика» (Trustworthy Systems for Digital Objects: Theory and Practice), вышедшей в издательстве Lanham, MD: Rowman & Littlefield.

Чтобы дать некоторое представление о содержании статьи Дюранти, перечислю её подзаголовки:

Облако
Политики
Договорные соглашения

• Право собственности на данные
• Доступность, извлечение и использование
• Отслеживание сроков хранения данных и выполнение установленных действий по их истечении
• Хранение и обеспечение долговременной сохранности данных
• Безопасность
• Локализация и передача данных
• Прекращение оказания услуги, прекращение контракта

Обеспечение долговременной сохранности как услуга в области доверия (Preservation as a Service for Trust, PaaST)
Выводы

Упомянутая рабочая группа ИСО с 2014 года работает над проектом стандарта ISO 18759, который первоначально назывался «Доверенные функциональные возможности WORM-систем однократной записи и технические требования к ним» (Trusted WORM Functionality and Technical Requirements), а в настоящее время носит название «Управление контентом - Функциональные и технические требования к доверенным подсистемам хранения» (Document management - Trusted storage sub-system (TSS) functional and technical requirements), см. https://www.iso.org/standard/68472.html .

Проект, которым первые несколько лет руководил сам Блатт, оказался настолько «удачным», что – беспрецедентный случай! - даже несмотря на положительный итог голосования по финальному проекту международного стандарта, технический комитет пока что не решается его опубликовать.

Хотя эта статья очень хорошо написана, многие проблемы в ней не рассмотрены, и я, как эксперт по судебной-криминалистической экспертизе и как человек, который планировал, разрабатывал и внедрял заслуживающие доверия решения для хранения данных в течение МНОГИХ лет, вынужден поделиться следующей информацией с сообществом Международного института муниципальных клерков (International Institute of Municipal Clerks, IIMC) в попытке обеспечить распространение всех относящихся к вопросу сведений, - что, как можно надеяться, поможет снизить объемы взломанной, слитой и заблокированной вымогателями информации. Поэтому ниже приводятся сведения, которая НЕ отражаются и не обсуждаются в упомянутой статье, главным образом ввиду того, что когда эта статья была подготовлена, у нас не было того уровня «атак на документы», который мы наблюдаем сегодня.

Мой комментарий: В реальном мире Роберт Блатт также не страдает излишней скромностью :)

Интересная точка зрения на киберпреступность в прошлом

Как отмечалось выше, статья Дюранти очень интересна и хорошо написана, однако сильно устарела, и особенно это видно при анализе цитат и ссылок.

Мой комментарий: Когда спорить по существу трудно, можно, конечно уцепиться за то, что ссылки в статье 2016 года устарели. Любой стоящий своих степеней и званий специалист, однако, знает, что информация устаревает по-разному – сведения технического плана нередко полностью устаревают за 5 лет ввиду смены поколений технологий; в то время, как теоретические наработки могут сохранять актуальность веками. Дюранти, как известно, как раз теоретик архивной науки.

Эта статья содержит ценные сведения, связанные с хранением и управлением информацией, которая НЕ является критически-важной, так что организация не понесёт непоправимый ущерб, если эти данные будут взломаны, зашифрованы преступниками либо искажены вследствие некорректной работы служб репликации, несанкционированного доступа или атак криптовымогателей.

Использование технологий облачного хранения хорошо подходит для информации, которой необходимо обмениваться ВНЕ организации, но не обеспечивает необходимого уровня защиты критически для миссии организации и относящейся к её деловой деятельности информации, необходимой для обеспечения непрерывности деловой деятельности; а также не является достаточным для защиты контента, который считается конфиденциальным или персональным.

Мой комментарий: Если верить автору, то облачные системы годятся лишь для хранения и распространений общедоступной открытой информации, не содержащей персональных данных. Интересно, как на подобную точку зрения смотрят поставщики облачных решений, и особенно услуг частного облака?

Рост числа атак криптовымогателей на облачные хранилища в 2019 году

Как отмечало в конце прошлого года новостное агентство CNN, 140 местных органов власти только в одних США, полицейские участки и больницы также стали заложниками в результате атак криптовымогателей, многие из которых включали «двойной куш» (double-dipping), когда после уплаты первоначального выкупа злоумышленник требовал дополнительные суммы за то, чтобы не раскрывать выпуск и не распространять данные, собранные до шифрования носителей и данных и т.п. Так что представьте себе степень этих проблем в мировом масштабе.

Число атак криптовымогателей значительно выросло за последние 2 года

1. За последние 2 года значительно выросло число атак криптовымогателей, в том числе на облачные технологии хранения. Специализированным государственным органам в сфере кибербезопасности (в США они называются «сертифицированные аудиторы информационных систем» - Certified Information Systems Auditor, CISA) и частным организациям, таким как EMSISOFT, ITRC и т.д. известны, в частности, следующие варианты:

• CryptoLocker – старейшая вариация, известна с 2013 года;


• WannaCry – наиболее широко известный криптовымогатель, заразивший 125 тысяч организаций в более чем 150 странах; известны такие его подвиды как WannaCry, Wcry, WanaCryptOr и др.


• Cerber – нацелен на Office 365 !!! Распространяется через фишинг, и уже пострадали миллионы пользователей!!


• Crysis – шифрует файлы на жёстких и съёмных дисках, распространяется через присоединённые к электронным письмам файлы с «двойными» расширениями;


• CryptoWall – включает подвиды CryptoDefense, CryptoBit, CryptoWall 2.0, и др.


• GoldenEye – похож на Petya, распространяется посредством «социальной инженерии» (т.е. «развода» - Н.Х.) ;


• Jigsaw – самый разрушительный криптовымогатель, шифрующий постепенно уничтожающий данные;


• Locky – блокирует компьютер и не даёт возможности его использовать;


• Прочие, в число которых входят: Petya, NotPetya, TeslaCrypt, TorrentLocker, ZCryptor, и др.

Ущерб от кибератак в США превысил 7,5 миллиардов долларов в 2010 году (Некий автор буквально только что громко требовал актуальных данных. Несомненно, когда дело касается лично его публикаций, 2010 год – это как вчера было :) – Н.Х.).

2. На данный момент действующие в сфере безопасности организации, такие, как EMSISOFT и ITRC, а также различные органы исполнительной власти США, оценивают ущерб от этих атак в более чем 7,5 миллиардов долларов.

3. В той или иной степени были взломаны все поставщики облачных услуг, такие как Amazon и Microsoft, - а также различные кредитные агентства (Experian, Equifax, Transunion), когда использовали облачные технологии. В ряде случаев, освещавшихся в последнее время в прессе, имели место неоднократные взломы

4. Office 365 стал одной из основных целей для направленного фишинга (spear-phishing) и фишинга в электронной почте. Эти атаки стали довольно успешными и позволили злоумышленникам получить доступ к многочисленным учетным записям, что открыло им доступ к облачному хранилищу документов. Хуже всего то, что отсутствует точный и надежный аудит и/или журналы аудита, которые можно было бы проанализировать.

5. Службы репликации осуществляют копирование на уровне байтов и томов, а не на «уровне документов». Таким образом, любые ошибки в источнике реплицируются. Последствия несанкционированного доступа и/или модификации / удаления также реплицируются, что приводит к потере данных и документов.

Мой комментарий: Вы увидели в этой, по-своему довольно любопытной информации что-то такое, о чём Вы в 2016 году слыхом не слыхивали? Лично я – нет. И я не понимаю, каким образом распространение определённого вида атак (к которым, между прочим, уязвимы не только облачные системы) принижает значение высокоуровневых положений, сформулированных в статье Дюранти.

(Окончание следует, см. http://rusrim.blogspot.com/2020/03/2_31.html )

Роберт Блатт (Robert Blatt)

Источник: сайт EID
https://eid-documentmanagement.com/are-cloud-storage-technologies-reliable-for-mission-critical-records/

США: Опубликована новая редакция авторитетного стандарта по защите документов NFPA 232

В США не так много уважаемых стандартов в сфере управления документами, и одним из них является стандарт американской Национальной ассоциации по защите от пожаров (National Fire Protection Association, NFPA) NFPA 232-2012 «Стандарт по обеспечению защиты документов» (Standard for the Protection of Records, http://www.nfpa.org/codes-and-standards/all-codes-and-standards/list-of-codes-and-standards?mode=code&code=232 ). Естественно, в стандарте в первую очередь делается акцент на обеспечение защиты документов от пожаров, когда они могут пострадать как от огня и дыма, так и от воды и других средств тушения..

До сих пор действовала редакция 2012 года. 18 июня 2016 года известный американский специалист Хью Смит (Hugh Smith) на международном форуме (листе рассылки) специалистов по управлению документами RECMGMT-L порадовал коллег (см. https://lists.ufl.edu/cgi-bin/wa?A2=ind1606C&L=RECMGMT-L&P=R1852&D=0 ) информацией о том, что на сайте NFPA в настоящий момент свободно доступна новая редакция стандарта 2017 года (при условии бесплатной регистрации на сайте), см. ссылку на странице http://www.nfpa.org/codes-and-standards/all-codes-and-standards/list-of-codes-and-standards?mode=code&code=232 . 2 июня 2016 года стандарт был одобрен в качестве американского национального стандарта.

Хью Смит отметил, что в стандарте NFPA 232-2017 дано новое определение понятия «электронный документ»:

3.2.14.1.1 Electronic Record.  A record on information technology equipment or communications equipment (as defined by NFPA 75) or on off-line storage media such as computer tape, magnetic disk drives, optical disks and flash drives.  

3.2.14.1.1 Электронный документ. Документ на ИКТ-оборудовании (согласно определению в стандарте NFPA 75) или на автономном носителе информации, таком как компьютерная лента, магнитный диск, оптический диск или флеш-накопитель.

3.3.14.1.2 Hardcopy Record. A record whose information or value is usable without the aid of support equipment or tools. Examples include paper records and art.

3.3.14.1.2 Неэлектронный документ. Документ, содержащаяся в котором информация или иная ценность может использоваться без помощи вспомогательного оборудования и инструментов. Примерами могут служить  бумажные документы и произведения искусства.

Как отмечается в самом документе, данный стандарт содержит минимальные требования в отношении защиты документов от угроз, связанных с пожарами, к оборудованию для защиты документов,  а также к зданиям и помещениям.

Он устанавливает требования для следующих категорий сред хранения документов, в порядке возрастающей толерантности к риску и уменьшения требований к защите:

• Высокозащищённые хранилища (vaults)


• Архивы;


• Комнаты для хранения документов (file room);


• Секционированные центры хранения документации;


• Не разделенные на секции центры хранения документации.

Данный стандарт также содержит требования к применению упомянутых в нём типов оборудования для защиты документов.

Содержание стандарта NFPA 232-2017 следующее:

Глава 1. Общие вопросы
Глава 2. Литература
Глава 3. Определения
Глава 4. Общие требования
Глава 5. Строительное оборудование и здания
Глава 6. Стандартные защищённые хранилища документов
Глава 7. Архивы
Глава 8. Комнаты для хранения дел и документов
Глава 9. Документы
Глава 10. Оборудование для защиты документов
Приложение A: Пояснения
Приложение В: Характеристики пожаров
Приложение С: Спасение поврежденных водой библиотечных материалов
Приложение D: Борьба с пожарами
Приложение E: Системы предупреждения и тушения пожаров
Приложение F: Информационные ссылки
Индекс

Источник: лист рассылки RECMGMT-L / сайт NFPA
https://lists.ufl.edu/cgi-bin/wa?A2=ind1606C&L=RECMGMT-L&P=R1852&D=0
http://www.nfpa.org/codes-and-standards/all-codes-and-standards/list-of-codes-and-standards?mode=code&code=232

ИСО: Хранилище электронных документов доверенной третьей стороны

Данная заметка была недавно опубликована на новом сайте (см. https://committee.iso.org/tc46sc11 ) технического подкомитета TC46/SC11 «Управление документами и архивами» Международной организации по стандартизации (ИСО).

Документ ISO/TR 17068:2012 «Информация и документация – Хранилище электронных документов доверенной третьей стороны» (Information and documentation - Trusted third party repository for digital records,  о нём см. также пост на блоге http://rusrim.blogspot.ru/2012/10/blog-post_29.html - Н.Х.) первоначально был разработан как Технический отчет. Сейчас он пересматривается с целью его преобразования в международный стандарт.

Координатор (convenor) рабочей группы WG7 «Обеспечение долговременной сохранности электронных документов» Пол Маллон (Paul Mullon, ЮАР) и его заместитель д-р Жасмин Янг (Jasmine Jang, Южная Корея)

Поскольку электронные документы являются неизбежным побочным продуктом разного рода деловой деятельности в электронных системах, то имеется растущая потребность в обеспечении аутентичности электронных документов и их допустимости в качестве доказательств в течение всего срока их хранения. На международном уровне существует консенсус относительно того, что нельзя отказывать электронным документам в правовом признании лишь на том основании, что они представлены в электронном формате. Несмотря на это, организации может быть очень сложно доказать, что её электронные документы являются аутентичными и что они на протяжении длительного периода времени могут выступать в качестве надёжного  свидетельства деловых операций. Во многих случаях невозможно гарантировать, что электронные документы, управление которыми осуществляется в документных системах организации, будут приняты в качестве надлежащих доказательств. Как следствие, растет потребность в услугах, где надлежащие качества электронных документов обеспечиваются нейтральными третьими сторонами.

Для того, чтобы защитить юридическую значимость электронных документов в случае их оспаривания в ходе деловых споров в тот период времени, когда их необходимо хранить с целью исполнения законодательно-нормативных требований, важно обеспечить непрерывное сохранение ими аутентичности, надёжности и целостности.

Одним из методов защиты электронных документов является использование хранилища доверенной третьей стороны (Trusted Third Party Repository, TTPR). Третья сторона является независимым лицом или организацией, стоящими в стороне от непосредственных интересов других сторон. Третья сторона выступает в качестве посредника при защищенном обмене электронной информацией между двумя сторонами. Общество и государственные органы должны быть в состоянии доверять третьей стороне.

Во избежание каких-либо осложнений, которые могут возникнуть во время электронных транзакций, доверенная третья сторона использует надлежащие системы и средства, и следует в своей деятельности четко определенным процедурам, основанным на принципах и руководствах по защищённому управлению электронными документами. В ходе этих процессов доверенная третья сторона обеспечивает аутентичность, надёжность, целостность и пригодность к использованию электронных документов в течение предусмотренного контрактом периода оказания услуг. Кроме того, доверенная третья сторона может выступать в качестве официального источника электронных документов, принимаемых в качестве доказательств от третьего лица в случае возникновения спора между сторонами, затрагивающего их документы.

Подготовленный проект международного стандарта устанавливает требования к хранилищу доверенной третьей стороны (TTPR), поддерживающие оказание услуг авторизованного хранителя в целях обеспечения доказуемой целостности и аутентичности электронных документов клиентов и выполнения функции источника достоверных доказательств.

Источник: сайт технического подкомитета TC46/SC11
https://committee.iso.org/sites/tc46sc11/home/projects/ongoing/ttpr-promote-to-standard.html

Австралия: Новое хранилище Национальных Архивов поможет решить в столице проблему хранения государственных бумажных документов

Данная заметка Адриен Френсис (Adrienne Francis) была опубликована 26 февраля 2015 года на сайте компании ABC News.

Так, возможно, будет выглядеть здание Хранилища Национальных Архивов (National Archives Preservation Facility, NAPF), которое планируется построить для Национальных Архивов Австралии в столице - Канберре (Canberra). (Фото: Национальные Архивы Австралии).

Имеющиеся у Национальных Архивов Австралии (National Archives of Australia, NAA) хранилища скоро могут быть заполнены, однако запланированная постройка нового специально спроектированного здания в Канберре поможет облегчить нагрузку.

Национальные Архивы в настоящее время в хранилищах по всей стране - в том числе в хранилищах Митчелл (Mitchell), Гринуэй (Greenaway) и Паркс (Parkes) в Канберре - хранят около 380 погонных километров документов. Как отметил генеральный директор Национальных Архивов Дэвид Фрикер (David Fricker), в ближайшие годы на постоянное архивное хранение должны быть переданы ещё 250 погонных километров документов.

 «Это насущная необходимость. Нельзя сказать, что мы забросили данную проблему, позволив ей перейти в кризис, - но это срочная, реальная и насущная необходимость, поэтому мы рады достигнутому сегодня прогрессу в вопросе строительства нового хранилища», сказал Фрикер.

Австралия собирается инвестировать в течение 30 лет 400 миллионов австралийских долларов (примерно 310 млн. долларов США – Н.Х.) в постройку, оснащение, аренду и техническую поддержку нового здания для архивных документов.

Выполнение проекта строительства нового хранилища для Национальных Архивов на улице Викерс (Vickers Street) в районе Митчел (Mitchell) поручено компании Doma Group.

Директор компании Doma Group Дома Юре Домазет (Jure Domazet) и генеральный директор Национальных Архивов Дэвид Фрикер объявляют о планах строительства нового хранилища (Фото: ABC News/ Adrienne Francis)

Юре Домазет сообщил, что его компания планирует завершить строительство нового здания к марту 2017 года. «Это здание - красивый ящик, это действительно так и есть», сказал г-н Домазет. «Самый эффективный способ обеспечить максимальные площади для архивного хранения - сделать пространство максимально прямоугольным и квадратным».

Новое защищённое здание предназначено для обеспечения долговременной сохранности документов и не будет доступно для публики.

«Начиная с 2016 года, большинство документов будет храниться в электронном виде, однако нам по-прежнему нужно будет обеспечивать сохранность всех документов, которые были созданы и хранились в бумажном виде до 2015 года», отметил Фрикер. «Гарантируя выполнение нами своих обязательств по обеспечению долговременной сохранности и доступности документов, это новое здание определенно даст нам возможности, позволяющие до 2030 года обеспечить хранение фондов аналоговых документов, которые являются частью Национальных Архивов».

Адриен Френсис (Adrienne Francis)

Источник: сайт ABC News
http://www.abc.net.au/news/2015-02-26/national-archives-of-australia-new-storage-facility/6265174 

Австралийский опыт проведения самооценки электронного хранилища учреждения на соответствие требованиям к доверенным хранилищам стандарта ISO 16363-2012

Статья Бернадетт Хоутон (Bernadette Houghton – на фото) из австралийского университета Дикин (Deakin University) под названием "Trustworthiness: Self-assessment of an Institutional Repository against ISO 16363-2012” была опубликована в электронном журнале D-Lib Magazine (том 21, номер 3-4 за март-апрель 2015 года, http://www.dlib.org/dlib/march15/houghton/03houghton.html ). Вниманию читателей предлагается краткая «выжимка» из неё, отражающая основные результаты.

О международном стандарте ISO 16363:2012 «Системы передачи данных и информации о космическом пространстве – Аудит и сертификация доверенных электронных хранилищ» (Space data and information transfer systems - Audit and certification of trustworthy digital repositories) см. также http://rusrim.blogspot.ru/2012/02/iso-163632012.html .

Сегодня почти все создаваемые нами документы и результаты практически всех научно-исследовательских проектов являются электронными объектами. Не все их нужно хранить постоянно, однако представляющие научную или историческую ценность материалы должны быть сохранены для будущих поколений. Обеспечение долговременной сохранности электронных объектов является более сложным делом, чем сохранение материалов на бумаге: оборудование устаревает, новое программное обеспечение заменяет старое, носители информации деградируют.

В последние годы был достигнут значительный прогресс в разработке инструментов и стандартов по обеспечению долговременной сохранности электронных носителей информации, в частности, в контексте электронных хранилищ учреждений. Пока что наиболее широко распространенным стандартом является документ под названием «Аудит и сертификация доверенных хранилищ: Критерии и контрольный список» (Trustworthy Repositories Audit and Certification: Criteria and Checklist), сокращенно TRAC, на основе которого был разработан международный стандарт ISO 16363-2012.

Библиотека университета Дикин (Deakin University Library) провела самооценку на соответствие критериям стандарта ISO 16363. Квинтэссецией этого опыта стала настоящая статья, в которой дана оценка стандарту ISO 16363, описан процесс самооценки и приведены рекомендации для всех тех, кто хотел бы осуществить аналогичные проекты.

... В целом, самооценка оказалась трудоемким и ресурсоемким, но полезным мероприятием, в хоте которого был выявлен ряд слабых мест в настройках и рабочих процессах электронного хранилища библиотеки «Система онлайн-доступа к научно-исследовательским данным университета Дикин» (Deakin Research Online, DRO, http://dro.deakin.edu.au/ ). Впоследствии был разработан стратегический план по устранению этих недостатков, и, как следствие, по повышению степени доверия к хранилищу DRO. Предполагается, что регулярные повторные самооценки будут проводиться раз в три года; при этом ожидается, что они уже не будут столь ресурсоёмкими, как первичная самооценка, поскольку соответствующая документация уже была выявлена, и было установлено её местоположение.

Мы настоятельно рекомендуем другим библиотекам в какой-то момент провести аналогичную самооценку их хранилищ, выбирая инструменты для этого и глубину самооценки в зависимости от размера библиотеки и от имеющихся ресурсов. Исследователи рассчитывают на то, что их публикации будут в безопасности в хранилищах учреждений, и руководству хранилищ необходимо обеспечить, чтобы хранилища соответствовали этим ожиданиям. Самооценка является одним из механизмов, позволяющих убедиться в том, что их хранилище действительно может считаться доверенным.

Основываясь на опыте университета Дикин, мы рекомендуем руководителям хранилищ, которые планируют провести самооценку на соответствие ISO 16363, следующее:

• Проводить самооценку прежде, чем решать вопрос об оплате внешней сертификации. Сертификация - и переаттестация – дорогие удовольствия;


• Заручиться поддержкой высшего руководства. Такая поддержка имеет решающее значение. Обеспечение долговременной сохранности требует длительных усилий;


• Лицо, проводящее самооценку, должно быть достаточно хорошо знакомо с политиками и процедурами организации и хранилища;


• Если у Вас нет времени или ресурсов для проведения оценки на соответствие ISO 16363, подумайте о проведении оценки на соответствие «Уровням обеспечения электронной сохранности» Национального альянса попечения об электронных материалах (NDSA Levels of Preservation, 2012), http://www.digitalpreservation.gov/ndsa/activities/levels.html  (см. также мой пост http://rusrim.blogspot.ru/2012/11/blog-post_9881.html - Н.Х.).


• Настроить вики-ресурс для документирования результатов самооценки. Сделайте это следует в начале проекта, и затем документировать результаты по мере продвижения;


• Спланировать проект самооценки с учетом рисков и доступного времени и ресурсов;


• Заранее определить глубину самооценки. Будет ли, например, проводящий оценку специалист просто собирать и анализировать документацию, или же он будет также проводить проверки с тем, чтобы убедиться, что документированные процедуры реально исполняются и что все «спрятанные под капотом» механизмы работают должным образом?


• Использовать при сборе документации знания, имеющиеся у специалистов на местах. Содержащийся в стандарте ISO 16363 список «рекомендуемых доказательств» - это всего лишь рекомендации;


• Получше познакомиться с критериями, прежде чем начинать самооценку. Определенную документацию можно использовать для того, чтобы удовлетворить нескольким критериям, и если такие критерии выявить на ранних стадиях проекта, то можно будет сэкономить время;


• Помните, что не все критерии ISO 16363 будут применимы в Ваших конкретных условиях;


• Не останавливайтесь. Завершение самооценки не означает, что тяжелая работа уже позади. Потребуется осуществить ряд улучшений. Поставьте перед собой задачу с течением времени повысить жизнеспособность Вашего хранилища;


• Запланируйте регулярное проведение повторных самооценок;


• Если Вы планируете в будущем провести самооценку на соответствие требованиям ISO 16363, начните этот процесс прямо сейчас. Создайте вики-страницу, где Вы сможете фиксировать сведения о соответствующей документации, которая Вам будет попадаться. Ведите список проблем, связанных с обеспечением долговременной сохранности, и обновляйте вики-страницу по мере необходимости, чтобы сэкономить время в дальнейшем;


• Не считайте, что если программное обеспечение Вашего хранилища соответствует стандарту OAIS, то и само Ваше хранилище также будет ему соответствовать. Рабочие процессы и настройки хранилища способны как обеспечить соответствие стандарту OAIS, так и нарушить его;


• Не все перечисленные в ISO 16363 критерии в равной степени важны или связаны с одинаковыми уровнями риска. Оцените должным образом важность каждого критерия;


• Стандарт ISO 16363 основан на концептуальной модели (модели OAIS). Не ждите, что его критерии обязательно будут согласовываться с индивидуальными настройками и рабочими процессами Вашего хранилища.

Бернадетт Хоутон (Bernadette Houghton)

Источник: сайт журнала D-Lib Magazine
http://www.dlib.org/dlib/march15/houghton/03houghton.html 

Чехия: Открыт национальный сайт, посвященный «электронной печати качества»

Карлов университет в Праге недавно открыл специальный сайт на чешском языке http://dsa.cuni.cz/ , посвященный «электронной печати качества» (Data Seal of Approval, DSA)

На главной странице размещена следующая информация:

Доверенные и жизнеспособные электронные хранилища

«Электронная печать качества» является ключевым инструментом для сертификации электронных хранилищ. Получая этот знак, поддерживающие электронные хранилища учреждения демонстрируют свою готовность принять на себя долгосрочные обязательства по защите электронных данных.

Система DSA

Система сертификации «Электронная печать качества» была создана рядом учреждений, занимающихся обеспечением долгосрочной сохранности научных данных. Получая печать, организация не только стремится обеспечить постоянную сохранность конкретных данных, но и вносит свой вклад в осознание обществом важности долговременной сохранности. «Электронную печать качества» получают хранилища, которые обязуются обеспечить профессиональную архивацию научных данных и обеспечения устойчивого доступа к ним. Печать выдается Советом DSA.

Как известно, данная система зародилась в Голландии. Подробную информацию о ней можно получить на сайте DSA ( http://datasealofapproval.org/ ) где, в частности, выложена брошюра на английском языке (см. http://datasealofapproval.org/media/filer_public/2014/10/03/20141003_dsa_overview_defweb.pdf ), рассказывающая о том, что в основе системы DSA лежат 16 рекомендаций для хранилищ.

На чешском сайте также размещены следующие две презентации, рассказывающие о DSA – презентация Андреа Фойту (Andrea Fojtů) на чешском языке и обзор системы DSA Пола Трисбека (Paul Trilsbeek) на английском языке:

Источник: сайт «Digital Seal of Approval»
http://dsa.cuni.cz/

Франция: Уполномоченный орган по защите персональных данных CNIL ввел собственный отличительный знак «Электронный сейф»

Данная заметка Кристиана Дюбура (Christian Dubourg – на фото), директора по маркетингу компании Ever-Team Software и члена комитета CN171 французского органа по стандартизации AFNOR, была опубликована 19 февраля 2014 года в открытой группе специалистов по управлению электронным контентом и документами (Electronic Documents and Records Management Professionals) в социальной сети LinkedIn.

Национальная комиссия по информатике и свободам граждан CNIL (Commission nationale de l'informatique et des libertés, http://www.cnil.fr/  - во Франции является уполномоченным органом по вопросам защиты персональных данных – Н.Х.) опубликовала в «Официальном журнале Французской республики» (Journal Officiel de la République Française) решение №2014-017 от 23 января 2014 года об условиях присвоения знака качества оказываемым частным лицам услугам «электронного сейфа» (т.е. услуг защищённого хранения электронных документов третьей стороной – Н.Х.).

Это решение CNIL вызвано потребностью в создании отличительного знака (знака качества) для услуги защищённого хранения электронных документов, оказываемых специализированными организациями. Знак относится к характеристикам продуктов или процессов, предлагаемых частным лицам для хранения их личных данных. В эту область попадают все услуги облачного хранения. Чтобы получить данный знак «Электронный сейф», услуги должны обеспечивать целостность, доступность и конфиденциальность хранимых данных, и должны быть реализованы соответствующие меры безопасности.

Для получения данного знака продукт или услуга должны соответствовать 22 базовым требованиям.

Так, данные, хранящиеся в «электронном сейфе» должны быть доступны только его владельцу или уполномоченному им физическому лицу, получившему от владельца специальное разрешение. Те пользовательские метаданные, которые дают пользователю возможность вести поиск по своим данным, также охватываются требованиями.

Вот некоторые основные моменты требований:

• Хранимые в электронном сейфе данные и метаданные в обязательном порядке шифруются и находятся под исключительным контролем пользователя-владельца сейфа и уполномоченных им лиц;


• Строгая аутентификация должна обеспечить защищённый доступ к содержимому сейфа;


• Возможность возврата хранимого контента должна предлагаться в качестве стандартной бесплатной услуги.

Познакомиться с решением и содержащимися в нём 22 требованиями можно по ссылке http://www.legifrance.gouv.fr... .

Выводы и рекомендации

Знак CNIL начисто сметает прочие знаки по всему спектру услуг и продуктов для защищённого хранения электронных документов. Он полностью легитимен.

• Предыдущие разработки по теме «электронного сейфа» (национальный стандарт NF Z 42-020 и знак «NF Электронный сейф», о них см. http://rusrim.blogspot.ru/2012/03/nf-z-42-020.html и http://rusrim.blogspot.ru/2012/07/nf-z-42-013-nf-z-42-020-nf-z-42-025.html - Н.Х.) не решают вопрос конфиденциальности и защиты персональных данных с помощью шифрования. Новый знак CNIL четко устанавливает требования и позволяет провести различие между продуктами и услугами по хранению информации и продуктами и услугами, обеспечивающими защищённое хранение электронных документов и информации физических лиц. Он также позволяет гораздо в большей степени повысить привлекательность предложений и продуктов по сравнению с другими знаками аналогичного назначения.


• Теперь во Франции созданы хорошие нормативные рамки для предложений по оказанию физическим лицам услуг по защищённому хранения их данных, в интересах защиты персональных данных.

Christian Dubourg (Кристиан Дюбур)

Источник: LinkedIn
http://www.linkedin.com/groupItem?view=&gid=52423&type=member&item=5841823821732016130

Франция: Регулятор сформулировал свою позицию в отношении услуг «электронного сейфа» - как теперь относиться к стандарту NF Z 42-020?

Данная заметка Кристиана Дюбура (Christian Dubourg – на фото), директора по маркетингу компании Ever-Team Software и члена комитета CN171 французского органа по стандартизации AFNOR, была опубликована 14 октября 2013 года в открытой франкоязычной группе по стандарту NF Z 42-013 в социальной сети LinkedIn.

Национальная комиссия по информатике и свободам граждан CNIL (Commission nationale de l'informatique et des libertés, http://www.cnil.fr/  - во Франции является уполномоченным органом по вопросам защиты персональных данных – Н.Х.) опубликовала в «Официальном журнале Французской республики» (Journal Officiel de la République Française) решение №2013-270 от 19 сентября 2013 года, содержащее рекомендации, касающиеся оказания частным лицам услуг «электронного сейфа» (т.е. услуг защищённого хранения электронных документов третьей стороной – Н.Х.), см. http://legifrance.gouv.fr/jopdf/common/jo_pdf.jsp?numJO=0&dateJO=20131009&numTexte=00039&pageDebut=00039&pageFin=

В этом документе CNIL высказало своё мнение о том, «термин «цифровой/электронный сейф» должен быть зарезервирован для специфической формы электронного места хранения, доступ к которому предоставляется только одному пользователю, а также специально уполномоченным им лицам». Также в нём отмечается, что «поставщик услуг не должен иметь технической возможности получения доступа ни к содержимому сейфа, ни к его резервным копиям без явно выраженного согласия соответствующего пользователя».

По мнению CNIL, те услуги, которые не отвечают этим критериям и не обеспечивают перечисленные меры защиты, «представляет собой простую услугу хранения электронных данных».

В документе CNIL подробно перечисляет меры безопасности, которые должны быть реализованы при оказании услуг электронного сейфового хранения: шифрование на закрытом ключе, хранение ключей третьей стороной для обеспечения долговременной сохранности информации…

Такая позиция CNIL означает, что стандарт NF Z 42-020:2012 «Функциональные характеристики компоненты "Электронный сейф", предназначенной для сохранения электронной информации в условиях, обеспечивающих её целостность во времени» (Spécifications fonctionnelles d’un composant Coffre-Fort Numérique destiné à la conservation d'informations numériques dans des conditions de nature à en garantir leur intégrité dans le temps) нелегитимно называть стандартом «компоненты «Электронный сейф»» - в нём ведь не рассматриваются ключевые вопросы, связанные с обеспечением безопасности. Данный стандарт не гарантируют выполнение основополагающих требований, установленных CNIL в опубликованном им решении.

Как мы уже неоднократно отмечали, стандарт NF Z 42-020 (о нём см. также http://rusrim.blogspot.ru/2012/03/nf-z-42-020.html и http://rusrim.blogspot.ru/2012/07/nf-z-42-013-nf-z-42-020-nf-z-42-025.html - Н.Х.) является избыточным. В отсутствие актуализации он не представляет никакого интереса и не должен рассматриваться как отражение текущего положения дел в сфере электронного «сейфового» хранения.

Надеюсь, что в свете разъяснений CNIL юридические и физические лиц поймут, что стандарт NF Z 42-020 и взаимосвязанная с ним система добровольной сертификации имеют лишь маркетинговую ценность ...

Christian Dubourg (Кристиан Дюбур)

Источник: LinkedIn
http://www.linkedin.com/groups/CNIL-r%C3%A9agit-rapport-services-Coffrefort-1821365.S.5795433848573546498