"Делопроизводство", 2021, N 3

ОБЕСПЕЧЕНИЕ СОХРАННОСТИ ЭЛЕКТРОННОГО АРХИВА.
ОСНОВНЫЕ ПРИНЦИПЫ

Одно из ключевых направлений в работе архива - обеспечение сохранности хранящихся в архиве документов. В электронных архивах сохранность в значительной степени зависит от совместной работы архивистов и IT-службы. Скорее даже именно от того, как будет организована программно-аппаратная платформа для хранения архива. При работе с документами в электронной форме крайне высока цена ошибки, так как нарушение технологий хранения, сбой в работе программ или оборудования могут повлечь за собой утрату сразу всего массива документов, а в худшем случае - без возможности его восстановления.
Поэтому службе ДОУ, архивистам важно иметь общее представление о направлениях обеспечения сохранности документов в электронной форме, чтобы вовремя заметить проблемы, которые могут привести к потере информации и документов.
В целом весь комплекс мероприятий по обеспечению сохранности документов направлен на то, чтобы даже в случае отдельных нарушений правил хранения или даже умышленных действий минимизировать вероятность утери документов, хранящихся в электронной форме.
Обеспечение сохранности одинаково актуально как для систем управления документами текущего делопроизводства, так и для архива документов в электронной форме. Разница только в специфике организации - где-то даже часовой простой недопустим и влечет колоссальные убытки, а где-то отключение архива на несколько дней несущественно...
Данная статья - попытка дать службе ДОУ и архивистам представление о том, как должна обеспечиваться сохранность документов в электронной форме.
Сохранность обеспечивается по нескольким направлениям: обеспечение работоспособности оборудования, резервное копирование, антивирусная защита, защита от несанкционированного удаления или модификации на программном уровне.
Электронный архив представляет собой информационную систему, базу данных, набор файлов и папок, которые находятся на аппаратно-программной платформе. Обычно это выделенный сервер и система хранения, которая может находиться физически как в самом сервере, так и в виде обособленного устройства (дискового массива), подключенного к серверу или напрямую к локальной сети организации (NAS).
Хранение архива на отдельном жестком диске (HDD или SSD) практикуют только совсем небольшие компании. При этом обязательно должно выполняться автоматическое копирование данных на второй жесткий диск, чаще внешний. Такое решение применяют в малых офисах, где нет своего "компьютерщика". Выход из строя жесткого диска влечет полную потерю находившейся на нем информации, которая может быть восстановлена только из резервной копии, сделанной на второй (часто внешний) диск.
Наиболее распространенный вариант, предоставляющий сотрудникам оперативный доступ к документам, - размещение архива на дисковом массиве (RAID). Широко используемый тип массива - RAID5, объединяющий три и более физических (одинаковых по емкости) диска в единое пространство хранения. RAID5 обеспечивает распределение ("размазывание") записываемой на RAID-массив информации по всем входящим в него дискам с избыточностью, позволяющей сохранить всю информацию в случае выхода из строя одного из входящих в массив дисков.
Обычно работу RAID-массива обеспечивает специальная плата (чип, микросхема) в сервере или системе хранения, но в "бюджетных", недорогих решениях RAID может реализовываться и на чисто программном уровне.
В случае выхода из строя одного из дисков достаточно заменить его на новый, подождать, пока произойдет перераспределение информации по дискам (реконфигурация массива), и можно продолжать пользоваться архивом.
При выходе из строя одного диска и до момента завершения реконфигурации (а этот процесс может занять от нескольких часов до нескольких дней) система находится в уязвимом состоянии. Чтобы снизить риски, в систему хранения добавляют запасной диск, так называемый диск "горячей замены".
Прилагательное "горячий" (Hot) пришло к нам из английского языка как определение для устройств, находящихся в подключенном состоянии, в полной готовности. Противоположный термин cold применяется, например, в сочетании "холодный" архив для обозначения архива на обособленных носителях, которые хранятся на полке в хранилище и требуют подключения для использования.
Диск "горячей замены" не используется, но в случае сбоя немедленно подключается для замены дефектного диска. Соответственно, количество дисков, установленных в системе, должно быть на один больше.
Если для RAID5 число дисков определяется как n + 1, где n - количество дисков, необходимое для размещения информационного массива, то с диском "горячей замены" это уже (n + 1) + 1, т.е. еще на диск больше. Например, если для информационной системы нам надо 45 Tb дискового пространства, значит, для RAID5 надо взять 5 + 1 дисков по 10 Tb, т.е. 6 дисков + 1 диск "горячей замены", итого потребуется 7 дисков. Если же взять диски емкостью не 10, а 16 Tb, то нужную дисковую емкость обеспечат уже не 5, а 4 диска, но также добавляются дополнительные диски такой же емкости (в данном примере - по 16 TB), необходимые для организации RAID-массива и горячего резерва.
Однако риски остаются. Если массив создан из нескольких дисков одной модели, приобретенных одновременно, то и ресурс дисков может подойти к концу практически одновременно. В этом случае есть риск, что после выхода из строя одного диска и его замены в ходе реконфигурации массива, сопровождающейся интенсивным обращением ко всем дискам с перезаписью данных, может выйти из строя еще один диск. Если это произойдет до завершения реконфигурации системы, информация, находящаяся на RAID-массиве, может быть потеряна.
Поэтому для повышения надежности используют более сложный массив RAID6, сохраняющий работоспособность даже в случае выхода из строя двух дисков. Соответственно, в таком массиве число дисков составляет (n + 2) + опять же диск "горячего" резерва. Например, в накопителе с 8 дисками полезный объем будет равен емкости 5 дисков, еще два обеспечивают отказоустойчивость RAID6, и один диск - в "горячем" резерве. Именно такая конфигурация системы хранения обеспечивает минимально достаточный уровень отказоустойчивости.
Дополнительную уверенность дает использование специального программного обеспечения (ПО), предупреждающего о снижении надежности данного диска ("предсказывающего" отказ диска), что позволяет заменять диски заблаговременно. При использовании SSD дисков, имеющих показатель "расчетный ресурс", то есть объем данных, которые могут быть записаны на диск за весь период его работы до выхода из строя, замена дисков может осуществляться в плановом порядке, по графику.
Использование в дисковом массиве дисков разных производителей или из разных партий снижает вероятность одновременного отказа двух и более дисков. Сложность состоит в том, что, так как в ходе эксплуатации происходит обращение ко всем дискам массива одновременно, они должны иметь схожие характеристики. При постепенном наращивании объема дискового массива проблема частично решается, так как все диски массива имеют разное время эксплуатации.

Дублирование, резервное копирование, кластеризация

Однако использование дисковых массивов защищает от выхода из строя только дисков. Другие компоненты систем хранения выходят из строя гораздо реже. Современные системы уровня "выше среднего" обеспечивают дублирование и возможность замены без остановки сервера практически всех компонентов. Дублируются блоки питания, вентиляторы, процессоры, оперативная память, контроллеры и т.п. Но, как показывает практика, сломаться может все. Поэтому в тех случаях, когда важно обеспечить доступность электронного архива что называется, 24/7, то есть круглосуточно семь дней в неделю, используются две системы хранения, с дублированием всей информации на второй накопитель или образующие кластер. С точки зрения архивиста, неважно, какие решения использует IT-служба, главное то, что при выходе из строя одной системы хранения вторая будет работать и выполнять запросы пользователей к архиву.
Еще один фактор, обеспечивающий сохранность документов, - гарантированное электропитание. Вещь общеизвестная, обеспечивается использованием источника бесперебойного питания (ИБП, UPS). Для систем хранения ИБП особенно важен, так как сбой электропитания в момент записи данных на RAID-массив приводит к утрате информации.
Дорогие модели контроллеров имеют собственную батарею, но такие контроллеры обычно встречаются только в крупных структурах со значительным IT-бюджетом. В любом случае ИБП должен быть. Простые модели переключаются на батарею при скачках и перепадах электропитания, более продвинутые выполняют и роль стабилизатора, обеспечивая повышение или понижение напряжения до стандартных 230 В без перехода на батарею, а наиболее продвинутые серверные ИБП "с двойным преобразованием" обеспечивают качественное электропитание без малейших перебоев.

Антивирусная защита

В условиях, когда значительная часть сотрудников работает с использованием сети Интернет, широко распространена дистанционная работа вне офиса, существенно возрастают риски заражения устройства вредоносной программой и ее последующего распространения в корпоративной сети.
Очень важно обеспечить защиту всех компьютеров и других устройств, с которых осуществляется доступ к СЭД и другим корпоративным ресурсам. Это кажется элементарным и само собой разумеющимся, но, к сожалению, нарушения встречаются очень часто. Лучше всего, когда при подключении к корпоративной сети автоматически проверяется наличие антивируса и актуальность используемых антивирусной программой баз (сведений о существующих вирусах, троянах и других вредоносных программах), уровне защищенности и только после этого происходит соединение. Это делается автоматически, занимает 1 - 2 секунды, но существенно повышает общую безопасность.
Распространенная ошибка - отсутствие антивирусной программы или ее несвоевременное обновление на компьютерах, не подключенных к локальной сети или подключенных к закрытому сегменту сети, не имеющему выхода в Интернет. В этом случае автоматическое обновление невозможно, а сотрудники IT-службы, которые должны выполнять обновление в "ручном" режиме, зачастую нарушают установленный график обновлений. Однако риск заражения через сменные накопители, "флэшки", остается. Поэтому надо четко понимать, что отсутствие доступа в Интернет снижает риски, но угроза заражения остается, и регулярное обновление и работоспособность антивирусной программы в целом надо обязательно контролировать.

Информационная безопасность

Защита от несанкционированного доступа - отдельное направление обеспечения сохранности. Это сфера работы специалистов по информационной безопасности. Специалисты должны проанализировать информационную систему на наличие уязвимостей как из внешней сети (из Интернета), так и возможность несанкционированного доступа "изнутри". Такой анализ проводится как на этапе проектирования информационной системы, так и после запуска ИС и впоследствии время от времени. К сожалению, многие сотрудники в стремлении "упростить себе жизнь" пренебрегают корпоративными требованиями, отключают те или иные алгоритмы систем безопасности, своевременно не устанавливают обновления, создавая "прорехи" в защите корпоративной сети.

Резервное копирование

Изготовление резервных копий файлов для восстановления в случае повреждения или уничтожения (backup) - важнейшая часть политики обеспечения сохранности документов. Выполняемое IT-службой резервное копирование можно разделить на несколько направлений.
1. Создание копии (образа) операционной системы и набора приложений. Это направление службу ДОУ интересует в меньшей степени, так как от наличия "свежего" и правильно выполненного бэкапа зависит только одно - как быстро в случае сбоя IT-служба восстановит работоспособность системы.
2. Создание копий информационной системы архива. БД архива постоянно меняется. Очень быстро пополняется журнал доступа к документам. Существенно реже вносятся изменения в метаданные документов, например сведения о проверке носителя, добавляются акты о выделении к уничтожению, исправляются опечатки, не говоря уже о периодическом включении новых документов в ИС (СЭД, СХЭД).
И в первом, и во втором случаях используется стандартная технология часто выполняемых копий ("моментальных снимков"), частота которых зависит от интенсивности внесения изменений в систему. Обычно такие копии хранятся 2 - 4 месяца, а потом замещаются новыми.
Главное, на что надо обращать внимание, - периодическая проверка на восстанавливаемость системы из резервных копий. Такая проверка производится каждые 3 - 6 месяцев и дает уверенность, что резервные копии делаются не напрасно и в случае какой-либо проблемы действительно возможно восстановить все документы.
Особенности резервного копирования, выполняемого IT-службой для оперативных целей:
- Резервные копии делаются с файлов, других данных, которые часто меняются.
- Резервные копии хранятся несколько месяцев, после чего постепенно замещаются более новыми.
- Используется специальное программное обеспечение, "сжимающее" для экономии места резервные копии в один файл архива.
- Может выполняться "дедупликация", т.е. все файлы хранятся только в одном экземпляре.
И наконец, третье направление резервного копирования - это создание архивных копий документов организации, т.е. собственно документов, электронных копий документов и метаданных, включенных в систему управления документами или электронный архив.
Основные отличия резервного копирования документов для архива:
- Копируются документы, завершенные в делопроизводстве, т.е. те, которые не будут изменяться.
- Архивные копии хранятся в течение длительного времени и не подлежат перезаписи.
- Каждый документ выгружается в виде отдельного архивного контейнера (zip-архива) в соответствии с Правилами. Документы группируются в папки, соответствующие делам по номенклатуре дел или описи дел организации.
- Архивные копии записываются в двух экземплярах на два обособленных носителя, которые хранятся в двух местах, в разных архивохранилищах.
- Для основной и резервной копий (экземпляры носителей) желательно использовать носители разных производителей или разных серий выпуска во избежание одновременного появления дефекта у основного и резервного носителей.
В архивных Правилах и Рекомендациях эти два физически обособленных носителя называются "основной" и "рабочий" экземпляры <1>. Сегодня название "рабочий" уже не вполне корректно, оно восходит к тому времени, когда документы хранили только на обособленных носителях и для доступа к документу его носитель извлекался из хранилища и вставлялся (подключался) в компьютер пользователя. Однако уже давно основной ("рабочий") экземпляр документов находится внутри информационной системы ДОУ или архива, а обособленные носители выполняют функции именно резервной копии. А два экземпляра изготавливают для раздельного хранения на случай проявления дефекта или повреждения одного из носителей.
--------------------------------
<1> См., например, Пункт 7.1 Методические рекомендации к Правилам организации хранения, комплектования, учета и использования документов Архивного фонда Российской Федерации и других архивных документов в государственных и муниципальных архивах, музеях и библиотеках, научных организациях. М., 2021.

Использование именно физически обособленных носителей важно, так как, кроме рисков физического повреждения систем хранения, находящихся в одной компьютерной стойке или даже в одной серверной, есть риски вирусной атаки, умышленных/неумышленных действий пользователей ИС, несанкционированный доступ и другие случаи, когда могут быть повреждены или уничтожены все экземпляры документов, находящиеся в on-line режиме, т.е. подключенные к локальной сети организации, а зачастую имеющие выход к глобальной сети Интернет. Есть множество примеров, когда серверная система хранения выходила из строя вместе с резервной (вирус-шифровальщик, прорыв воды из системы кондиционирования, ошибки помощника сисадмина и затем некорректные попытки самостоятельно все исправить и многое другое). Во всех этих случаях именно архивные копии позволяют восстановить ИС и все включенные в нее документы.
Рекомендуется использование носителей с однократной записью. В Методических рекомендациях приводится пример CD-R дисков. Такие диски для архивного хранения найти проблематично, так же как и DVD-R диски. Но еще можно встретить Blu-ray диски, рекомендованные производителем для архивного хранения. Для небольших архивов нескольких дисков по 25 Gb может быть достаточно, но более крупные организации чаще используют небольшие дисковые накопители типа QNAP и программные или аппаратно-программные средства защиты от перезаписи (WORM).
На сегодня однозначных рекомендаций, как хранить документы, нет, есть только общие положения. Эту проблему каждая организация решает самостоятельно. Оптические накопители морально устарели и имеют небольшую емкость, твердотельные накопители (SSD) не защищены от перезаписи.
Наиболее перспективным видится, на наш взгляд, развитие "облачных" сервисов независимых компаний, которые, используя высоконадежное оборудование с поддержкой однократной записи, могли бы осуществлять гарантированное хранение документов, одновременно выступая в роли третьей доверенной стороны, обеспечивающей в случае необходимости подтверждение аутентичности, а может быть, и юридической значимости хранящихся документов. В этом случае все проблемы сохранности для большинства организаций сводятся в одному - своевременно выгрузить завершенные в делопроизводстве документы в "облачную" систему хранения.
Специалисты в области управления документами, службы ДОУ, архивисты должны четко представлять себе не только технологию организации работы с документами в электронной форме, но и технологии обеспечения их сохранности, так как в конечном счете именно службы ДОУ отвечают за информационно-документационное обеспечение организации любой формы собственности и масштабов.

С.Л. Кузнецов
К. и. н.

Н.П. Коптева
Подписано в печать
02.08.2021