Обеспечение сохранности архивных документов — одно из главных направлений работы архивистов. От того насколько верно была выбрана стратегия хранения документов, зависят их физическое состояние и возможности использования в самых разнообразных целях.
Процедуры по обеспечению сохранности электронных документов условно можно разделить на три вида:
Данный аспект обеспечения сохранности электронных документов — проблема практически решенная, причем для всех видов хранения. Это решение связано не столько с созданием оптимальных условий хранения носителей с электронной информацией, сколько с физическим размещением электронных документов. Для того, чтобы компьютерные файлы не были утрачены, необходимо их хранить в двух или более экземплярах, размещенных на отдельных электронных носителях (рабочем и резервном носителях). Тогда при утрате одного из носителей можно быстро сделать дубликат файлов с оставшегося.
Повсеместная практика хранения электронных документов показывает, что их рабочие экземпляры, как правило, размещаются на винчестере или сервере организации, а резервные копии (экземпляры) могут создаваться на резервном сервере или RAID-массиве, стримерных (магнитных) лентах, магнитооптических и оптических дисках (CD-RW, DVD-RW). Очень немногие владельцы электронных информационных ресурсов выделяют из них архивную часть и хранят ее исключительно на внешних носителях. Это естественно: темпы роста объемов хранимых ресурсов отстают от темпов снижения цен на жесткие диски, что позволяет организациям с большим запасом наращивать свой серверный потенциал.
Важен также выбор типа носителя, его долговечность. Этот выбор зависит от:
Например, хранение объемных и сложноструктурированных информационных ресурсов (интегрированных баз данных, гео- и мультимедиа-систем, проектной и конструкторской документации, оригинал-макетов печатных изданий) лучше осуществлять на емких электронных носителях для того, чтобы не нарушать целостность документов.
Для хранения электронных документов в пределах 5 лет вполне надежны любые современные носители информации (в том числе, магнитные дискеты). Главное обращать внимание на репутацию фирмы-изготовителя и страну-производителя, что в итоге ориентирует на стоимость носителя, а также соблюдать минимальные требования к режимам их хранения. Как с любым товаром, здесь действует правило: дешевое хорошим не бывает. По этой же причине при организации долговременногохранения электронных документов следует, например, выбирать оптические диски («болванки»), розничная цена которых будет не ниже 22 — 25 рублей.
Оптические компакт-диски (CD) непритязательны в хранении и вполне надежны в течение 10 — 15 лет. Большего и не требуется. По истечении этого срока неизбежно придется или переписывать файлы на другой тип носителя (т.к. невозможно будет считать информацию с CD), или конвертировать электронные документы в другие форматы и также переписывать на современные и емкие носители.
Оптические диски считаются самыми долговечными носителями. Некоторые производители определяют срок хранения своей продукции чуть ли не в 200 лет. Насколько это обосновано, может показать лишь практика, а она крайне противоречива. С одной стороны, есть свидетельства успешного использования записей на CD в течение 10 — 15 лет, с другой стороны, регулярно появляются сообщения об отказах считывания информации с этих дисков. При этом в последние годы особенно много нареканий поступало на доступ к файлам, записанным на CD-R1. Аналитики пока затрудняются дать исчерпывающее объяснение возможных причин: являются ли сбои в чтении файлов следствием ущербности технологии CD-R или каких-то других факторов (нарушения технологии при изготовлении «болванок», нарушения условий и режима хранения, технологической несовместимости устройств записи и считывания информации).
Особое внимание к выбору типа носителя следует уделять в случае возможного использования электронных документов в качестве письменных свидетельств или судебных доказательств. Если нереально придание документам юридической силы с помощью электронной цифровой подписи (ЭЦП), то следует их своевременно скопировать на CD-R — оптические диски с однократной записью информации.
Создание нескольких экземпляров файлов не исчерпывает комплекс работ по обеспечению их сохранности. Чтобы минимизировать затраты на поддержание этих экземпляров, необходимо создать оптимальные условия для хранения носителей информации.
Специфика условий и режима хранения во многом определяется типом электронных носителей. Например, для долговременного хранения магнитных носителей необходимо специальное оборудование, которое бы защищало их от магнитных и электромагнитных воздействий окружающей среды, или же размещать их подальше от мощных источников электромагнитных полей — электродвигателей, обогревателей, лифтового оборудования и т.п. Кассеты (катушки) с магнитными лентами необходимо прокручивать каждые 1,5 года для снятия статического напряжения и предотвращения так называемого копирэффекта. Общими моментами при хранении любых электронных носителей являются размещение их в вертикальном положении, защита от механических повреждений и деформаций, загрязнения и запыления, воздействия экстремальных температур и прямых солнечных лучей 2.
Очень важно соблюдение температурно-влажностного режима хранения электронных носителей. Общие рекомендации таковы: срок сохранения носителем своих качеств тем больше, чем ниже температура и относительная влажность, при которой он постоянно хранится. Например, хранение полиэфирных магнитных лент при относительной влажности 50% и температуре +11 оC обеспечивает сохранность их свойств в течение 50 лет (ISO 18923). По грубым оценкам, тот же срок для оптических дисков CD-R обеспечивается хранением при относительной влажности 50% и температуре +10 оC (ISO 18927); для дисков WORM — при относительной влажности 50% и температуре +3 оC (ISO 18925).3
* Изменение показателя в сутки.
** Изменение показателя в час.
Как видим, низкие температуры способствуют сохранению электронной информации, однако, они совершенно некомфортны для длительной работы человека. При этом также следует учитывать, что если требуется извлечение носителей из хранилища для их использования в нормальных офисных условиях, то они должны будут пройти акклиматизацию. Иначе весьма вероятны ошибки при считывании информации и нарушение структуры (порча) самих носителей. Но для того, чтобы акклиматизировать оптический диск с указанной выше температуры до +23 — 25 оC, потребуется не менее 3 ч. (лучше сутки). Продолжительность акклиматизации магнитной ленты зависит от ее ширины: чем шире лента, тем дольше следует ее акклиматизировать. Следует также иметь в виду, что ленты быстрее достигают температурного равновесия, нежели влажностного баланса. Например, для полудюймовых лент изменение температуры на 5 оС должно проводиться не менее 0,5 часа, а изменение относительной влажности на 10% — не менее 4 суток.
Поэтому при выборе режимов хранения электронных носителей следует учитывать множество факторов и соотносить интенсивность использования носителей, затраты на поддержание режимов хранения (которые могут оказаться весьма существенными) с затратами на регулярное копирование документов на «свежие» носители. Как отмечалось выше, при организации долговременного хранения электронных документов вполне допустим срок в 10 лет для хранения носителей, на которые они записаны. При этом допустимы «офисные» режимы хранения: для магнитных лент — температура +23 оC (ISO 18923), для оптических дисков — +25 оC (ISO 18927), при относительной влажности 50%. «Основные правила работы государственных архивов» устанавливают следующий температурно-влажностный режим в архивохранилищах: температура — +17 — 19 оC, относительная влажность — 50 — 55%. При таких условиях можно рассчитывать на срок хранения дисков CD-R до 20 лет.
Если проблемы физической сохранности файлов в настоящее время решаются довольно успешно, то другие аспекты долговременного хранения электронных документов ждут своего методологического обоснования и технологического прорыва. Возникающие проблемы связаны с быстрой сменой и устареванием аппаратного и программного компьютерного обеспечения.
Со временем устройства, с помощью которых информация считывается с внешних носителей, изнашиваются и морально устаревают.
Так, например, исчезли 5-дюймовые магнитные дискеты, а вслед за ними компьютеры перестали оснащать дисководами и драйверами для их считывания. В ближайшее время подобная судьба ожидает 3-дюймовые дискеты: многие современные модели ПК уже выпускают без дисководов к ним. Устройства для считывания информации с оптических дисков, скорее всего, также со временем изменятся.
Приблизительный жизненный цикл подобных технологий — 10 — 15 лет,после чего следует их быстрое вытеснение из производства. Такие технологические изменения нужно учитывать при организации долговременного хранения электронных документов. Желательно каждые 10 — 15 лет копировать документы на новейшие типы электронных носителей. Так что вопрос, сохранят ли свои качества магнитные ленты или оптические диски после 50 лет хранения, теряет остроту. Архивам достаточно гарантий производителей на ближайшие 15 — 20 лет.
Воспроизведение электронных документов зависит в первую очередь от применяемого программного обеспечения:
Для основной массы делопроизводственных и финансовых электронных документов с небольшими сроками хранения зависимость от смены программного обеспечения не существенна: жизненный цикл программного обеспечения оценивается в 5 — 7 лет. К тому же, многие современные электронные делопроизводственные системы и системы электронного архива организации (например, на базе таких широко известных систем управления документооборотом как DOCUMENTUM или DocsOpen) снабжаются необходимыми конверторами форматов. В кратковременнойперспективе для доступа и воспроизведения большинства текстовых, графических и видео документов (но не баз данных или сложных конструкторских систем и мультимедиа) использование таких конверторов самодостаточно.
При организации долговременногохранения электронных документов смена программной платформы может привести к полной утрате документа из-за невозможности их просмотреть. Существует несколько решений данной проблемы:
Миграция — своевременный перевод баз данных и других электронных документов на современную технологическую платформу, чаще всего в форматы, которые используются в организации для оперативного управления информационными ресурсами (т.н. «пользовательские форматы»). Это сложный и дорогой путь. Как правило, простых конверторов здесь не достаточно. Наибольшие проблемы возникают с базами данных. Обычно к миграции прибегают для обеспечения доступа к оперативным и архивным информационным ресурсам, которые имеют важное значение для деятельности организации и постоянно используются в работе. В государственных архивах этот путь рационально использовать для организации оперативного доступа к наиболее важным или часто используемым архивным электронным ресурсам.
При организации долговременного хранения баз данных и других электронных документов желательна их предварительная (перед передачей в архив) миграция в «открытые» или «архивные» (страховые) форматы. Для текстовых документов это — txt, rtf, pdf; для графических — tiff, jpg; для таблиц и баз данных — txt, xls, db, dbf. Цель такой подготовки к архивному хранению заключается в том, что в случае необходимости из страховых форматов проще конвертировать документы в форматы текущих информационных систем.
Иногда миграция информационных ресурсов на другие платформы по какой-то причине представляется нереальной или может существенно исказить оригиналы электронных документов. Это, в первую очередь, относится к сложноструктурным и многоформатным ресурсам: документам из систем автоматизации проектных работ (САПР) и геоинформационных систем, мультимедиа-продуктам и т.п. В таких ситуациях можно использовать эмуляторыпрограммной среды, что, впрочем, бывает непросто сделать, так как они могут быть разработаны не для всех программных оболочек. Именно поэтому при разработке информационных систем следует изначально ориентироваться не только на распространенные форматы хранения, но и на распространенные операционные системы, СУБД и другое программное обеспечение. В этом случае может быть проще найти необходимые эмуляторы, которые могут разрабатываться и поставляться на рынок самими производителями программного обеспечения. Например, операционные системы MS Windows\’95, 98, NT, 2000, XP поддерживают эмулятор операционной системы MS DOS. Так как это широко распространенные операционные системы, есть надежда, что корпорация Microsoft и в дальнейшем будет поддерживать эмуляторы своих старых ОС.
Инкапсуляция — включение электронных документов в состав файлов межплатформенных форматов, например, в XML. В настоящее время американские архивисты рассматривают этот способ как наиболее оптимальный для обмена и долговременного хранения электронных документов[4], хотя вряд ли его можно считать панацеей от всех проблем.
Следует отметить, что исследования, связанные с применением эмуляции и инкапсуляции при долговременном хранении электронных документов, носят пока единичный характер. Даже если вскоре и будут предложены некоторые методики, потребуется немало времени для их апробации. Поэтому единственным проверенным способом долговременного хранения электронных документов пока остается миграция.
Со способами обмена электронными документами и методами обеспечения их долговременного хранения тесно связаны проблемы обеспечения их аутентичности.
До сих пор главным средством аутентификации электронной документации служат протоколы аудита сетевых ресурсов.С их помощью можно проследить историю документов и выявить случаи несанкционированного доступа к ним. Однако слабым местом такой системы аутентификации являются сами протоколы, находящиеся в практически бесконтрольной власти сетевых администраторов.
Другая проблема — обеспечение аутентичности в межсетевом (межкорпоративном) пространстве. Без четких представлений о происхождении электронных документов и твердых гарантий их целостности суды отказываются признать за ними доказательную силу и принимать в качестве письменных свидетельств. Обмен электронными документами осуществляется на доверительной основе (например, электронная почта) и их достоверность гарантируется лишь авторитетом владельца информационного ресурса или электронного адреса. В свое время именно нерешенность вопросов аутентичности и целостности электронных документов помешала реализации идей «безбумажного офиса».
С середины 1990-х гг. наметился заметный прогресс в аутентификации электронных данных, в технологическом и правовом отношениях. Все большее распространение получают электронные средства защиты целостности данных и их идентификации с определенным физическим лицом — так называемые цифровые (электронные, электронные цифровые) подписи и печати, электронные «водяные знаки», контрольные суммы файлов и т.п.
Все множество цифровых подписей условно можно свести к двум классам:
В правовом отношении ЭЦПдолгое время находила применение лишь в частноправовой сфере. Для ее применения необходимо было заключение двусторонних или многосторонних договоров (на бумаге), в которых определялись все нюансы генерации, верификации, хранения ЭЦП и ответственность сторон. Рубеж веков стал периодом массового правового признания электронных средств аутентификации в открытых информационных сетях. Законы об ЭЦП или электронном документе были приняты в большинстве развитых и многих развивающихся странах.
Правовое признание ЭЦП превращает этот реквизит в надежное средство, обеспечивающее аутентичность и целостность электронных документов, однако только тех, которые находятся в оперативном использовании, со сроком хранения пять, максимум 10 лет. Для аутентификации документов на протяжении десятков лет ЭЦП не годится.Чтобы понять, почему это происходит, нужно несколько слов сказать о том, что собой представляют технологии криптографической аутентификации и защиты информации, определяемые законодательством как «аналог собственноручной подписи».
Российский закон об ЭЦП помогает раскрыть сущность этой технологии. В нем ЭЦП определяется как «реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе» (ст. 3).
ЭЦП выглядит как последовательность цифр и других символов, что, собственно, и позволяет говорить о ней как о реквизите, обособленном от других реквизитов электронного документа. Технологически ЭЦП возникает в результате выполнения системой криптозащиты так называемого асимметричного алгоритма шифрования, т.е. шифрования с использованием ключа (опять же последовательность цифр), который отличается от ключа, применяемого потом для расшифрования сообщений. Первый ключ называется закрытым (тайным, личным) ключом. Им может владеть только тот человек, от лица которого документ подписывается. Второй ключ — открытый, его значение может узнать любой, кому необходимо удостовериться в подлинности ЭЦП. Эта пара ключей взаимосвязана, но при этом закрытый ключ не может быть за обозримое время вычислен, исходя из значения открытого ключа. Таким образом, использование открытого ключа при аутентификации надежно связывает подписанный документ с обладателем закрытого ключа.
В то же время особенностью ЭЦП, которая отличает ее от собственноручной подписи человека, является то, что идентифицирует она не столько лицо, подписавшее электронный документ, сколько конкретный документ: два разных документа, подписанные с использованием одного и того же закрытого ключа, будут иметь разные числовые выражения ЭЦП. Связано это с тем, что, кроме закрытого ключа, в алгоритм вычисления ЭЦП включены и другие параметры, в первую очередь, так называемый хэш-код файла/ов с электронным документом.
Алгоритмы хэширования информации реализуются с помощью хэш-функций, которые в криптографии относятся к разряду однонаправленных, т.е. таких, которые достаточно легко высчитать, но очень непросто обратить. При использовании качественной хэш-функции вероятность получения одного и того же хэш-кода для двух различных файлов ничтожно мала. Именно хэш-код электронного документа гарантирует его целостность — то, что после подписания документа можно будет легко установить, вносились ли в него изменения или нет.Удобство хэш-функций при вычислении ЭЦП заключается также в том, что они преобразовывают цифровые последовательности (файлы) разнообразной длины в последовательности (хэш-коды) фиксированной длины в 56, 64 и т.п. бит информации. Этим самым экономятся вычислительные ресурсы пользовательских компьютеров.
Идею асимметричного шифрования выдвинули в 1976 г. американские криптографы У. Диффи и М. Хеллман. Тогда же появился RSA, широко используемый и в настоящее время алгоритм шифрования с открытым ключом. В нашей стране в 1994 г. были изданы ГОСТ 34.10 на генерацию и верификацию ЭЦП и ГОСТ 34.11 на хэширование информации. С 1 июля 2002 г. действует новый ГОСТ 34.10–2001, который в два раза увеличил длину ключа подписи (до 1024 бита). Большинство существующих на российском рынке средств ЭЦП основаны именно на этих стандартах.
Существуют разные технологии приложения ЭЦП к электронному документу. Одни из них дописывают хэш-код, подпись и другие, связанные с ними реквизиты (например, отметку о времени подписания), непосредственно в файл с документом. Другие размещают эту информацию в связанных с документом файлах. Во многом именно по этой причине ЭЦП, сгенерированную в одной системе криптозащиты, невозможно проверить в другой системе, даже если они основаны на одних и тех же алгоритмах шифрования. Кроме этого, российские средства ЭЦП — «Верба», «Криптон», «Крипто-Про», «Корвет», «ЛАН Крипто» — часто реализуют различные протоколы (правила) аутентификации, что также не способствует их совместимости. Таким образом, подлинность подписи лучше проверять тем же средством ЭЦП, с помощью которого она была сгенерирована.
Следует также отметить, что подтверждение подлинности ЭЦП — процесс технологически кратковременный. Он зависит от жизненного цикла средства ЭЦП — конкретной системы криптографической защиты данных. В частности, аутентификация электронного документа становится невозможной после смены технологической платформы или бесполезной после утраты юридической силы сертификата средства ЭЦП. Это значит, что под вопросом оказывается подлинность документов, подписанных ранее.
Немаловажен и вопрос о стойкости ЭЦП, которая в первую очередь зависит от длины открытого ключа подписи. В середине 1970-х гг. считалось, что для разложения на множители числа из 125 цифр потребуются десятки квадрильонов лет. Однако всего через два десятилетия с помощью нескольких тысяч компьютеров, соединенных через Интернет, удалось разложить число из 129 цифр[5]. Это стало возможным благодаря как новым методам разложения больших чисел, так и возросшей производительности компьютеров и объединения их в глобальные вычислительные сети. В настоящее время при расчете стойкости алгоритмов генерации и верификации ЭЦП во внимание принимается срок ответственности по основным банковским операциям. А он не превышает пяти лет. Например, первый ГОСТ Р 34.10–94 использовал 512-битный алгоритм шифрования. ГОСТ Р 34.10–2001 использует уже 1024-битный алгоритм. По мнению экспертов, данный ГОСТ сможет сохранить устойчивость к вскрытию лишь в ближайшие 5 — 6 лет. То есть через 10 — 15 лет никто не гарантирует, что ЭЦП, сгенерированная с использованием этого ГОСТа, не была фальсифицирована неделю назад.
Но главная проблема при аутентификации электронных документов, подписанных ЭЦП, состоит в том, что этот реквизит (как и значение отдельного хэш-кода или контрольной суммы, гарантирующих целостность документа) неразрывно связан с форматом документа. При переформатировании электронного документа (что неизбежно при долговременном хранении) проверка подлинности ЭЦП становится бессмысленной.
Наиболее приемлемым методом обеспечения аутентичности электронных документов при долговременном хранении (особенно заверенных ЭЦП)можно было бы считать применение эмуляторов или конверторов при их воспроизведении. Но подобная практика пока мало изучена. Проблемы здесь видятся как в ограниченном наборе этих программных средств, так и в возможных ошибках воспроизведения документов, которые могут возникать при эмуляции или конвертировании, что опять-таки негативно сказывается на доказательной силе электронных документов при долговременном хранении. Инкапсуляция, вероятно, самый перспективный способ. Именно способ решения проблемы аутентичности электронных документов видят в нем американские архивисты. Но он требует долговременной апробации и дальнейшего развития.
Необходимость переформатирования электронных документов при долговременном хранении приводит к тому, что, по существу, появляется другой документ с измененными реквизитами и контрольными характеристиками: датой последнего сохранения, объемом, контрольной суммой, хэш-кодом, ЭЦП и т.п. Получается, что подлинник электронного документа будет невозможно прочитать и использовать, а его миграционная копия не будет иметь юридической силы.
Отмеченная проблема — обеспечение аутентичности электронных документов в долговременной перспективе — на сегодняшний день, пожалуй, самая острая и сложная. Четких рекомендаций, как ее решить, пока нет ни в нашей стране, ни за рубежом.Сейчас выход видится в одном: не стоит на этапе делопроизводства создавать, а затем хранить исключительно в электронном виде документы, предполагающие длительный срок хранения и серьезную ответственность сторон. Желательно одновременно создавать и хранить этот официальный документ также на бумажном носителе.
В условиях нерешенности технологических проблем аутентификации электронной информации на первое место выходит «старый дедовский метод»: удостоверение подлинности электронных документов при передаче их на внешних носителях в архив с помощью документов на бумаге, оформленных в соответствии с требованиями ГОСТ 6.10.4–84 и ГОСТ 28388–89. Указанные ГОСТы технологически и концептуально давно устарели, многие их положения на практике просто не выполнимы[6]. Однако они по-прежнему действуют и включают в себя рациональное ядро, которое можно использовать при разработке формы удостоверяющего документа. Подобный документ (удостоверяющий лист, сопроводительное письмо, акт приема-передачи документов или т.п.) должен включать идентификационные характеристики файлов и электронного носителя и быть заверенным подписями должностных лиц и печатью.
Таким образом, анализ природы электронных документов позволяет определить несколько условий, выполнение которых обеспечивает их сохранность и возможности использования на протяжении десятков лет:
В следующем номере читайте продолжение статьи. Будут рассмотрены вопросы организации учета и описания электронных документов при их долговременном хранении.
1 См., например: Через пару лет информация с CD-R исчезнет ().
2 2 См.: ISO 18923, 18925, 18933.
3 См.: ISO 18923:2000. Imaging Materials. Polyester-Base Magnetic Tape. Storage Practices (Полиэфирные магнитные ленты. Правила хранения); ISO 18927:2002. Imaging Materials. Recordable Compact Disc Systems. Method for Estimating the Life Expectancy Based on the Effects of Temperature and Relative Humidity (Компакт-диски с однократной записью информации. Метод оценки долговечности, основанный на эффектах связанных с температурой и влажностью); ISO 18925:2002. Imaging Materials. Optical Disc Media. Storage practices (Оптические диски. Правила хранения).
4 См: INFORMATION MANAGEMENT. Challenges in Managing and Preserving Electronic Records. GAO. United States General Accounting Office. Report to Congressional Requesters. June 2002. GAO–02–586.
5 См.: Анин Б.Ю. Защита компьютерной информации. СПб., 2000. С. 121.
6 ГОСТ 6.10.4–84. Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники. Основные положения. М., 1985; ГОСТ 28388–89. Системы обработки информации. Документы на магнитных носителях данных. Порядок выполнения и обращения. М., 1990.
