Электронное архивирование (стр. 10 )

12.3        Внешняя оценка

Сторонние организации, предоставляющие аудиты информационной системы, должны обладать достаточным и адекватным опытом и навыками в разработке и внедрении информационных систем для сохранения документов.

Операции по проведению проверок персонала должны иметь соответствующую квалификацию, подготовку и опыт для надлежащего аудита информационных систем.

Сторонние организации должны принять все необходимые меры на всех уровнях своей организации для обеспечения конфиденциальности информации, собранной в ходе аудита.

13        Надежный сторонний архив

13.1        Деятельность доверенного стороннего поставщика архивных услуг

Правила, применяемые к внутренним решениям, в равной степени применяются к третьим сторонам, выполняющим электронные архивные услуги. При размещении архивов под стражей доверенной сторонней архивной службы организация должна проверить, что используемые методы и используемые процедуры обеспечивают безопасность, целостность и долгосрочное сохранение электронных документов и что все инструкции прослеживаются с соответствующими аттестациями. В Приложении C представлены принципы для предлагаемых общих условий обслуживания.

Перед любой передачей архивов доверенной третьей стороне должны быть сделаны проверки, чтобы:

a)        третье лицо в состоянии выполнить требования, указанные в настоящей части ИСО 14641;

b)        архивная политика, используемая третьей стороной, соответствует политике организации;

c)        процедуры безопасности третьей стороны соответствуют требованиям безопасности организации.

Третья сторона может:

- обеспечивать архивирование электронных документов (прием и запись всех электронных документов, запись архивных операций с электронными документами и хранение и связанные с ними метаданные), осуществление конверсионных операций, внедрение процедур репликации, обеспечение доступа и реституции документов; или

- хранить только цифровые печати документов (прием, проверка и запись цифровых печатей, связанных с документами, запись операций), в то время как хранение и сохранение электронных документов, соответствующих этим подписям, несут ответственность за организацию клиента (отправителя).

В обоих случаях третья сторона должна производить аттестации своей деятельности. Тип и частота передачи этих аттестаций от третьего лица к клиенту (составителю) указываются в каждом стороннем договоре.

Третья сторона должна хранить копии этих аттестаций в соответствии со спецификациями этого раздела ISO 14641.

В дополнение к внедрению информационной системы, соответствующей этой части ИСО 14641, третья сторона должна:

1)        обеспечить уникальную и надежную идентификацию для каждого из своих клиентов;

2)        гарантировать конфиденциальность документов и метаданных под стражей, в частности, используя информационную систему, реализованную таким образом, чтобы клиент третьей стороны не мог читать, писать, изменять или удалять любой документ другого клиента третьей стороны;

3)        предоставлять аттестации депозита для каждой операции;

4)        выполнять все удаления документов после уведомления и, по завершении, предоставлять соответствующие аттестации;

5)        предоставить контрольный журнал жизненного цикла архива для каждого клиента, который может быть подготовлен в качестве доказательства в случае возникновения спора.

Обмен данными между организацией и третьей стороной должен быть защищен надлежащими средствами, т. е. сильная аутентификация, шифрование, контроль целостности.

Третья сторона удостоверяет, что она не будет анализировать или обрабатывать (например, преобразование формата) электронных документов под стражу, если только его клиент (составитель) не предъявил явное требование.

По соображениям конфиденциальности, предварительная шифровка документов и, при необходимости, метаданных может считаться необходимой организацией. В этом случае критерии поиска для доступа к документам могут быть ограничены.

13.2        Модель контракта на обслуживание

13.2.1        Договор на обслуживание

В контракте на услуги с любым доверенным сторонним поставщиком услуг архивации должны быть рассмотрены следующие вопросы:

a)        ссылка на эту часть ИСО 14641 с указанием требований;

b)        ссылки на архивную политику;

c)        описание архивных процедур;

d)        описание инфраструктуры информационной системы;

e)        процедуры доступа к журналам операций информационной системы;

f)        методы, используемые третьей стороной для обеспечения конфиденциальности данных организации;

g)        методы и средства, используемые для сдачи на хранение электронным документам и их метаданным;

h)        методы и средства, принятые для обеспечения, при необходимости, преобразования формата;

i)        процедуры транспортировки (физического перевода) документов, если это применимо;

j)        страховые полисы, заключенные третьей стороной, покрывающие любые связанные с деятельностью убытки.

Несмотря на то, что условия договора на обслуживание свободно заключаются между сторонами, включается содержание от 13.2.2 до 13.2.13.

13.2.2        Срок действия услуги

Продолжительность контракта с третьим лицом указывается вместе с условиями продления и прекращения.

13.2.3        Период консервации

Третья сторона обязуется применять указанный период сохранения до тех пор, пока это разрешено действующими договорными отношениями. Третья сторона должна иметь возможность продемонстрировать потенциал договорных и технических возможностей для реституции и функциональной совместимости своего решения, чтобы обеспечить сохранение документов на согласованную продолжительность.

13.2.4        Качество обслуживания

Третья сторона обязуется обеспечить определенный уровень качества обслуживания и поддержки клиентов. Это обязательство касается уровней доступности для сдачи на хранение и доступа к архивам, возможно, связанных с штрафными оговорками, когда условия контракта не выполняются.

13.2.5        Защита и защита данных

Третья сторона:

a)        хранить все электронные документы, доверенные заказчику (составителю) под стражей на контрактный период и в согласованной форме и форматах;

b)        гарантировать безопасность и целостность электронных документов;

c)        обязуется выполнять все миграционные миграции, которые могут потребоваться для обеспечения удобочитаемости электронных документов;

d)        предоставлять услуги обеспеченного доступа всем объектам, находящимся под стражей;

e)        вести контрольный журнал всех операций, связанных с выполнением услуг, указанных в контракте;

f)        гарантировать безопасность и целостность журналов жизненного цикла и событий архивов.

13.2.6        Информация и совет

Третья сторона информирует своего клиента (автора) о необходимости поддерживать совместимость между собственными информационными системами клиента и объектами, содержащимися под стражей от имени клиента. Третьей стороне, возможно, потребуется предложить дополнительные услуги для решения этой проблемы.

Третья сторона должна проинформировать клиента о любых транзакциях конверсии или технических изменениях в используемых информационных системах и о любом воздействии, которое это может иметь на доступность или совместимость с клиентским оборудованием, или на обмен или сохранение данных под стражей.

13.2.7        Передача и непрерывность

Если электронные документы клиента, находящиеся под стражей, передаются другому третьему лицу, этот субъект должен иметь возможность обеспечить как во время, так и после операции передачи то, что документы сохраняют свои основные свойства. Это означает:

-        третье лицо обеспечивает полную целостность и полную передачу всех архивов и всех связанных с ним данных, содержащихся под стражей;

-        при любых обстоятельствах другая третьи лица должны хранить информацию и технические данные таким образом, чтобы ее клиент или любая сторона, назначенная его клиентом, могли ее восстановить и сделать это в разумный срок.

13.2.8        Переносимость

При прекращении действия контракта или прекращении операций третьей стороны, третья сторона может полностью и полностью сохранить все электронные документы и связанные с ними элементы в том же техническом состоянии, что и при получении в информационной системе. Третья сторона не должна сохранять копию возвращенных документов.

Должно быть указано возвращение контрольных журналов / журналов.

Данное положение о передаче прав позволяет клиенту сохранять свою независимость в отношении третьей стороны, получая от договорной гарантии, что внешняя услуга может быть передана другой третьей стороне или возвращена во внутреннюю информационную систему.

Это положение должно включать, по крайней мере:

a)        использование третьей стороной рыночного стандарта и современных технических инструментов (архитектура, аппаратное и программное обеспечение, протоколы и т. д.);

b)        организация передачи документов либо внутренней информационной системе клиента (возврату), либо другой третьей стороне;

c)        депонирование информационных и технических данных, с тем чтобы их можно было восстановить, до места или с помощью средств, доступных клиенту или любой стороне, назначенной его клиентом;

d)        стоимость обратимости;

e)        время, необходимое для выполнения всех операций обратимости с момента запроса;