четверг, 25 апреля 2024 г.

Будьте очень осторожны, обещая деловую отдачу от управления документами, часть 1

Данный пост австралийского специалиста в области управления документами и информацией Карла Мелроуза (Karl Melrose – на фото) был опубликован 17 марта 2024 года на его блоге Meta-IRM (Мета-управление информацией и документами).

В кругу специалистов по управлению документами ходит множество утверждений о полезности этого вида деятельности. По большей части они не соответствуют действительности. Принятие их на веру и повторение без понимания того, насколько далеко за рамки практики управления документами нам нужно выйти, чтобы реально получить такую отдачу - это действительно подрывает доверие к нам [специалистам по управлению документами – Н.Х.] в наших организациях; а если нам не будет доверия в плане той пользы, которую мы можем принести, никто не поверит нам, когда мы начнём заявлять о том, что способны дать невероятную деловую отдачу.

И, как многие из моих читателей знают, я считаю, что мы реально можем принести колоссальную пользу нашим организациям - если только поймём, какие документы и какие из наших практик управления документами действительно способны давать отдачу, чтобы мы могли обоснованно ответить на вопрос Как?, когда от нас этого потребуют. Если же мы не способны дать обоснованный ответ на этот вопрос, и не даём на него ответ заблаговременно (иными словами, сделав утверждение, мы затем должны сказать, как именно обещанное будет реализовано), - то наши организации смотреть на нас как на любого другого коммивояжёра. который обещает целый новый континент, а реально предоставляет ровно столько места, чтобы там уместились наши ботинки.

На мой взгляд, нам необходима ясность в вопросе полезности и отдачи от документов и управления ими, а также понимание того, что необходимо для достижения результата помимо собственно управления документами.

Коротко говоря, создание документов - это способность общего назначения, с которой связан ряд источников внутренне присущей и неотъемлемой пользы. Управление документами - это набор процессов, которые должны (очень сильно должны) улучшить конкретные аспекты получения деловой отдачи посредством введения мер управления в отношении документов.

Внутренне присущая и неотъемлемая польза документов на самом деле лучше всего обоснована в психологии. Дело в том, что документы позволяют нам работать за пределами ограничений нашей памяти. Ограничением номер один для способности людей выполнять любую детальную работу является наша оперативная память. В частности, она имеет очень ограниченную емкость, очень быстро затухает (т.е. мы забываем), и она не очень точна. Таким образом, мы способны помнить не очень многое, не очень долго и с не слишком большой точностью – а это означает, что мы не способны выполнять работу, требующую от нас точного запоминания многого и надолго – если у нас нет чего-то такого, что позволяет нам запоминать множество вещей, на длительное время и с высокой степенью точности. Именно в этом заключается внутренне присущая и неотъемлемая польза документов.

Специфическая полезность практики управления документами, в том виде, в котором она спроектирована сейчас, основана на экономике (т.е. на производстве, распределении и потреблении). Первый источник полезности традиционной практики управления документами связан с экономическими аспектами поиска конкретной информации, когда она зафиксирована на бумаге; а второй - это вопрос затрат на хранение документов (опять же, бумажных).

Первый источник полезности управления документами решает простую проблему, связанную с тем, что ограниченность нашей памяти означает, что мы очень быстро теряем возможность вспомнить, что мы создали и куда мы это положили, - и нам часто приходится полагаться на вещи, созданные другими людьми. Поэтому мы каталогизируем и описываем наши документы, и ещё у нас есть система для их хранения. Всё это уменьшает зависимость от нашей собственной способности запоминать, где что находится. Это основная экономическая проблема для бумажных документов, потому что единственный способ найти утерянный бумажный документ - это заставить людей пойти и просмотреть большие объёмы этих документов; а единственный способ установить, что у нас нет такого документа (при отсутствии каталога) – это прочитать все документы.

Второй источник отдачи - это экономика затрат на хранение, а также соблазн уничтожить первопричину этих затрат. Если Вы обратитесь к предыстории многих государственных архивов, то найдёте множество упоминаний о том, что расходы на хранение документов в городских офисных помещениях выходили из-под контроля, а там, где они были под контролем, иногда уничтожались документы, которые впоследствии потребовались (в частности, в Управлении государственных документов австралийского штата Виктория хранится замечательный документ, описывающий события, предшествовавшие основанию этой архивно-документационной службы штата). Создание группы людей, которые организуют хранение документов в более дешёвом месте, будут использовать понятную систему каталогизации и управления, и будут нести ответственность за деловой процесс уничтожения документов по истечении периода времени, который, по коллективно согласованному мнению, означает конец их полезного использования – это отличный способ улучшить экономику хранения больших объемов бумажной документации.

Конечно, ситуация изменилась в тот момент, когда был изобретен файловый сервер и электронный документ - мы автоматически получили каталог документов виде структуры папок. Тогда основной функцией стал поиск, и нам уже больше не нужно было полистно прочитывать все материалы, чтобы найти нужное с приемлемой степенью надёжности. Стоимость хранения документа резко упала, а сочетание новой структуры затрат и нового законодательства сделало уничтожение рискованным делом - поэтому теперь, конечно, мы всё храним гораздо дольше.

Все сказанное - преамбула к моему мнению о том, что когда коллеги говорят мне, что основной задачей управления документами является обеспечение подотчётности, исполнение законодательно-нормативных требований, эффективный поиск, сохранением знаний, эффективность оперативной работы и т.д. - это заставляет меня задаться вопросом, понимают ли они то, что сами ежедневно делают, потому что перечисленное – это не, что мы получаем от документов в рамках их внутренне присущей и неотъемлемой ценности, и не то, для чего была разработана общая модель управления документами (функциональное описание и управлением сроками хранения).

Всем нам необходимо это осознавать, когда мы делаем заявления о пользе управления документами и деловой отдаче от него.

Если мы даем обещания, выходящие за рамки внутренне присущей и неотъемлемой полезности документов или же того, для чего была разработана типовая практика управления документами в нашей организации, то мы делаем обещания, которым вряд ли поверят. Те, кто их слышит, испытывают то, что психологи называют «когнитивным диссонансом» - это означает (в данном случае), что мы делаем утверждение о реальной жизни, которое не совпадает с их восприятием реальности, и слушатели испытывают дискомфорт, когда наши утверждения не совпадают с их опытом.

Их первой мыслью поэтому, скорее всего, будет: «Нет, это не так». А их вторая мысль (это если нам повезет, и они не остановятся на первой мысли и вообще продолжат с нами разговаривать), скорее всего, будет «Как?» - то есть, каким образом управление документами обеспечит подотчетность? Всё, что вам нужно делать, это каталогизировать наши документы и управлять их жизненным циклом, так как это влияет на подотчётность?

Короткий ответ: «нет, не влияет» - потому что подотчётность не является частью внутренне присущей и неотъемлемой полезности документов, и это не та задача, для решения которой была разработана практика управления документами.

Мой комментарий: Данное высказывание – одна из тех крайностей, которые мешают Карлу донести свои по-настоящему ценные идеи до коллег по профессии. Решает ли электрик задачи по освещению дома и улицы? Или же он просто вкручивает лампочки и паяет провода? Думаю, что в соответствующей службе есть как те, кто занимается высокоуровневой работой – стратегическим планированием и оперативным управлением работами по освещению микрорайона, так и те, кто выполняет одни только технические операции. То же самое можно сказать и об управлении документами. И лично меня, например, мало интересует, зачем службы управления документами и соответствующие практики создавались при Петре I; куда важнее то, какие востребованные задачи они способны решать сегодня.

(Окончание следует)

Карл Мелроуз (Karl Melrose)

Источник: блог Meta-IRM
https://metairm.substack.com/p/being-very-careful-making-promises

ИСО и МЭК: Стандарты в области данных и пространств данных, часть 1

Одна из целевых групп технического подкомитета ИСО/МЭК JTC1/SC41 «Интернет вещей и взаимосвязанные технологии» в апреле 2024 года подготовила любопытный и весьма объёмный отчёт «Стандарты в области данных и пространств данных» (Data and data spaces standards), в котором попыталась дать обзор существующих стандартов ИСО/МЭК, касающихся данных и управления ими.

Во вводной части документа отмечается:

«Целью данного отчета является предоставление обзора стандартов, которые, возможно, придется учитывать в пространствах данных. Это живой документ, поскольку в нём приводятся сведения как об опубликованных стандартах, так и о стандартах, находящиеся в стадии разработки.

Отчёт структурирован в соответствии с аспектами использования и коллективного использования данных (метаданные, описание использования, представление, стратегическое управление, политики, защита персональных данных, безопасность, качество, надёжность и доверие, инфраструктура пространства данных и искусственный интеллект).

Данный отчёт может использоваться в качестве хранилища информации, поддерживающей анализ ландшафта данных и пространств данных.»

Экосистему стандартов авторы отчета видят следующим образом (см. рис.).


С моей точки зрения, самостоятельный интерес представляет содержание отчёта, представляющее собой перечень соответствующих стандартов (который я выверила по каталогу стандартов ИСО) – см. ниже.

1. Введение

2. Использование данных

2.1. ISO/IEC 5207:2024 «Информационные технологии - Использование данных - Терминология и варианты использования» (Information technology - Data usage - Terminology and use cases), см. https://www.iso.org/standard/80998.html (ПК JTC1/SC32)

2.2. ISO/IEC 5212:2024 «Информационные технологии - Использование данных - Руководство по использованию данных» (Information technology - Data usage - Guidance for data usage), см. https://www.iso.org/standard/80999.html (ПК JTC1/SC32)

3. Коллективное использование данных – Метаданные
 
3.1. ISO/IEC TR 19583-1:2019 «Информационные технологии - Концепции и использование метаданных - Часть 1: Концепции метаданных» (Information technology - Concepts and usage of metadata - Part 1: metadata concepts), см. https://www.iso.org/standard/67365.html (ПК JTC1/SC32)

3.2. ISO/IEC 11179-1:2023 «Информационные технологии - Регистры метаданных (РМД) - Часть 1: Концепция» (Information technology - Metadata registries (MDR) - Part 1: Framework), см. https://www.iso.org/standard/78914.html (ПК JTC1/SC32)

3.3. ISO/IEC 11179-3:2023 «Информационные технологии - Регистры метаданных (РМД) - Часть 3: Метамодель для общих средств реестра» (Information technology - Metadata registries (MDR) – Part 3: Metamodel for registry common facilities), см. https://www.iso.org/standard/78915.html (ПК JTC1/SC32)

3.4. ISO/IEC 11179-33:2023 «Информационные технологии - Регистры метаданных (РМД) - Часть 33: Метамодель для регистрации набора данных» (Information technology - Metadata registries (MDR) - Part 33: Metamodel for data set registration), см. https://www.iso.org/standard/81725.html (ПК JTC1/SC32)

3.5. ISO/IEC 19763-1:2023 «Информационные технологии - Концепция интероперабельности на основе метамоделей - Часть 1: Концепция» (Information technology - Metamodel framework for interoperability (MFI) - Part 1: Framework), см. https://www.iso.org/standard/84749.html (ПК JTC1/SC32)

3.6. ISO/IEC 19763-3:2020 + Amd 1:2024 «Информационные технологии - Концепция интероперабельности на основе метамоделей - Часть 3: Метамодель для регистрации онтологий» (Information technology - Metamodel framework for interoperability (MFI) - Part 3: Metamodel for ontology registration), см. https://www.iso.org/standard/76581.html (ПК JTC1/SC32)

3.7. ISO/IEC 19763-10:2023 «Информационные технологии - Концепция интероперабельности на основе метамоделей - Часть 10: Базовая модель и базисное отображение» (Information technology - Metamodel framework for interoperability (MFI) - Part 10: Core model and basic mapping), см. https://www.iso.org/standard/84750.html (ПК JTC1/SC32)

3.8. ISO/IEC 19763-12:2015 + Amd.1:2023 «Информационные технологии - Концепция интероперабельности на основе метамоделей - Часть 12: Метамодель регистрации информационной модели» (Information technology - Metamodel framework for interoperability (MFI) - Part 12: Metamodel for information model registration), см. https://www.iso.org/contents/data/standard/08/47/84750.html (ПК JTC1/SC32)

4. Коллективное использование данных – Описание использования

4.1. ISO/IEC 19944-1:2020 «Облачные вычисления и распределенные платформы - Поток данных, категории данных и их использование - Часть 1: Основные положения» (Cloud computing and distributed platforms - Data flow, data categories and data use - Part 1: Fundamentals), см. https://www.iso.org/standard/79573.html (ПК JTC1/SC38)

4.2. ISO/IEC 19944-2:2022 «Облачные вычисления и распределенные платформы - Поток данных, категории данных и их использование – Часть 2: Руководство по применению и расширяемости» (Cloud computing and distributed platforms - Data flow, data categories and data use - Part 2: Guidance on application and extensibility), см. https://www.iso.org/standard/79574.html (ПК JTC1/SC38)

5. Коллективное использование данных – Представление

5.1. ISO/IEC TR 9789:1994 «Информационные технологии – Рекомендации по организации и представлению элементов данных для обмена - Методы и принципы кодирования» (Information technology - Guidelines for the organization and representation of data elements for data interchange - Coding methods and principles), см. https://www.iso.org/standard/17651.html (ПК JTC1/SC32)

5.2. ISO/IEC 11404 «Информационные технологии - Типы данных общего назначения (GPD)» (General-Purpose Datatypes (GPD)), см. https://www.iso.org/standard/39479.html (ПК JTC1/SC32)

5.3. ISO/IEC 14957:2010 «Информационные технологии - Представление значений элементов данных - Обозначение формата» (Information technology - Representation of data element values - Notation of the format), см. https://www.iso.org/standard/55652.html (ПК JTC1/SC32)

5.4. ISO/IEC 30178 «Интернет вещей – Формат, значение и кодировка данных» (Internet of Things (IoT) - Data format, value and coding), см. https://www.iso.org/standard/53298.html (ПК JTC1/SC41)

(Окончание следует)

Источник: сайт ИСО

среда, 24 апреля 2024 г.

США: Нью-Йорк ужесточает требования в отношении хранения и уничтожения данных, часть 2

(Окончание, начало см. http://rusrim.blogspot.com/2024/04/1_01920765750.html )

Определение обязанностей по уничтожению непубличной информации

Как только подпадающая под требования организация выяснит, какая непубличная информация у неё имеется и где она хранится, ей нужно будет определить, какие законодательно-нормативные требования в отношении сроков хранения на неё распространяются.

До введения GDPR в 2016 году основным инструментом документирования требований в отношении сроков хранения непубличной информации был перечень видов документов с указанием сроков хранения и действий по их истечении (records retention schedule, RRS – далее «перечень»). Обычно в таком перечне:

  • Перечисляются все виды используемых корпоративных документов (например, контракты),

  • Приводятся шаблоны, включая типовые соглашения о неразглашении информации, генеральные соглашения об оказании услуг и контракты с поставщиками.

    Мой комментарий: Обычно перечни подобных шаблонов не содержат, сами шаблоны же – поскольку к срокам хранения они отношения не имеют и ведутся другими структурными подразделениями – хранятся отдельно.

  • Устанавливаются сроки хранения – например, «1 год поле прекращения действия соглашения».

  • Даются ссылки на соответствующие законы и нормативные акты, использованные для определения срока хранения.

После того, как закон GDPR обязал ввести ROPA-документацию, организациям пришлось определять цели сбора и обработки информации, чтобы затем установить сроки её хранения. Закон GDPR, примеру которого в этом отношении последовали почти все появившиеся позднее законы о защите персональных данных, требует, чтобы организации определили цели, для которых они собирают персональные данные (ПДн), и сохраняли ПДн только до тех пор, пока это будет необходимо для достижения заявленных целей, а затем уничтожали ПДн.

Для директоров по информационной безопасности в подпадающих под требования организациях сочетание перечня и сведений о целях обработки ПДн, по-видимому, значительно облегчит соблюдение требований подраздела 500.13. Тем не менее, как и в случае с CMBD и ROPA, у комбинации перечней и целей обработки имеются существенные недостатки, которые создают проблемы для директоров по информационной безопасности, стремящихся использовать их для соблюдения требований подраздела 500.13.

Во-первых, перечни обычно определяет сроки хранения только для документов, которые являются подмножеством непубличной информации. Почти все службы управления документами четко определяют, что можно считать документом, а что нет. В рамках установленной политики, перечни охватывают только документы. Например, проекты документов сами по себе не являются документами и, следовательно, не регламентируются перечнями.

Мой комментарий: Автор, к сожалению, использует устаревшие представления конца 20-века о документах и об управлении ими. Понятие «документа» (особенно в органах государственной власти США) трактуется неизмеримо более широко, да и практика э-раскрытия вынуждает те же коммерческие и некоммерческие организации охватывать управлением документами не только традиционные для 20-го века официальные административные и иные документы, но и многое другое, особенно электронную почту. В перечни в настоящее время сплошь и рядом включаются не только «официальные» документы, но и черновики и проекты, официальная и неофициальная переписка, информация, базы данных, контент веб-сайтов и т.д. – здесь многое зависит от самой организации.

Однако положения подраздела 500.13 не смотрят на то, представлена ли непубличная информация в форме черновой или же окончательной версии документа. Вся непубличная информация должна быть уничтожена, как только у организации больше не будет законодательно-нормативных обязательств по её сохранению. Таким образом, использование одних только перечней не позволит организации исполнить новые требования.

Во-вторых, существует разрыв между тем, как перечни смотрят на непубличную информацию на уровне документа, и тем, как цели обработки формулируются на уровне элементов данных. Например, с точки зрения перечня важно, является ли документ счетом или контрактом, в то время как с точки зрения цели обработки имеет значение, является ли элемент данных биометрическими данными или номером телефона. Директорам по информационной безопасности, стремящимся использовать перечни и цели обработки для управления уничтожением непубличной информации, затем потребуется создать перекрестные ссылки, чтобы обеспечить согласованное представление о своих законодательно-нормативных обязанностях по уничтожению непубличной информации. Сказать это легче, чем сделать. Согласование точек зрения специалистов по управлению документами и по защите ПДн, с тем, чтобы они могли видеть непубличную информацию с точки зрения друг друга, требует готовности изменить свой образ мышления, а также выделить значительные ресурсы для обновления и расширения политик и процедур, которые бы отражали более широкую точку зрения.

Уничтожение непубличной информации

Как только директор по информационной безопасности подпадающей под требования организации преодолеет проблемы установления того, какая непубличная информация у него есть, в каких системах, и в течение каких сроков она должна храниться, - он столкнётся с самой сложной задачей из всех: фактическим уничтожением непубличной информации в больших масштабах.

Обеспечить уничтожение непубличной информации сложно, поскольку большинство организаций никогда этого не делало и не имеет соответствующего опыта. Представители широкого круга заинтересованных сторон, которым следует собраться вместе и решить, как структурировать корпоративные усилия по уничтожению непубличной информации – это специалисты по управлению документами и защите ПДн, специалисты по ведению судебных разбирательств, ИТ-специалисты, специалисты по кибербезопасности, управлению данными и представители деловых подразделений - владельцев данных — в прошлом обычно не могли достичь консенсуса. Каждый из них предлагает разные и зачастую противоречивые взгляды на ценность непубличной информации, на риски чрезмерно длительного сохранения в сравнении с рисками, связанными с уничтожением, а также на уровень усилий, соразмерный уровню риска для организации.

Мой комментарий: В России эта «неподъёмная» проблема решается с помощью хорошо всем известных экспертных комиссий – и когда у заинтересованных сторон (особенно у высшего руководства) есть воля и желание решить вопрос, тот решается довольно быстро и эффективно.

Даже если эти заинтересованные стороны собираются вместе и приходят к согласию о том что непубличную информацию следует уничтожить после того, как исполнены требования законодательства в отношении её хранения, - неспособность согласовать надлежащий курс действий, роли и обязанности в деятельности по уничтожению непубличной информации, необходимые технологические и бюджетные требования  может привести к неудаче.

Мой комментарий: На практике обещание первого лица жёстко покарать всех саботажников в случае неудачи реально творит чудеса :)

Директора по информационной безопасности, ответственные за аттестацию по подразделу 500, должны работать над преодолением этой тупиковой ситуации и обеспечить комфортное прохождение аттестации. В противном случае им придется пометить аттестацию как проект высокого риска или вовсе отказаться от неё. Оба этих варианта приведут к разрушительным последствиям для соответствующих организаций.

Путь вперёд к исполнению требований подраздела 500.13

Директора по информационной безопасности подпадающих под требования организаций должны решать эти проблемы на двух фронтах, поддерживая реестр активов и обеспечивая возможность уничтожения непубличной информации.

Создание и ведение реестра активов является наиболее ясной задачей, поскольку заинтересованными сторонами в первую очередь являются служба ИТ и владельцы деловых систем, а также ввиду того, что требуемая согласно подразделу 500.13 информация является узкой и находимой. Потребуется время на то, чтобы выявить десятки, сотни или тысячи систем, в которых хранится непубличная информация, а также найти людей, обладающих достаточными знаниями для заполнения реестра. Однако в конечном итоге это не что иное, как составление списка.

Уничтожение непубличной информации, с другой стороны, предусматривает осуществление крупномасштабных изменений, требующие от целого ряда подразделений и служб переосмысления своего понимания непубличной информации и того, как они с ней работают. Устоявшиеся предположения о ценности непубличной информации и связанных с ней рисках, о надлежащей подотчетности и ответственности за неё, а также масштабы взаимодействия служб и подразделений с непубличной информацией потребуется изменить, прежде чем избавляться от какой-либо части такой информации. И даже тогда организации потребуются многолетние усилия, затрагивающие почти каждую систему и влияющие на почти каждое подразделение.

Концептуальный подход к уничтожению непубличной информации

Директорам по информационной безопасности (CISO) в подпадающих под требования организациях необходимо внедрить концептуальный подход к уничтожению непубличной информации, охватывает все этапы этого пути, от необходимых политик и процедур до осуществления уничтожения непубличной информации в больших масштабах. Хотя детали могут различаться в зависимости от конкретной организации, ниже представлена дорожная карта, которая поможет организациям обеспечить успешное уничтожение непубличной информации и обеспечить уверенность CISO в соблюдении требований подраздела 500.13.

Подпадающие под требования организации должны начать с оценки своих возможностей стратегического управления информацией в плане уничтожения данных. Такая оценка может быть основана на ряде принятых в отрасли концепций, таких, например, как  концепции Конференции Седона (Sedona Conference, https://thesedonaconference.org/sites/default/files/publications/Commentary%20on%20Information%20Governance.pdf ), ассоциации ARMA International  ( https://www.arma.org/general/custom.asp?page=principles ), Международной организации по стандартизации ISO ( https://www.iso.org/standard/77915.html ) и американского Национального института стандартов и технологий NIST ( https://www.nist.gov/privacy-framework ).

После этого подпадающая под требования организация должна устранить пробелы в своих политиках и процедурах, связанных с уничтожением данных - например, в тех, владельцами которых являются службы управления документами, защиты персональных данных, ведения судебных разбирательства и управлению данными. Затем организация может выбрать технологические решения, подходящие для поддержки усилий, от решений для инвентаризации активов и э-раскрытия данных до специализированных инструментов, предназначенных для облегчения уничтожения данных в структурированных и неструктурированных системах.

Затем подпадающей под требования организации необходимо ранжировать по степени риска системы, в которых хранятся непубличные данные, чтобы принять хорошо продуманные, основанные на фактах решения о том, какие действия следует предпринять и в каком порядке. Это поможет сформировать план по проведению уничтожения непубличных данных. Поскольку уничтожение непубличных данных является многолетней задачей, данный план необходимо будет пересматривать по ходу процессов уничтожения, обеспечивая непрерывное улучшение соответствия организации требованиям подраздела 500.13 по мере её продвижения по пути снижения рисков.

Наконец, подпадающей под требования организации необходимо поэтапно выполнить уничтожение непубличной информации в больших масштабах, уничтожая ежеквартально ту непубличную информацию, сроки хранения которой истекли. Только в этот момент директор по информационной безопасности может вздохнуть спокойно и предпринять более обоснованные усилия в рамках должной осмотрительности, касающиеся исполнения требований раздела 500. Хотя, возможно, работа еще продолжается, но раз усилия организации по уничтожению непубличной информации налажены как следует, директора по информационной безопасности смогут с большей уверенностью дать заверения в том, что требования подраздела 500.13 соблюдаются последовательно и эффективно.

Джозеф Шепли (Joseph Shepley)

Источник: Издание CCI (Corporate Compliance Insights)
https://www.corporatecomplianceinsights.com/ciso-data-retention-disposal-nycrr/

ИСО и МЭК: Опубликована новая редакция стандарта ISO/IEC 27040:2024 «Безопасность хранения данных»

В январе 2024 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO/IEC 27040:2024 «Информационные технологии – Методы обеспечения безопасности - Безопасность хранения данных» (Information technology - Security techniques - Storage security) объёмом 92 страницы, см. https://www.iso.org/standard/80194.html и  https://www.iso.org/obp/ui/en/#!iso:std:80194:en .

Стандарт подготовлен техническим подкомитетом ИСО/МЭК JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection). Он заменил ранее действовавшую редакцию ISO/IEC 27040:2015.

Во вводной части документа отмечается:

«Настоящий документ содержит подробные технические требования и рекомендации относительно того, как организации могут достичь надлежащего уровня смягчения рисков, используя хорошо зарекомендовавший себя последовательный подход к планированию, проектированию, документированию и реализации безопасности хранения данных.

Обеспечение безопасности хранения подразумевает защиту данных как во время их хранения в ИКТ-системах, так и во время их передачи по каналам связи, связанным с хранилищем. Безопасность хранилища включает в себя безопасность устройств и носителей; действия по контролю и управлению, связанные с устройствами и носителями; приложения и сервисы; а также контроль или мониторинг действий пользователей в течение срока службы устройств и носителей, а также после окончания использования или окончания срока службы.

Безопасность хранения актуальная для всех тех, кто владеет, эксплуатирует или использует устройства хранения данных, носители и сети. К ним относятся руководители высшего звена, закупщики продуктов и услуг хранения данных, а также другие руководители нетехнические подразделений и пользователи, - в дополнение к менеджерам и администраторам, у которых имеется конкретная ответственность за безопасность информации или хранилища, работы хранилища, или же которые отвечают за общую программу безопасности организации и за разработку политики безопасности. Безопасность хранения также актуальна для всех, кто участвует в планировании, проектировании и внедрении архитектурных аспектов безопасности сети хранения данных.

Данный документ включает обзор концепций безопасности хранения и соответствующих определений. Он включает требования и рекомендации по угрозам, проектированию и аспектам контроля и управления, связанным с типичными сценариями хранения и областями технологий хранения. Кроме того, в нём приведены ссылки на другие международные стандарты и технические отчеты, в которых рассматриваются существующие практики и методы, которые можно использовать для обеспечения безопасности хранения.»

Содержание документа следующее:

Предисловие
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Обозначения и сокращения
5. Структура настоящего документа
6. Обзор и концепции
7. Организационные меры контроля и управления хранением
8. Кадровые меры контроля и управления хранением
9. Физические меры контроля и управления хранением
10. Технологические меры контроля и управления хранением
Приложение A: Краткая сводка мер и средств обеспечения безопасности хранения
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/80194.html
https://www.iso.org/obp/ui/en/#!iso:std:80194:en