Archivace, legislativní dopady na IT - II. Ing. Zdeněk Blažek, CSc. CISM. COMMERZBANK AG Jh. Katedra počítačových systémů Fakulta informačních technologiíí České vysoké učení technické v Praze Zdeněk Blažek, 2011 Řízení rizik v informatice LS 2010/11, Předn. 13 https://edux.fit.cvut.cz/rri Evropský sociální fond Praha & EU: Investujeme do vaší budoucnosti Ing. Zdeněk Blažek, CSc. CISM. Archivace, legislativní dopady na IT. Přednáška 13/13, 2011
Archivace - postup Příprava na archivaci Připravit identifikované systémy, aplikace V systémech/aplikacích provést datovou analýzu jaká data jsou uložena Připravit legislativní analýzu jaké zákony/povinnosti se organizace týkají Připravit podklady z BIA Připravit formuláře pro hodnocení dat Formuláře by měli společně vyplňovat lidé z IT a obchodu/řízení právník může být konzultován (viz RACI)
Věk Profil systému Obecnáčást Název aplikace/systému Role v organizaci Popis systému Archivace, legislativní dopady na IT, 13/13 Archivace - Profil systému 1 Vlastník systému v rámci organizace Nákladové středisko Stav systému (např. ve vývoji, v provozu atd.) Kontakty (dodavatel, servis atd ) Základní funkce v činnosti organizace (např. Objednávkový system, účetní atd..) Působnost systému v rámci organizace (pro celou organizaci, pro oddělení a jaká )
Archivace - Profil systému 2 Data z hlediska legislativy Význam Jsou data systému vyžadována pro činnost na základě zákonnéči Jsou jiné povinnosti data vyžadována na základě Je systém zákonné či využíván jiné povinnosti v rámci jedné země? Datové informace Dodavatel Datové systému informace Data Dodavatel vázána systému úzce na aplikaci? Lze Data data vázána úzce na exportovat aplikaci? v obecném Lze data exportovat datovém formátu? v obecném datovém formátu? Nízký Vnitřní Vnitřní Vnější Vnější Střední Jestliže ano jaké? Popište Jestliže ano jaké? Jestliže ne, existují v místě provozo- popište vání v zahraničí právní předpisy upravující archivaci? Kontakty: Jestliže Kontakty: ano, jak - popište Jestliže ano, jak - v popište jakém - popište Jestliže ano, v jakém - popište Kontrola legislativních povinností Vysoký
Data z hlediska legislativy Jestliže jsou data vyžadována po jakou dobu? Jaké jsou možné sankce za nedodržení povinnosti? Archivace, legislativní dopady na IT, 13/13 Archivace - Profil systému 3 30 let Velmi vysoké - likvidační 20 let Vysoké 15 let Nízké 5 let Zanedbatelné Jiné (specifikujte) Nutno stanovit dle organizace!! Má organizace centrálu v zahraničí? Má centrála řešení pro archivaci? Jestliže ano jaké? Popište Data z hlediska organizace Důležitost dat z hlediska organizace Vysoká Střední Nízká Důležitost dat z historického hlediska Vysoká Střední Nízká Existují právní závazky, vztahující se k datům? Jestliže ano, jaké popište
Data z technického hlediska Je používána databáze? Jaká je verze? Popište. Archivace, legislativní dopady na IT, 13/13 Archivace - Profil systému 4 Jestliže ano, jaká? Je tato verze i nadále podporována? Jestliže ne jaké je řešení do budoucna? Popište Existuje dokumentace? Jestliže ne, je možno ji vytvořit? Je databáze úzce vázána na OS? Jaká je perspektiva stávajícího OS? 5 let 3 roky 1 rok 0 Existuje možnost převodu na jiný OS? Jestliže ano, na jaký?
Archivace - Profil systému 5 Data z technického hlediska Použité operační systémy Servery: UNIX, AIX Servery: Microsoft 2003, Jiné: Pracovní stanice: Vista, XP Jiné: Existují zálohovací mechanismy? Jestliže ano, jaké? Jaká jsou media? Popište. Jaká je teoretická retence dat medií? 20 + let 10<Tr<20 let 10 let< Jiná. Popište Existuje postup pro pravidelnou verifikaci? Jestliže ne, je možno jej vytvořit? Je retence dat medií dostatečná? Jestliže ne, existují postupy pro obnovu dat? Technické vybavení Stáří stávajícího HW 4 + let 4 < T HW < 2 roky < 2 roky Jiné. Popište
Archivace - Profil systému 6 Technické vybavení Lze aplikaci převést na nový HW? Jestliže ne, proč? Dodavatel Existuje smlouva o podpoře s dodavatelem? Jestliže ne, lze ji uzavřít? Existuje postup pro kontrolu stability dodavatele? Jestliže ne, je možno jej vytvořit? Je kontrolována možnost převzetí dodavatele jiným subjektem? Jestliže ne, existují havarijní postupy pro případ převzetí? Je kontrolována perspektiva aplikace u dodavatele?
Archivace - Profil systému 7 Dodavatel Existuje postup pro vyhodnocení kvality podpory dodavatele? Jestliže ne, lze ji odhadnout? Personální Je kvalifikovaný personál v organizaci? Lze zajistit kvalifikovaný personál externě? Prostorové a ostatní Jsou k dispozici energetické zdroje pro archivaci? Jsou k dispozici odpovídající prostory pro archivaci
Finanční aspekty archivace profil systému (pokračování) Rozpočet Existuje rozpočet pro archivaci systému/aplikace? Lze sloučit s rozpočtem pro archivaci jiného systému/aplikace? Odhadněte výši nákladů na archivaci po dobu 10 let 5 let 1 rok Tuto část by měl vyplnit kvalifikovaný personál IT (licence, HW, SW, media, verifikace, údržba, převody)
Archivace - vyhodnocení Prostředky vynaložené na archivaci musí být adekvátní možným dopadům. Př: jestliže sankce za nesplnění archivační povinnosti je např. 1 mil. korun, pak z hlediska investičního je maximální částka cca. 0,5 milionu korun. (2 roky je optimum HW nezestará, teoreticky je za dva roky zaplacený náklad.) Formuláře je nutno vyhodnocovat individuálně. Texturou vyznačená pole indikují možná rizika. Zaneste do registru rizik.
Archivace - Požadavky Prostorové Místo v datovém trezoru Jestliže ano, kolik? ks plocha Vyžadovaný prostor m2 Jestliže ne, lze ji odhadnout? Personální Požadované lidské zdroje (ročně) člověkodni Technické Počet serverů ks Příkon (kw)-odhad Paměťové nároky (TB) Media typ Media (počet) Licence pro zálohovací SW Jestliže anocena: Zálohovací zařízení pro archivaci
Archivace Požadavky 2 Technické Extra licence pro aplikaci? Jestliže ano, počet? PC workstation potřeba? Jestliže ano, počet? Jiné požadavky (specifikujte) Finanční Zvláštní rozpočet? Jestliže anovýše: Položka kryta rozpočtovou kapitolou: Jestliže anojakou: Organizační Spadá pod IT Jestliže ne-kam? Periodické kontroly prováděné v intervalu 1 rok 6 měsíců 1 měsíc Role řízení rizik Specifikujte Jiné:
Uživatelská data Zásadní problém: co archivovat? Je na uživatelích, aby rozhodli. Mělo by pro takové účely existovat centrální úložiště. Archivují se i nahrané telefonické hovory dealing... Měly by být archivovány dokumenty s elektronickým podpisem a to zásadně!! Pošta se nearchivuje, pouze zálohuje.
Příklad normy pro archivaci jsou ani obecně stanoveny postupy a zásady První pokusy v oblasti kosmického průmyslu a ISO Příklad: RECOMMENDATION FOR SPACE DATA SYSTEM STANDARDS Reference Model for an Open Archival Information System (OAIS) CCSDS 650.0-B-1 BLUE BOOK January 2002
Zákony a předpisy, vztahující se na IT (výběr) Zákon č. 480/2004 Sb., o některých službách informační společnosti Zákon č. 101/2000 Sb. o ochraně osobních údajů Zákon č. 40/2009 Sb., trestní zákoník Zákon č. 121/2000 Sb., autorský zákon Zákon č. 499/2004 Sb., o archivnictví a spisové službě Zákon č. 21/1992 Sb., o bankách Zákon č. 227/2000 Sb., o elektronickém podpisu Zákon č.300/2008 Sb. o datových schránkách zákon č. 151/2000 Sb., o telekomunikacích 13 zákona č. 435/2004 Sb., o zaměstnanosti (outsourcing) Dále SOX, BASEL II, směrnice EU, normy atd.
Úskalí IT Outsourcing Centralizace Korupce Vedení firmy Nízká míra znalostí (na všech úrovních) Politika
Dotazy