Wykorzystanie nośników danych w pracy archiwum

[bubus]

Witam, planuję zakup pendrive dla przechowywania kopii zapasowej danych elektronicznych archiwum. Jak to wygląda od strony prawnej, czy muszę to oficjalnie zgłosić, np. do wydziału informatyki lub IOD? W instrukcji archiwalnej jest zapis o dopuszczeniu wykorzystania informatycznych nośników danych. Czy w związku z tym mam do tego pełne prawo i nie muszę nikogo informować, dbając wyłącznie o właściwe zabezpieczenie tych danych? Pozdrawiam

[Aleksandra]

Ja mam dwa szyfrowane pendrive'y, na których raz w tygodniu robię kopie zapasowe ewidencji archiwum. Zgodnie z polityką wewnętrzną w mojej instytucji (m. in. bezpieczeństwo informacji - IOD), pendrive'y są wciągnięte na listę nośników dopuszczonych do podłączenia do służbowego komputera, a fakt dopuszczenia ich, czyli uzyskania zgody na ich używanie przez moją komórkę, musiało zostać przeze mnie umotywowane, a ta motywacją są przepisy instrukcji archiwalnej.

[Jarek]

Pogięło was? Z tego co piszecie pracujecie w instytucjach mających sieć komputerową. Jakie pendrivy? Wszelkie kopie czy ewidencji czy zasobu elektronicznego powinny być tworzone zgodnie z zasadami funkcjonowania sieci!

[Aleksandra]

To serio aż taka zbrodnia, że tymi słowy się do mnie zwracasz? Instrukcja archiwalna dopuszcza elektroniczną ewidencję dokumentacji papierowej, jeżeli są spełnione określone warunki, m. in. sporządzanie kopii zapasowej na informatycznych nośnikach danych. Tak, jest też zapis mówiący o tym, że (warunki te) "..uważa się za spełnione, jeśli dla podmiotu została opracowana i wdrożona polityka zarządzania bezpieczeństwem informacji, w której określono wymagania bezpieczeństwa zgodne z Polską Normą PN-ISO/IEC 27001:2007 lub nowszą". Zatem, jeżeli podmiot nie spełnia tych wymagań, to zabezpiecza ewidencję na nośniku danych, czyż nie? A w drugiej opcji, jeżeli podmiot spełnia te wymagania, to zapisywanie takich kopii na nośnikach zewnętrznych jest niedopuszczalne?

[Jarek]

A gdzie tam jest napisane że to muszą być nośniki zewnętrzne?! Owszem, jak się nie ma sieci, to tak, nie ma się wyboru. Ale jak masz sieć to ona ma dyski sieciowe i inne nośniki, oraz system tworzenia kopii zapasowych (których są na pewno co najmniej dwie). Niech informatycy stworzą Ci hasłowany katalog  "w sieci" i tyle. Jak się ma sieć to bawienie się w robienie kopii na pendrivach to są zabiegi z grupy rytuałów magicznych.

[MarcinP]

Sporządzanie kopii offline na zaszyfrowanym dysku nie jest złe, nawet jeżeli mamy sprawnie działającą sieć informatyczną. Takie kopie zapasowe "offline" wykonuje się dla kluczowych oprogramowań okresowo (przynajmniej powinno się tak robić). Jak szlag trafi sieć, to będzie z czego odzyskiwać.

[Jarek]

O czym Ty piszesz. Sieć komputerowa jednostki ma zawsze zasady tworzenia kopii zapasowych, jej wszystkie zasoby bieżące mają takie kopie (na pewno co najmniej dwie). Wystarczy więc dane potrzebne dla archiwum włożyć do tej sieci, w dedykowany katalog, z odpowiednimi zabezpieczeniami dostępu. I to samo w sobie spełnia wymogi określone w rozporządzeniu.
Pendrivy to nieszczęście i zagrożenie dla sieci, i szerzej - dla systemu bezpieczeństwa informacji. Bo byle kto może to wsadzić w kieszeń i wynieść, dlatego właśnie zasady bezpieczeństwa informacji wymagają specjalnej zgody na stosowanie pendriwów - jako inforamtycznego dziwactwa i potencjalnego zagrożenia dla bezpieczeństwa informacji.

[Aleksandra]

Pendrivy to nieszczęście i zagrożenie dla sieci, i szerzej - dla systemu bezpieczeństwa informacji. Bo byle kto może to wsadzić w kieszeń i wynieść, dlatego właśnie zasady bezpieczeństwa informacji wymagają specjalnej zgody na stosowanie pendriwów - jako inforamtycznego dziwactwa i potencjalnego zagrożenia dla bezpieczeństwa informacji.

Polityka bezpieczeństwa określa kto i na jakich zasadach może używać pendrivów, nie ma mowy, by "byle kto" wsadził do kieszeni i wyniósł. Pendrive jest przypisany do osoby, szyfrowany i deponowany w sejfie.

[Jarek]

Czy przed otwarciem sejfu trzeba trzy razy splunąć przez lewe ramię?
Tak z ciekawości pytam.
Pendrive ma sam w sobie to do siebie że byle kto może go wynieść, bez względu na to jak ważna i biegła w deponowaniu w sejfie jest osoba która go używa.
Pendrive ma też to do siebie że trzeba sprawdzać czy działa co jakiś czas, kopiować dane na równie profesjonalne i nowoczesne nośniki. A jak nie będą działać no to trzeba się równie profesjonalnie i nowocześnie  zmartwić z powodu utraty danych.

[Leksandra]

W dzisziejszych czasach,  jak najbardziej kopia zapasowa może być wykonywana na nośnikach zewnętrznych, nie podłączonych do sieci. Procedury oczywiście muszą być zachowane (polityka bezpieczeństwa) w sposób, o jakim pisze Aleksandra. Cyberataki potrafią zaszyfrować całą sieć i nic po kopiach zapasowych, które się na niej znajdują.

[Jarek]

Wykonywanie kopii bezpieczeństwa to nie jest zadanie archiwisty. Przy tym wykorzystywanie do tego celu pendrivów to nieporozumienie.

Złe rozumienie przepisów to jedno z nieszczęść archiwistyki i postępowania z dokumentacją. To nieszczęście jest tym większe, bo im głupszy jest pomysł, wynikający ze złego rozumienia przepisów, tym bardziej się on upowszechnia i tym bardziej okazuje się trwały - mimo wyjaśnień, szkoleń itd.