Certifikácia a audit v Centrálnom dátovom archíve

Kľúčové slová: Centrálny dátový archív, dátový archív, archív, dlhodobé úložisko, LTP

Mgr. Katarína Tomková, Vedúca oddelenia informačných procesov CDA, Univerzitná knižnica v Bratislave, Bratislava, Slovensko

1. Centrálny dátový archív

Centrálny dátový archív (ďalej „CDA“) sa vybudoval v rámci Operačného Programu Informatizácia Spoločnosti (OPIS) na základe výzvy č. OPIS-2011/2.1/08-NP. Projekt CDA realizuje Univerzitná knižnica v Bratislave. Cieľom projektu bolo vybudovať komplexný integrovaný systém dlhodobého uchovávania a ochrany digitálneho obsahu, jeho získavania, spracovania, ochrany a využitia (ANDROVIČ, Alojz et al., 2016). V rámci projektu sa vybudoval centrálny dátový archív, ktorý v zmysle predpísaných štandardov zabezpečuje uloženie troch kópií digitálnych objektov v troch lokalitách, z toho dve (CDA-A – Bratislava, CDA-B – Martin) sú navzájom vzdialené približne 200 km. Lokality sú vybavené príslušným hardvérovým i softvérovým vybavením a prostredníctvom dátových telekomunikačných sietí sú vzájomne prepojené. Súčasťou dátového archívu je aj pasívny sklad pamäťových médií (CDA-C – Bratislava), ktorý je umiestnený v objekte Univerzitnej knižnice v Bratislave. (RAKÚS, Milan, STRNISKO, Juraj, 2018)

Poslaním CDA je:

• zabezpečenie spoľahlivej, dlhodobej ochrany zverených digitálnych objektov,
• poskytovanie nástrojov na ich správu, vkladanie, kontrolu a výdaj,
• priebežné udržiavanie a rozvoj prevádzkovej funkcionality a služieb,
• udržiavanie interoperability informačných systémov určeného spoločenstva a okolia.

CDA ukladá, sprístupňuje a ochraňuje zdigitalizované kultúrne dedičstvo z vybraných pamäťových a fondových inštitúcií vo svojom repozitári s kapacitou 25 petabajtov, z ktorých má k dnešnému dňu využitých 16% .

Aj kvôli takto zaväzujúcej úlohe, ktorú v CDA máme, musíme dodržiavať na presné postupy, riadené procesy a dbať na bezpečnosť dát, ktoré k nám pamäťové a fondové inštitúcie vkladajú. Najefektívnejším spôsobom ako budovať a rozvíjať takýto systém dlhodobého uchovávania je vybrať si normu na to určenú a postupovať podľa nej krok po kroku.

2. Certifikácia a audit

Úroveň poskytovaných služieb a zabezpečovaných funkcií CDA ako dôveryhodného dlhodobého úložiska sa opiera o medzinárodne prijaté normy najmä ISO 16363 a ISO 14721. V CDA je implementovaný aj systém manažérstva informačnej bezpečnosti podľa normy ISO 27001.

2.1 Súlad CDA s normou ISO 14721 a modelom OAIS

Repozitáre sa pre zdôraznenie svojej dôveryhodnosti označujú za „kompatibilné s OAIS“ (angl. Open Archival Information System). Svoju dôveryhodnosť však musia aj dokázať a obhájiť.

Medzinárodná norma ISO 14721 Systémy prenosu vesmírnych údajov a informácií. Otvorený archívny informačný systém (OAIS). Referenčný model (angl. Space data and information transfer systems. Open archival information system (OAIS). Reference model.), definuje referenčný model otvoreného archívneho informačného systému (ďalej OAIS) (STN ISO 14721, 2014).

Systém OAIS môžeme charakterizovať ako archív pozostávajúci z organizácie, ktorá má za úlohu uchovávať informácie a sprístupňovať ich určenému spoločenstvu. Takýto archív plní úlohy definované v tejto norme, a tým sa odlišuje archív OAIS od iných archívov.

Medzinárodná norma ISO 14721 s modelom OAIS:

• poskytuje rámec na pochopenie a zvýšené povedomie o archívnych pojmoch potrebných na dlhodobé uchovávanie a sprístupňovanie digitálnych informácií,
• poskytuje a popisuje potrebné pojmy organizáciám, ktoré nie sú archívnymi organizáciami, aby boli efektívnymi účastníkmi v procese uchovávania,
• poskytuje rámec vrátane terminológie a pojmov na opísanie a porovnanie architektúry a činnosti súčasných a budúcich archívov,
• poskytuje rámec na opis a porovnanie rôznych stratégií a postupov dlhodobého uchovávania,
• poskytuje základ na porovnávanie dátových modelov digitálnych informácií, ktoré uchovávajú archívy,
• poskytuje rámec, ktorý možno ďalším úsilím rozšíriť tak, aby pokrýval dlhodobé uchovávanie informácií, ktoré nie sú v digitálnej forme (napríklad fyzické médiá),

Norma tiež rozširuje konsenzus o prvkoch a postupoch dlhodobého uchovávania a sprístupňovania digitálnych informácií a propaguje väčší trh, ktorý môžu dodávatelia podporovať a usmerňuje identifikáciu a tvorbu noriem súvisiacich so systémami OAIS.

V CDA je architektúra systému vybudovaná v súlade s modelom OAIS. Máme jasne definovaný model prostredia pre systém OAIS (producentov, manažment a spotrebiteľov), máme zreteľne identifikované údajové objekty, presne definované formy archívnych (AIP), vkladaných (SIP) a výdajných informačných balíkov (DIP).

Archív OAIS ďalej dojednáva a prijíma príslušné informácie od ich producentov, stanovuje, ktoré spoločenstvá by sa mali stať určenými spoločenstvami, teda skupinou inštitúcií, pre ktoré bude archív ponúkať svoje služby. Archív OAIS vždy postupuje podľa zdokumentovaných politík a postupov. V neposlednom rade sprístupňuje uchovávané informácie.

Nižšie je pre ilustráciu funkčný model archívu OAIS, v ktorom sú zobrazené len tie hlavné toky informácií. Čiary spájajúce celky označujú komunikačné cesty, cez ktoré prúdia informácie oboma smermi. Čiary k administratíve a plánovaniu uchovávania sú prerušované iba kvôli lepšej prehľadnosti schémy.

Obrázok 1 Funkčný model archívu OAIS (STN ISO 14721, 2014)

2.2 Charakter CDA podľa normy ISO 16363

Norma ISO 16363 Systémy prenosu vesmírnych údajov a informácií. Audit a certifikácia dôveryhodných digitálnych úložísk (angl. Space data and information systems – Audit and certification of trustworthy digital repositories) je technickým odporúčaním pre certifikáciu digitálnych repozitárov. V norme sú obsiahnuté zreteľné a podrobné kritéria, podľa ktorých sa dá stanoviť, čo je dôveryhodné úložisko a čo nie (STN ISO 16363, 2014). Normatívne metriky, pomocou ktorých možno úložisko hodnotiť, sú v norme rozdelené do troch kapitol podľa zamerania:

• Kapitola 3 Organizačná štruktúra – úložisko si musí definovať vyhlásenie o poslaní, ktoré bude odrážať záväzok uchovávať, dlhodobo udržiavať, spravovať a sprístupňovať digitálne informácie. V rámci záväzku dlhodobého uchovávania je potrebné mať spracovaný strategický plán uchovávania, ktorý definuje prístup úložiska k dlhodobej podpore svojho poslania. Dôležité ale je myslieť aj na zabezpečenie kontinuity uchovávania v prípade ukončenia prevádzky úložiska alebo jeho poruchy. Na to je potrebné mať spracované havarijné plány a plány následnosti. Úložisko musí mať zdokumentovanú históriu všetkých zmien svojich aktivít, postupov, softvéru či hardvéru. Na podporu všetkých potrebných funkcií a služieb musí mať úložisko zodpovedajúci počet pracovníkov, ktorí budú mať definované role a zodpovednosti.
• Kapitola 4 Manažérstvo digitálnych objektov – úložisko musí mať identifikované, aké informácie bude uchovávať s ohľadom na ich obsah a vlastnosti. Tiež musí mať presne dané špecifikácie umožňujúce rozpoznanie a analýzu vkladaných informačných balíkov (SIP) a proces overenia ich správnosti a úplnosti. Rovnaké špecifikácie musia byť dané aj pre každý archívny informačný balík (AIP) alebo ich triedu. Nesmie samozrejme chýbať popis prevodu SIP balíka na AIP s jeho jedinečným identifikátorom.
• Kapitola 5 Infraštruktúra a manažérstvo bezpečnostných rizík – pri uchovávaní dát musíme rátať aj s možnými rizikami, ktoré môžu nastať. Pre tento prípad treba mať riziká identifikované a riadiť ich. Riziko môže spôsobiť aj zastaraný hardvér alebo softvér, preto je nutné zaviesť postup hodnotenie, kedy je nutné túto položku vymeniť. V neposlednom rade musí byť úložisko pripravené aj na najhorší scenár, a pre taký prípad mať vypracovaný havarijný plán/plán obnovy.

Normou je teda možné sa riadiť pri auditovaní a certifikovaní digitálneho úložiska, ale taktiež pri jeho budovaní. Metriky obsiahnuté v tejto norme je možné využiť pri navrhovaní či budovaní postupov pre digitálne úložisko. Úvod normy sa okrem samotného účelu a rozsahu normy venuje najmä základnej terminológií, akronymom a skratkám, čo ocenia tí, ktorí s digitálnym repozitárom začínajú.

Pri budovaní CDA sme sa pridržiavali normy ISO 16363, avšak našim prvým krokom bolo si túto normu preložiť a požiadať o jej začlenenie do systému slovenských technických noriem (STN). Následne sme požiadali Moravskú zemskú knihovnu o vykonanie „predbežného“ auditu, aj keď sme boli v budovaní dlhodobého úložiska len niečo za polovicou. Aj tento audit nám pomohol s finálnou fázu budovania CDA k úspešnému dokončeniu.

2.3 Certifikácia podľa normy ISO 27001

Norma ISO 27001 Informačné technológie. Bezpečnostné metódy. Systémy riadenia informačnej bezpečnosti. Požiadavky (angl. Information technology. Security techniques. Information security management systems. Requirements) popisuje požiadavky na vytvorenie, zavedenie, údržbu a zlepšovanie systému manažérstva/riadenia informačnej bezpečnosti (ďalej SMIB). Hlavným cieľom zavedenia SMIB je chrániť dôvernosť, integritu a dostupnosť informácií (STN ISO 27001, 2014).

Certifikácia podľa tejto normy prebieha v cykle štyroch auditov (1. rok certifikačný audit pri zavedení SMIB v organizácii, 2. rok 1. dozorný audit, 3. rok 2. dozorný audit a 4. rok recertifikačný audit SMIB v organizácii).

2.3.1 Audit systému riadenia informačnej bezpečnosti

Ako už bolo vyššie spomenuté, certifikácia podľa normy ISO 27001 prebieha v cykle štyroch auditov. Prvý rok je rokom, kedy sa koná certifikačný audit pri zavedení systému riadenia informačnej bezpečnosti v organizácii, v druhom a treťom roku prebieha v organizácii dozorný audit a štvrtý rok prebieha recertifikačný audit SMIB.

Samotná norma vyžaduje v organizácii vykonávanie interných auditov, ktoré majú za úlohu preveriť, či zavedený systém riadenia informačnej bezpečnosti je efektívny a udržiavaný a či spĺňa vlastné požiadavky organizácie a požiadavky normy. Tieto audity sú základným východiskom pre audítora pri vykonávaní dozorného alebo recertifikačného auditu. Aj keď interné audity prebiehajú raz ročne, ich príprava musí byť systematická.

Pre efektívny systém riadenia informačnej bezpečnosti a úspešný priebeh auditov je potrebné riadiť sa a dodržiavať požiadavky normy, ktoré sú obsiahnuté v desiatich kapitolách.

Organizácia si musí pri zavádzaní SMIB určiť aj zainteresované strany, ktorých sa bude SMIB týkať a tiež ich požiadavky. Zároveň si definuje hranice a aplikovateľnosť SMIB, ktorými sa vytvorí rozsah.

Dôležité je vytvorenie politiky informačnej bezpečnosti. Tú vytvára vrcholový manažment a musí obsahovať merateľné a uskutočniteľné ciele, alebo aspoň rámec pre ich stanovenie, a schválenie na splnenie aplikovateľných požiadaviek a na kontinuálne zlepšovanie SMIB.

Pri zavádzaní systému riadenia informačnej bezpečnosti, od ktorého chceme, aby bol efektívny a funkčný, nesmieme zabudnúť aj na riziká a hrozby, ktoré môžu náš systém narušiť a ohroziť. Je potrebné aby si organizácia definovala riziká a zaviedla proces riadenia rizík. Za riziká sú zodpovední vlastníci rizík. V spolupráci s organizáciou analyzujú riziká, určia ich možné následky, posúdia reálnu pravdepodobnosť a v prípade výskytu ich ošetria.

V CDA bol systém manažérstva informačnej bezpečnosti podľa normy ISO 27001 zavedený v roku 2014, kedy prebehol certifikačný audit. Nasledujúci dva roky sa konali dozorné audity a v roku 2017 CDA prešlo recertifikačným auditom. Jednu etapu zloženú zo štyroch auditov už máme úspešne za sebou a druhú sme začali dozorným auditom v roku 2018.

Ako už bolo vyššie spomenuté, interné audity prebiehajú raz ročne a ich príprava musí byť systematická. Malo by to tak byť, no realita je iná. S prevádzkou dlhodobého archívu a s povinnosťami, ktoré to so sebou každý deň prináša však niekedy nezvýši časť na systematickú prípravu SMIB na audit. Systém manažérstva informačnej bezpečnosti si vyžaduje obrovské množstvo dokumentácie, či už v elektronickej alebo v tlačenej podobe. Každý dokument má dané pravidlá, kedy má byť vytvorený, za akých podmienok, s akou periodicitou, kto ho má vytvoriť a kým má byť schválený. Pred auditom si treba prejsť celú dokumentáciu a skontrolovať aktuálnosť dokumentov, dátumy, označenia, podpisy.

U nás v CDA prebieha najprv interný audit expertmi z firmy Tempest a.s., po ňom sa koná externý audit, ktorý vykonáva audítor certifikačného orgánu TÜV SÜD Slovakia s.r.o. Prípravou na interný audit a jeho vykonaním sa môžu objaviť drobnosti, ktoré do externého auditu opravíme a doladíme, aby bol náš systém na externom audite stopercentný.

V každom prípade systém manažérstva informačnej bezpečnosti je veľmi rozsiahly a vyžaduje si dostatok času, precíznosti a trpezlivosti na prípravu, prevádzku a na následné preskúmanie audítorom.

2.4 Certifikácia CoreTrustSeal

Certifikáciu CoreTrustSeal poskytuje organizácia DANS – Data Archiving and Networked Services z Holandska (CoreTrustSeal About, 2016). Ešte do roku 2018 bola však táto certifikácia známa pod názvom Data Seal of Approval. Pravidlá a požiadavky na jej získanie však ostali nezmenené.

Certifikát je udeľovaný na 2 roky a má veľmi silné postavenie najmä medzi európskymi inštitúciami a konzorciami (CESSDA), ktoré participujú na významných európskych projektoch (CLARIN, DARIAH, EUDAT). Administratívny poplatok za certifikáciu je 1 000 EUR a jej získanie pozostáva z troch krokov.

Certifikácia sa vykonáva prostredníctvom online webového nástroja formou sebahodnotenie. Po jeho vyplnení bude odoslaná faktúra na vyplatenie administratívneho poplatku a po prijatí platby začne preskúmanie odborníkmi – hodnotenie na základe dôvery, a následné udelenie/neudelenie certifikátu CoreTrustSeal.

Sebahodnotenie archívu pozostáva z odpovedania na šestnásť požiadaviek, ktoré sa nachádzajú na webe certifikácie CoreTrustSeal v osobitnom dokumente na stiahnutie (https://www.coretrustseal.org/why-certification/requirements/). Prvým krokom je vytvorenie užívateľského konta, cez ktoré je možné prihlásiť sa do online nástroja a zadávať alebo upravovať svoje odpovede a údaje.

Sebahodnotenie, resp. dotazník sebahodnotenia pozostáva zo šestnástich požiadaviek/otázok, ktoré musia byť zodpovedané. Taktiež sa pri každej požiadavke zadáva úroveň zhody na škále 0 (neaplikovateľné) – 4 (plne implementované).

V úvode dotazníka sa vyžaduje zadať kontext, typ archívu, krátky popis archívu a jeho komunity.

Obrázok 2 Úvod dotazníka

Ďalšie požiadavky v dotazníku sú rozdelené do troch sekcií – 1. Organizačná infraštruktúra, 2. Správa digitálnych objektov, 3. Technológie, a zároveň do šestnástich povinných požiadaviek a dvoch dobrovoľných. Každá požiadavka má rovnakú štruktúru – názov požiadavky, popis požiadavky, úroveň zhody, miesto pre odpoveď a rady, čo by malo byť k danej požiadavke opísané.

Obrázok 3 Dotazník

V závere dotazníka sa nachádza priestor na spätnú väzbu, otázky alebo na vloženie prílohy. Po vyplnení dotazníka a povinných požiadaviek je možné ho uložiť ako pracovnú verziu, ktorú je potom možné ešte upravovať, požiadať o spätnú väzbu alebo priamo odoslať dotazník na preskúmanie odborníkmi.

Obrázok 4 Feedback

V CDA sme si kvôli príprave k získaniu certifikácie najprv stiahli a preštudovali súbor so šestnástimi požiadavkami CoreTrustSeal. Rozdelili sme si ich medzi sebou tak, aby každý pracoval na časti, ktorej sa venuje aj v práci. Po niekoľkých vzájomných kontrolách a poradách, sme úspešne vypracovali celý dotazník a pristúpili sme k jeho online vyplneniu na webe CoreTrustSeal. Aj keď dotazník nemá časový limit a je možné si svoje odpovede uložiť ako pracovnú verziu, radšej sme zvolili túto metódu, kde sme si vypracovali samostatný dokument s odpoveďami na všetkých šestnásť požiadaviek. Samotné vyplnenie dotazníka nám tak trvalo necelých 15 minút. Na obrázku nižšie je ukážka, ako to vyzeralo pri samotnom vyplňovaní dotazníka. Na ľavej strane obrazovky sme mali otvorený náš vopred vypracovaný dokument, z ktorého sme postupne kopírovali odpovede ku každej požiadavke do dotazníka na pravej strane.

Obrázok 5 Príklad - vypĺňanie dotazníka

V tomto momente je naša žiadosť o certifikáciu CoreTrustSeal v stave preskúmania odborníkmi (Under Review), čo môžete vidieť na obrázku nižšie. V tomto stave nemôžeme vo svojom dotazníku robiť žiadne úpravy. Môžeme byť dodatočne oslovení a požiadaní o dodanie ďalších potrebných informácií, alebo dokumentov, ktoré by pomohli odborníkom pri preskúmavaní nášho archívu, v prípade, ak by sme niektorú požiadavku vyplnili nedostatočne alebo nejasne. V inom prípade musíme len čakať na výsledok.

Obrázok 6 Stav dotazníka – Under Review

Záver

Centrálny dátový archív je dôveryhodným dlhodobým dátovým úložiskom. Vďaka certifikáciám, na ktoré v CDA dbáme, si toto svoje poslanie vieme obhájiť a udržať. Preto veríme, že sa nám podarí získať certifikát CoreTrustSeal a zvýšime si ním charakteristiku CDA v oblasti dôveryhodnosti.

Zoznam použitej literatúry

ANDROVIČ, Alojz et al., 2016. Centrálny dátový archív v roku 1. In: ITlib, 2.2016, s. 37-52

RAKÚS, Milan, STRNISKO, Juraj, 2018. Stav a perspektívy rozvoja Centrálneho dátového archívu. In: CDA 2018: Trvalá udržateľnosť a perspektívy ďalšieho rozvoja LTP archívov. Zborník príspevkov z 3. medzinárodnej konferencie o dlhodobej archivácii. Bratislava, 7-18. ISBN 978-80-89303-68-7.

STN ISO 14721, 2014. Systémy prenosu vesmírnych údajov a informácií. Otvorený archívny informačný systém (OAIS). Referenčný model. Bratislava, 2014.

STN ISO 16363, 2014. Systémy prenosu vesmírnych údajov a informácií. Audit a certifikácia dôveryhodných digitálnych úložísk. Bratislava, 2014.

STN ISO 27001, 2014. Informačné technológie. Bezpečnostné metódy. Systémy riadenia informačnej bezpečnosti. Požiadavky. Bratislava, 2014.

CoreTrustSeal About, 2016. CoreTrustSeal [online]. [Cit. 30.01.2019]. Dostupné z: https://www.coretrustseal.org/about/