Týdeník Veřejná správa


 Téma

Ing. Vít Lidinský,
Ministerstvo zahraničních věcí
Doc. PhDr. Ivana Švarcová, CSc.,
Katedra informačních technologií,
Česká zemědělská univerzita v Praze

DUEL IV.
Tvorba a provoz archivu

Vyšlo v čísle 20/2007

Autor kresby: Zdeněk KlůcV předcházejících dílech věnovaných problematice dlouhodobého uchovávání elektronicky podepsaných elektronických dokumentů (DUEL) byly zmíněny všechny problémy, které je zapotřebí aktivně řešit v důsledku rozvoje eGovernmentu, eFakturace a dalších elektronických agend v České republice. V tomto díle budou představeny jednotlivé koncepční požadavky pro DUEL. Problematika tvorby a provozu archivu, který zabezpečí DUEL, je velmi široká, pozornost tedy bude věnována pouze jádru problému.

Formáty

Počet formátů, které budou archivním pracovištěm přijímány, musí být omezen. Pro jednotlivé formáty musí být jasně vymezen způsob jejich dlouhodobého uchovávání včetně postupů při jejich migraci. Předpokládanými druhy formátů pro DUEL jsou:

Z množství souborů, které připadají pro DUEL v úvahu a jejichž výčet není zdaleka úplný, je zřejmé, že jejich výčet je potřeba pevně stanovit. Vzhledem k tomu, že největším původcem dokumentů pro jejich dlouhodobé uchovávání je dnes veřejná správa, musí být právně zajištěny nejen výstupy z orgánů veřejné správy, ale také vstupy dokumentů do orgánu veřejné správy (viz Schéma). Z obrázku vyplývá, že dokumenty, které “putují” do archivu, vznikají na konkrétním orgánu veřejné správy, kterému jsou předávány ostatními orgány veřejné správy, komerčními subjekty a občany. Legislativním nástrojem pro stanovení výčtu formátů je zákon č. 499/2004 Sb., o archivnictví a spisové službě a jeho prováděcí právní předpisy (nebo nový zákon, který bude řešit problematiku DUEL). Vzhledem k tomu, že archiv bude muset reagovat na vznik a používání nových formátů, bude vhodné seznam formátů přijímaných archivem k dlouhodobému uchovávání stanovit vyhláškou. Současně se zákonem č. 499/2004 Sb. je třeba promítnout omezení formátů také například do zákona č. 500/2004 Sb., o správním řízení a zákona č. 137/2006 Sb., o veřejných zakázkách. Je žádoucí, aby byla zahájena diskuse o tom, zda omezovat z hlediska počtu formátů i takové vstupy do orgánu veřejné správy, které nejsou předmětem předání do archivu (zpravidla deset let po vzniku dokumentu). Příkladem takového právního předpisu je například nařízení vlády č. 495/2004 Sb., o zřízení elektronických podatelen.

Třídění formátů

Pro jednotlivé formáty musí být vypracovány plány, ve kterých bude odhadnuta jejich podpora. Respektive, jak dlouho se předpokládá, že tento formát bude výrobci softwaru podporován a tudíž soubory v daném formátu nebude třeba migrovat. Na základě doby podpory konkrétního formátu budou při příjmu soubory tříděny do dvou kategorií - “migrovat” a “uchovat”. Soubory spadající do kategorie “migrovat” je zapotřebí ihned při vstupu do archivu migrovat do formátu, který zajistí jejich čitelnost. Do této kategorie mohou být zahrnuty také soubory, které nejsou ve formátu, který byl archivem přijímán, ovšem jejich uchování je vysoce žádoucí. Soubory spadající do kategorie “uchovat” mají čitelnost, alespoň z pohledu daného časového okamžiku, zajištěnu. Tyto soubory jsou uchovávány ve formátu, ve kterém byly přijaty a v okamžiku jejich přijetí se tedy není třeba zabývat jejich migrací, respektive zajištěním autenticity při jejich migraci.

Migrace a formáty

Pro výběr vhodných formátů pro dlouhodobé uchovávání je třeba vzít v úvahu samozřejmě jejich rozšířenost, a současně také jejich dokumentovatelnost. Pokud je totiž formát elektronického dokumentu proprietárním formátem – tj. řešením, které není plně dokumentováno pro svoji implementaci, jeho migrace může být těžko proveditelná. Pokud formát není dokumentován, je lépe jej nahradit plně zdokumentovaným formátem a soubory proprietárního formátu označit jako “migrovat”. V případě rozhodnutí o tom, že formát nebude archivem podporován, je třeba vzít v úvahu i další fakta, jako jsou situace “výrobce” tohoto formátu a zajištění jeho budoucí podpory, rozšířenost tohoto formátu, rozšířenost konkurenčního formátu, počet konkurenčních formátů.

Zajištění autenticity

Jak bylo vysvětleno v předcházejících dílech této série, v případě migrace nelze prokázat platnost elektronického podpisu/značky nebo časového razítka. Vazba těchto autentizačních prvků na konkrétní soubor je porušena změnou hash souboru. Tento proces je nezvratný. Čistě technologickým postupem nemůže být tato problematika řešena, musí se tak dít ve spolupráci s legislativou. Otázkou je, zda má vzniknout zcela nový právní předpis, či zda má být pouze doplněn a rozšířen současný zákon č. 499/2004 Sb., o archivnictví a spisové službě. Náplní právního předpisu pro DUEL má být v podstatě jediné. Prostředí archivu, které je zajištěné fyzicky, personálně, technicky a administrativně, je důvěryhodné. Důvěryhodnost prostředí archivu bude využita pro provádění migrací dokumentů.

Migrace, provedená

    1. vhodným technickým nástrojem,
    2. za přítomnosti například notáře nebo jiné zákonem určené osoby,
    3. s patřičnou dokumentací nebo zápisem, který je podepsán stanoveným počtem přítomných oprávněných pracovníků,
    4. tak, že původní dokumenty (migrované dokumenty) zůstávají v archivu uloženy a jsou provázány s dokumenty migrovanými,
    5. tak, že u nových dokumentů jsou metadata, ve kterých je uveden původ tohoto dokumentu a také autentizační prvky, které byly na tomto dokumentu použity, včetně záznamu o jejich platnosti v době podepsání (1), případně označení e-značkou,

je označena jako migrace důvěryhodná, kdy po této migraci je na migrované dokumenty ze strany legislativy pohlíženo jako na “originál” elektronického dokumentu. Současně s podmínkami důvěryhodnosti migrace musí být stanoveny další podmínky, které zajistí důvěryhodný systém archivu. Jedná se o zajištění

    1. zabezpečení vstupu do prostor, kde je pracováno s “originály” dokumentů, které jsou migrovány. Osoby, které vstupují, musí být patřičným způsobem prověřeny a oprávněny ke vstupu,
    2. systému pracoviště, který je využíván pro zpracování “originálů” dokumentů a kde je prováděna migrace dokumentů a kde jsou tyto “originály” a “migrované originály” uloženy. Tento systém, kromě naplnění požadavků stanovených zákonem č. 365/2000 Sb., o ISVS, nesmí být přístupný z veřejné sítě (Internet) a přístup do systému je možný pouze za použití například biometrických údajů oprávněných osob (2),
    3. vytváření záznamů o událostech (logy), všechny činnosti v systému jsou monitorovány a logovány (3), logy jsou kontrolovány (je ověřována jejich integrita), vyhodnocovány a v souladu s formátem souboru, v němž jsou uloženy, také dlouhodobě uchovávány,
    4. vymezení kritických činností a zajištění, že tyto činnosti jsou v důvěryhodném systému archivu vždy zachovány,
    5. provádění pravidelného auditu/kontroly bezpečnostní shody nezávislou třetí stranou, jehož výsledky jsou zveřejňovány.

Opatření proti stárnutí kryptografických algoritmů

Tato problematika je u různých světových projektů řešena systémem “nabalování časových razítek”. Vždy, když je kryptografický algoritmus, na němž je založen současný e-podpis/značka nebo časové razítko, slabý (tzn. je teoreticky nebo kryptograficky prolomen), dojde k tomu, že dokument je orazítkován časovým razítkem, které je založeno na algoritmu v dané době silným. Tímto způsobem dochází k “nabalování časových razítek” na daný elektronický dokument. Dobu, po kterou je kryptografický algoritmus silný (při použití RSA šifrovacího algoritmu, SHA 256 hash funkce a soukromým klíčem - data pro vytváření elektronického podpisu podle zákona č. 227/2000 Sb. - v délce 2048 bitů), můžeme vzhledem k rozvoji informačních technologií odhadovat na pět let. Tento způsob ochrany elektronického dokumentu má být využit u jeho “originálu” a také u jeho “migrovaných originálů”. Způsob zajištění časovými razítky je z hlediska evidence použitých kryptografických algoritmů u jednotlivých souborů poměrně náročný. Druhým možným řešením je opět zajištění důvěryhodným systémem archivu jako takovým. Pokud je důvěryhodný systém archivu, v němž jsou umístěny elektronické dokumenty, zabezpečen takovým způsobem, že je v něm z hlediska zákona možno provádět migraci, poskytuje také dostatečně důvěryhodné prostředí pro dlouhodobé uchovávání elektronických dokumentů, jejichž e-podpis/e-značka nebo časové razítko jsou vytvořeny na základě slabých nebo prakticky prolomených kryptografických algoritmů (4).

Úplný text je v časopise Veřejná správa č. 20/2007.

Poznámky:

  1. Dobu podepsání případně existence dokumentu můžeme prokázat připojeným časovým razítkem, případně jiným úředním záznamem (například záznamem o platnosti e-podpisu nebo e-značky učiněným při přijetí dokumentu do správního řízení).
  2. Jednotlivé archiválie samozřejmě budou přístupné veřejnosti, ale vše se týká jiného informačního systému, který slouží pro zpřístupňování a který nebude pracovat s “originály” elektronických dokumentů.
  3. Problematika logování je jednou z hlavních výhod správy elektronických dokumentů. V případě, že vpustíte osobu do “papírového” archivu, nelze ji do jisté míry kontrolovat. V digitálním archivu lze kontrolovat vše, čtení souborů, manipulace, kopírování aj.
  4. Pro zajištění autenticity e-podpisu nebo e-značky je nutná existence metadat a ověření e-podpisu, e-značky v době jejich přijetí orgánem veřejné správy. Součástí metadat by měl být například i Certification revocation list (CRL) konkrétního poskytovatele certifikačních služeb. U dokumentů s mimořádnou historickou hodnotou je možno uchovat i takové, které byly podepsány v době, kdy certifikát, na němž je e-podpis nebo e-značka založen je zneplatněn, v těchto případech jsou metadata včetně CRL důležitou informací.