facebook LinkedIN LinkedIN - follow
Tematické sekce
 
Branžové sekce
Přehledy
 
Tematické seriály
 

GDPR

General Data Protection Regulation zásadně mění zpracování osobních údajů a zavádí nové povinnosti...

články >>

 

Jak uřídit IT projekt a nezbláznit se

Užitečné tipy a nástroje pro řešení problémů řízení inovací a vývoje produktů...

články >>

 

Industry 4.0

Průmysl 4.0

Jaký vliv bude mít čtvrtá průmyslová revoluce na výrobu a výrobní firmy?

články >>

 

Komplexní svět eIDAS

O nařízení eIDAS již bylo mnoho řečeno i napsáno. A proto jediné, o čem...

články >>

 

Trendy v CRM

Systémy pro řízení vztahů se zákazníky (CRM) prochází v posledních letech výraznou změnou. Zatímco dříve...

články >>

 

Příručka úspěšného IT manažera

Dnes je řada IT manažerů opomíjena. Úspěšní bývají brouci Pytlíci a Ferdové...

články >>

 
Partneři webu
K2 atmitec
IT SYSTEMS 1-2/2014 , DMS/ECM - Správa dokumentů

Bezpečný archiv dokumentů bez šanonů



Editel CZČasy polic plných tlustých šanonů s hromadami faktur a zdlouhavým vyhledáváním v nich skončily, a to především díky rozvoji elektronické komunikace ve standardizované podobě, která zažívá rozmach podpořený úpravami v české i evropské legislativě.

Alvao AID 2021

Elektronická výměna dat se již stala standardní součástí obchodní komunikace mezi obchodními partnery, především na úrovni společností (B2B). Elektronicky jsou zasílané nejen obchodní doklady jako objednávky, dodací listy nebo faktury, ale i dokumenty zasílané státní správou, případně generované podnikovými systémy. V porovnání s papírovými doklady přinášejí časovou úsporu při administrativním zpracování, ale šetří i místo při následném skladování a archivaci. Zde je však potřeba věnovat zvýšenou pozornost požadavkům a předpisům, které elektronicky archivovaný dokument musí splňovat, zvláště pokud jej chceme využívat i pro archivaci daňových dokladů.

Dlouhodobý, nebo důvěryhodný elektronický archiv

Elektronickým archivem je rozuměno úložiště elektronických dokumentů, které se nacházejí v poslední, tj. archivační fázi svého životního cyklu. V této době se již, až na výjimky, nemění.

Dlouhodobá archivace

Předpokládá dlouhodobé uložení elektronických dokumentů, které lze v případě potřeby bez problému zobrazit nebo vytisknout. Důraz je kladen především na to, aby byl elektronický dokument dostupný a čitelný i za několik desítek let.

Důvěryhodná archivace

Důvěryhodná archivace elektronického dokumentu garantuje, že u tohoto dokumentu bude kdykoliv v budoucnu možné potvrdit jeho původ a neměnnost, a to i po právní stránce. Takto archivovaný elektronický dokument bude vždy po právní stránce rovnocenným dokladem vzhledem k originálnímu papírovému dokumentu s vlastnoručním podpisem.


Prioritou je zabezpečení dat a legislativních požadavků

Základním požadavkem ze strany uživatele elektronického archivu je zajištění dlouhodobé důvěryhodné archivace, stejně jako zamezení ztrátám a změnám uchovávaných dokumentů nebo neoprávněnému přístupu k nim a v neposlední řadě umožnění rychlého dohledání požadovaného dokumentu. Tento problém je snadno řešitelný výběrem vhodného archivačního řešení, které bude splňovat zavedené bezpečností standardy a podporovat archivaci jakéhokoliv typu vkládaných objektů. Jednotlivým uživatelům jsou přiřazovány uživatelské role, které umožňují řízení přístupu k dokumentům a funkcím archivu, kdy každý uživatel má oprávnění k vyhledávání, náhledu a tisku pouze jemu zpřístupněných dokumentů. Přiřazení dokumentu ke konkrétnímu uživateli je založené na údajích o odesílateli nebo příjemci, které jsou uvedené na obálce dokumentu, nebo na základě informací z obsahu dokumentu, například podle identifikace odběratele nebo dodavatele. To může být velmi užitečné zejména pro společnosti, které působí ve více zemích nebo sdružují více dceřiných společností pod jedním společným vstupem pro ukládání dokumentů a současně požadují k dokumentům samostatný přístup.

Pořizovatel důvěryhodného elektronického archivu však zároveň musí myslet i na splnění legislativních požadavků a právních předpisů, interních firemních směrnic a postupů, které jsou kladeny na životní cyklus některých dlouhodobě ukládaných dokumentů, a zvolit adekvátní nástroje a procedury, kterými lze těchto požadavků docílit. Mezi klíčové podmínky, které lze uplatnit například u dlouhodobé archivace daňových dokladů, proto patří:

  • Věrohodnost původu (autenticita původce) – dokument musí mít jasně evidovaného autora či výstavce dokumentu, v případě podepsání dokumentu elektronickým podpisem musí být prokazatelná jeho platnost, kterou je možné kdykoliv zpětně ověřit.
  • Neporušenost obsahu – u uloženého dokumentu musí být prokazatelné, že v něm nebyly provedeny žádné změny, a to po celou dobu jeho archivace.
  • Průkaznost existence v čase – musí být prokazatelné, že dokument v určitém okamžiku (v době vzniku, přijetí dokumentu či jeho uložení do archivu) opravdu existoval a od té doby se nezměnil.
  • Čitelnost – všichni budoucí příjemci budou schopni dokument bez problémů zobrazit na běžně používaných zařízeních, a to bez ztráty jakýchkoliv informací, opět po celou zákony stanovenou či zvolenou dobu archivace.

Při obdržení takto ošetřeného elektronického dokumentu má příjemce k dispozici všechny potřebné údaje pro kontrolu, že tento dokument nebyl žádným způsobem změněn nebo zfalšován, a to od okamžiku vytvoření dokumentu až do konce doby jeho uchování.

Elektronický podpis

Alternativou k podpisu rukou, kterým můžeme opatřit fyzicky existující listiny a dokumenty, může být důvěryhodný elektronický dokument opatřen elektronickým podpisem vázaným na certifikát vydaný akreditovanou certifikační autoritou, který umožňuje jednoznačně určit původce dokumentu. Jeho platnost je z bezpečnostních důvodů zpravidla časově omezená. Detaily ohledně připojení elektronického podpisu jsou stanoveny normami ETSI, které v případě, že jde o dlouhodobou archivaci, pracují se skutečností, že všechny informace nutné k ověření věrohodnosti původu musejí být připojeny nebo doloženy k archivovanému dokumentu.

Normy pro elektronické podpisy

Podle novely zákona o elektronickém podpisu (227/2000 Sb.) jsou akceptovanými referenčními formáty pro připojení elektronického podpisu formáty ETSI (PAdES, CAdES nebo XAdES). Jejich použitím uživatel získá jistotu, že jeho dokumenty budou druhou stranou akceptovány v rámci všech členských států EU. Na základě rozhodnutí Evropské komise (2011/130/EC) jsou totiž uvedené formáty postupně přijímány legislativami jednotlivých států EU.

Technickou normu elektronických podpisů, podle které mají být elektronicky archivované dokumenty ošetřeny, tvoří tři skupiny formátů vydaných Evropským institutem pro standardy v telekomunikacích (ETSI – European Telecommunications Standards Institute): formát PAdES (PDF Advanced Electronic Signature – pravidla pro obecné elektronické podpisy), formát XAdES (XML Advanced Electronic Signature – pravidla pro elektronické podpisy v rámci XML dat) a formát CAdES (CMS Advanced Electronic Signature – pravidla pro obecné elektronické podpisy). Pro každý z těchto formátů existuje specifická varianta určená pro dlouhodobou archivaci – LTV (Long Term Validation).


Jak funguje ukládání dat v důvěryhodném elektronickém archivu?

Elektronický dokument může být vložen do archivu pomocí webové služby nebo prostřednictvím adresářové fronty. Pokud je již v době vzniku vytvořen ve strukturovaném formátu (např. EDIFACT nebo XML), elektronický archiv jej automaticky zpracuje a připraví tzv. metadata neboli unikátní informace, které takový dokument obsahuje. V případě nestrukturovaného formátu dokumentu (např. DOC, PDF) elektronický archiv předpokládá, že k ukládanému dokumentu budou příslušná metadata přiložena. Po uložení do elektronického archivu se dokument stává součástí zřetězení otisků, které zabezpečuje jeho neměnitelnost a pořadí. Archiv automaticky označí příslušné zřetězení časovým razítkem, které slouží k jednoznačnému prokázání existence elektronického dokumentu v čase. Časové razítko představuje další z řady kryptografických prvků, které zaručují, že archivovaný dokument existoval v době, kdy byl platný certifikát použitý k vytvoření připojeného elektronického podpisu. Jakákoliv pozdější úprava v obsahu dokumentu by se totiž projevila přerušením zřetězení, ta jsou pravidelně ověřovaná. Do zřetězení je pravidelně přidáno nové razítko. Původní data jsou tak zabezpečena ve zřetězení otisků časovými razítky po celou dobu uložení dokumentu. V okamžiku, kdy uplyne nastavený čas doby archivace, elektronický dokument se automaticky vymaže a vytvoří se protokol o jeho skartaci.

Pro zvýšení bezpečnosti zajišťují integritu elektronického dokumentu dvě nezávislá zřetězení otisků dokumentů, které využívají různé algoritmy na jejich vytvoření s časovými razítky od autorizovaného poskytovatele. Tato technika dokáže zabezpečit integritu i u dokumentů, které nejsou digitálně podepsané, a snižuje náklady na časová razítka při archivaci většího množství dokumentů. Každý pořizovatel archivu může vytvářet více zřetězení s flexibilně definovanou skartační periodou. U dokumentů, které jsou zajištěny v elektronickém archivu tímto způsobem, bude kdykoliv v budoucnu možné prokázat, kdo je jejich autorem (potvrzeno certifikátem u elektronického podpisu), zda byl v době podpisu certifikát platný (doloženo seznamem zneplatněných certifikátů od doby prvního ověření) a zda nebyl porušen obsahu dokumentu (zajištěno neporušenou řadou otisků a časových razítek).

Vybíráme vhodný elektronický důvěryhodný archiv

V případě, že se rozhodujeme pro zřízení důvěryhodného elektronického archivu, máme nejčastěji na mysli takový elektronický archiv, který nám zajistí uchování právně nezpochybnitelných elektronických dokumentů pro budoucí použití. Napomoci tomu může dodržení několika zásad:

  • Zabezpečení přenosu dokumentu do důvěryhodného archivu – u archivovaného dokumentu musíme prokazatelně zabezpečit, že nebude při přesunu do archivu změněn nebo nahrazen jiným dokumentem. Zároveň musí být dokument jednoznačně identifikován z hlediska svého původu a obsahu.
  • Auditování archivního systému – důvěryhodný elektronický archiv by měl obsahovat auditní logy, ve kterých jsou zaznamenávané informace o všech prováděných operacích v rámci archivního řešení.
  • Zvolení vhodného archivního formátu – z hlediska uživatele je vhodné, pokud důvěryhodný archiv dokáže pracovat s libovolnými typy souborů. Z hlediska dlouhodobého uložení dokumentů je však podle zkušeností vhodné použít formáty, které jsou definovány mezinárodními normami, například formát EDIFACT nebo PDF/A.

Ideálním řešením pro velkou část uživatelů elektronických archivů je kombinace dlouhodobé a důvěryhodné varianty archivace a její implementace do firemních procesů. Získají tak možnost dlouhodobě ukládat své dokumenty a zároveň mít zaručenou jejich právní prokazatelnost. Jelikož pro způsob archivace elektronických dokumentů nejsou v ČR státem stanoveny žádné možnosti akreditací nebo atestů, je nanejvýš vhodné využívat k zajištění archivačních služeb pouze prověřené poskytovatele, kteří mají své služby ověřeny nezávislým auditem potvrzujícím dodržování právních předpisů a standardů důležitých pro uložení elektronických dokumentů po celou zákonnou lhůtu.

Metodiky pro správu, řízení a archivaci dokumentů

Veškeré postupy při ukládání elektronických dokumentů v důvěryhodném archivu musejí být v souladu s platnými zákony a jejich novelami:
  • zákon č. 227/2000 Sb., o elektronickém podpisu (uznávaný elektronický podpis/značka)
  • zákon č. 499/2004 Sb., o archivnictví a spisové službě (domněnka pravosti elektronického dokumentu)
  • zákon č. 300/2008 Sb., o elektronických úkonech a autorizované konverzi dokumentů
  • zákon č. 235/2004 Sb., o DPH (elektronická fakturace)


Nezávislost na konkrétní technologii

Implementované archivační řešení by mělo představovat nejlépe samostatnou jednotku nezávislou na ostatních informačních systémech a na hardwaru pořizovatele. Výhody důvěryhodného elektronického archivu je v dnešní době možné využívat buďto formou outsourcované služby (SaaS – software as a service), tedy bez nutnosti počátečních investic a potřeby instalace softwaru na straně pořizovatele, kdy jsou archivované dokumenty ukládané ve vysoce zabezpečeném datovém centru poskytovatele služby. Druhou možností je plná integrace samostatného archivu do stávající infrastruktury pořizovatele. Obě varianty umožňují napojení důvěryhodného archivu na jakékoliv systémy pro správu dokumentů, ať už jde o ERP, CMS nebo DMS, které zajistí automatické archivování a přebírání dokumentů z/do informačního systému a zároveň umožní řídit oběh dokumentů v rámci společnosti.

Roman Imrich

Autor působí jako product and development manager ve společnosti Editel CZ.

 

Chcete získat časopis IT Systems s tímto a mnoha dalšími články z oblasti informačních systémů a řízení podnikové informatiky? Objednejte si předplatné nebo konkrétní vydání časopisu IT Systems z našeho archivu.

Helios
- inzerce -