Програма асоки на проекта Калимера Културни приложения: Местни институции като посредници

Виж

ОБХВАТ

Сигурността е комплекс от мерки за запазване на ресурсите невредими от различни заплахи. Потребителите се нуждаят от доверие в обществените услуги и информацията, която те осигуряват, и ако он-лайн услугите се разрастват, потребителите искат да са сигурни, че системите са защитени. Необходимо е да се намери балансът между сигурността и достъпа. Прекалените мерки за сигурност биха повлияли отрицателно на използването на ресурси и ценността на ресурсите трябва да се съобрази с цената на мерките за сигурност, включително софтуер и др., време на персонала и добрата воля на потребителите. Не всички ресурси изискват едно и също ниво на сигурност.

Процедурите за сигурност са нужни, за да:

• 
  бъдат защита срещу кражби и загуби;
  
• 
  предпазват ресурсите от нарочни или неволни поправки и изменения, т.е. да защитава достоверността и цялостността на дигиталните ресурси;
  
• 
  обезпечават придържането към законодателни изисквания, като авторско право, лиценз, опазване на данни, въпроси на личната неприкосновеност (виж насоките върху Законодателни и правни въпроси);
  
• 
  осигуряват възможност за финансова проверка, за да се отговори на счетоводните изисквания;
  
• 
  възпират потенциални вътрешни сривове на системата.
  

Защитната стена работи по два начина: може да предпазва сървъра и ресурсите от външни хакери или да възпира достъпа на вътрешните потребители от организацията до определени сайтове. Необходимо е да се вземе решение какъв трафик ще се разреши да минава през защитната стена, например може да се разреши получаване на електронната поща, а изпращане на съобщения и разглеждане на резултати от търсене в уеб да не бъдат разрешени. Веднъж след като е определен разрешеният трафик, защитната стена може да се фиксира да блокира целия неразрешен трафик. Това понякога възпира нов и легитимен трафик, но се препоръчва пред допускането на непознат трафик, който може да причини повреда в мрежата.

Вирусите, спамът и др. все още могат да преминават през легитимни “дупки” в защитната стена, например по електронната поща. Един обичаен начин за разпространение на вируси е чрез прикачени файлове към електронните съобщения. Затова целият персонал трябва да бъде обучен да внимава за прикачени файлове, изпратени без да са поискани от непознат изпращач. Целият персонал трябва да бъде обучен:

• 
  никога да не отваря подозрителни прикачени файлове, а да ги изтрива веднага; след това да изпразни папката с изтрити писма – по този начин ги изтрива двойно;
  
• 
  никога да не препраща спам съобщения или junk e-mail, а да ги изтрива незабавно;
  
• 
  винаги да сканира за вируси дискети и CD-та преди да ги използва.
  

Антивирусни софтуери, антиспам софтуери и антиспайуеър могат лесно да се закупят или да се намерят безплатни версии. Те трябва да се инсталират и актуализират. Европейската комисия е внесла директива за контролиране на спама. (Директива 2002/58/EC за личната неприкосновеност и електронните комуникации, 12 юли [5]).

• 
  описание на услугата и достъпните ресурси;
  
• 
  кой може да използва услугата;
  
• 
  информация за такси;
  
• 
  дали достъпът е филтриран;
  
• 
  етична и правна информация, например авторско право и др.
  

Указанието “Да разработиш Приета политика за употреба” [6] съдържа полезни съвети и примери. Примерни политики могат да се намерят на сайта на института SANS (SysAdmin, Audit, Network, Security) [7].

Системата за регистрация на потребители трябва да се съпровожда от система за легитимация на потребители, която проверява самоличността на потребителя, като например го пита за адрес на електронна поща, след което иска потребителско име и парола, които трябва да се използват за достъп до колекцията. Този вид легитимация е сравнително проста и евтина, но е подходяща само за ниско ниво на защита, тъй като:

• 
  паролите могат да се преотстъпват от потребителите на техни приятели;
  
• 
  паролите могат да се откраднат или заемат;
  
• 
  паролите могат да се отгатнат, особено когато потребителите избират за пароли рождени дати;
  
• 
  потребителите често си записват паролите;
  
• 
  някои компютърни вируси могат да улавят пароли и идентификационни номера;
  
• 
  пароли, циркулиращи в мрежата, стават обект на “подслушване”
  

• 
  броят на влизанията в базата-данни трябва бъде ограничен или времето за въвеждане на парола да бъде кратко;
  
• 
  сървърите могат да бъдат настроени така, че последното регистрирано име не се появява на екрана – това е важно за публичните места, където някой може да наблюдава как потребителят изписва паролата си;
  
• 
  регистрираните потребители трябва да променят периодично паролите си;
  
• 
  Опцията за влизане на потребители-гости може да бъде дезактивирана;
  
• 
  Паролите на персонала за административни цели трябва да се променят редовно.
  

Съществуват и други системи за легитимация на потребителя, които предлагат по-голяма защита и сигурност, но те са по-скъпи. Например:

• 
  зашифровани пароли;
  
• 
  филтриране на Интернет протокола (IP) - сървърът сравнява IP адресите на потребителите със списък на одобрени IP адреси, при което не се изисква парола. Има недостатъци, тъй като разрастването на динамичното IP адресиране от много Интернет доставчици прави поддържането на списъка с одобрените адреси много трудно. Идентификацията с IP е трудна при мобилните потребители и тези зад защитни стени;
  
• 
  комбинация от парола и филтриране на IP адреси;
  
• 
  биометрична идентификация, напр. отпечатъци от пръсти или разпознаване на ирис;
  
• 
  смарткарти – идентификацията на потребители в близко бъдеще може би ще се извършва от локални или централни правителствени агенции, които ще издават форми на идентификация за много цели, вероятно вид смарткарти, съдържащи биометрична информация, която ще предоставят на носителите им достъп до широк кръг от услуги, включително музеи, библиотеки и архиви.
  

Чун, Мерилин. Механизми за легитимация – кой е най-добрият? 2002 [10], или Дънкън, Ричард. Преглед на различни идентификационни методи и протоколи. 2001 [11].

Друг начин да се контролира кой използва дигиталните ресурси е лицензионната система. Лицензираните потребители обикновено плащат за абонамент; понякога има различни нива на абонамент на основата на договорена употреба на ресурсите, например използването за образователни цели може да е по-евтино от използването за комерсиални цели. Лицензионните системи са скъпи за внедряване, затова е разумно да се установи, че ще има достатъчно абонати, за да си струва инвестицията в това ниво на сигурност.

Лицензите могат да управляват достъпа до ресурси, които не се притежават от института. Например една библиотека може да се абонира за он-лайн версия на периодични и справочни издания, чиято употреба се контролира от лиценз с издателя. Електронните книги могат да се доставят по подобен начин. (Виж Връзки)
Системите за регистрация и легитимация на потребители също спомагат за защита на дигиталните изображения по време на тяхното пренасяне в мрежата.

Ако се използва кодираща система като Криптография на публичния ключ [12], която използва два различни, но математически свързани ключа, единият за създаване на дигитален подпис или трансформиране на данни в привидно неразбираема форма, а другият – за проверка на дигиталния подпис или връщане на съобщението в първоначалната му форма, тогава изображенията ще бъдат достъпни само до потребители, които имат правилния ”ключ”.

Мениджмънтът на дигитални права може да се определи като автоматизиран мениджмънт на правата за интелектуална собственост и сигурно доставяне на дигитално съдържание до потребителите. Системата за мениджмънт на дигитални права може да:

• 
  предпазва от неразрешено извършване на промени и копиране;
  

• 
  се занимава с лицензионни договаряния;
  
• 
  подпомага системи за разплащане като абонаменти и плащане на момента за конкретна порция от информация;
  
• 
  работи ефективно с всички видове дигитални формати.
  

Криптографията използва математически техники за превръщане на текст или изображения в шифрован текст (процесът се нарича кодиране), и обратно (декодиране), така че:

• 
  информацията не може да бъде разбрана от тези, за които не е предназначена;
  
• 
  информацията не може да бъде променяна там, където се съхранява, или по време на пренасяне между изпращач и получател, без да се разкрие намесата;
  
• 
  изпращачът не може да отрече по-късно, че я е изпратил;
  
• 
  изпращачът и получателят могат да потвърдят един на друг идентичността си, както и произхода и предназначението на информацията.
  

Дигиталните подписи са прикачени към електронните съобщения, за да потвърдят, че изпращачите са тези, за които твърдят че са. Те се създават и проверяват от Криптография на публичния ключ (Public Key Cryptography). За описание на работата с дигитални подписи виж Ръководство за дигитални подписи на Американската адвокатска асоциация [14]. Консорциумът World Wide Web и Работната група по Интернет инженеринг работят върху дигитален подпис във формат XML [15].

Дигиталните водни знаци не могат да възпрат свалянето на изображения, но могат да докажат собствеността или произхода им. Те могат да се видими или невидими или комбинация от двете. Видимите са по-лесни и евтини за внедряване, но пък обикновено развалят вида на изображението, така че не са подходящи за произведения на изкуството. Те обаче премахват търговската ценност на копието за потенциалния крадец, без да възпират законното му използване. Невидимите водни знаци са по-малка пречка за кражби, но увеличават вероятността да се докаже, че изображението е откраднато след събитието. По-усъвършенствани системи за невидими водни знаци ще поставят знака върху изображението в момента на използването му от потребителя. Би могло да се добави по-нататък и информация като името и адреса на потребителя, ден и час на сваляне, подробности от споразумението за авторското право и др. Подобни техники могат да се използват в аудио и видео носителите. Друг тип водни знаци са “деликатните”. Те са вградени в изображението, но са толкова “крехки”, че могат да се загубят, ако изображението се модифицира по някакъв начин. Така че, присъствието на такъв знак ще доказва, че изображението е напълно оригинално и не е било по никакъв начин подправяно. За информация относно дигитални водни знаци и пръстови отпечатъци виж Коул, Линда. Кражби и просвояване[16].

• 
  Поставяне на лого или интернет адрес (URL) в някой от ъглите на изображението, което показва произхода или собствеността на изображението. Премахването на такъв знак не е трудно, но би нарушило авторското право и би дало повод за завеждане на дело срещу потребителя, ако се открие;
  
• 
  Автоматично вмъкване на забележка за копирайта и друга подобна информация в момента на изтегляне на изображението от Интернет. Отново, отстраняването му не е трудно, но би нарушило споразумението за копирайта.
  

Буквално означава “покрито писане”, а в дигиталната област включва скриване на информация вътре в нещо друго, обикновено изображение, но би могло да бъде всеки дигитален формат като например звукозапис. Необходими са два файла: покриващото изображение, което ще държи скритите данни, и данните, които ще се укриват. Двата файла се комбинират в т.н. стегоизображение, при което се изисква ключ за дешифриране. За описание на стеганографията виж Джонсън, Нейл и Джажодиа, Сушит: Изучаване на стеганографията: да видиш невидимото. 1998 [17].

• 
  деактивиране на функцията на десния бутон на мишката, която съдържа опцията: “съхрани картинката”;
  
• 
  компресиране на формата, за да се намали качеството на изображението;
  
• 
  използване на умалени образи на изображенията (thumbnails), които се виждат от всеки, и предоставяне на пълния им размер само на регистрирани потребители, или защита на пълния размер чрез воден знак, шифър и др.
  

Ако институтът продава стоки и услуги по Интернет, по телефона или мобилно устройство, тогава е важно да има защитна система, която пази данните на кредитната или дебитната карта на клиента. Това включва Портал за плащане, който комуникира с банката на клиента Съществуват много търговски доставчици на такива системи.

Няма общоприета дефиниция за автентичност, но най-общо тя означава, че запазеното копие трябва да бъде колкото е възможно най-близко до оригинала.

Това е особено важно за архивите, където трябва да се съхраняват връзките между документите, за да се улесни тяхната интерпретация. Например писателите и учените трябва да се уверени, че цитатите им ще останат същите във времето, юристите се нуждаят от солидни доказателства, на които може да се разчита в съда, а правителствата биха искали да могат да проследяват историята на вземане на решения и др. За дискусия върху важността на автентичността виж Гладни, Х.М. и Бенет, Дж.Л. : Какво разбираме под автентичност? Какво е истинският Маккой? В: D-Lib Magazine, vol. 9, no. 7/8. July/August 2003 [21].
Архивисти и историци са загрижени, че с разпространението на записи, налични само в дигитална форма, възможността за осигуряване на достоверни източници ще бъде изгубена за поколенията. В аналоговия свят опазеният материал обикновено е оригиналът, макар че могат да се правят оборотни копия, за да не се повреди оригиналът при употреба. В дигиталния свят опазеният екземпляр ще бъде копие, защото няма физически артефакт. Тъй като това зависи от технологията за достъп, с времето това копие ще бъде обект на много промени, за да се гарантира, че то е достъпно чрез новите технологии. Затова е решаващо да се съхранят метаданните, които определят неговата автентичност. В идеалния случай те се създават едновременно с информацията. По въпросите на автентичността и цялостността виж Цялостност и автентичност на предметите на културното наследство. Digicult Thematic Issue 1, August 2002 [22].
Британският институт по стандартизация (BSI) публикува BIP 0008:2004 Практически кодекс за правна допустимост и доказателствена тежест на информацията, съхранявана в електронен формат [23], който дава препоръки за всички аспекти на мениджмънта на електронни документи, включително:

• 
  дали да се запазват оригинали на документи на хартия (където съществуват такива);
  
• 
  как да се гарантира, че всички съответни доказателства са уловени от оригиналните документи, включително метаданните;
  
• 
  как да се разработва и внедрява политика за сигурност;
  
• 
  какво да се прави в случай на пробив в сигурността;
  

Съществуват различни методи за гарантиране на автентичност на дигитални ресурси, между които:

• 
  скриване на данни в обекта, които разкриват източника, като дигитални водни знаци и дигитални подписи (виж по-горе);
  
• 
  създаване на надеждни дигитални репозиториуми (виж по-долу);
  
• 
  регистрация на уникални идентификатори на документа (виж насоките върху Дигитално опазване и съхранение на колекции);
  
• 
  дефиниране на структури на метаданни, които носят информация за автентичността на документа (виж насоките върху Дигитално опазване и съхранение на колекции);
  
• 
  регистрация на специфични имена на домейни за уеб сайтове (виж по-долу).
  

Проектът за международно проучване на постоянните автентични записи в електронните системи (InterPARES) изготви доклад върху автентичността [26].

Тяхната цел е да осигурят дълготраен и надежден достъп. Някои институти ще са в състояние да изградят техни собствени репозиториуми; други могат да решат да депозират материал у външен партньор, който може да бъде национална депозитна библиотека или архив, който има организационни, технически, структурни, правни и финансови ресурси да поеме отговорност за дълготрайно поддържане на дигитални ресурси от името на депозиращите институти и за ползата на днешните и бъдещите потребители. За преглед на въпроса виж Надеждни дигитални репозиториуми: качества и отговорности: Доклад на Групата на научните библиотеки [САЩ] и OCLC. 2002 [27].

За да могат потребителите да идентифицират достоверността на съдържанието, доставяно в уеб сайтовете, трябва да се регистрират имена на домейни в Системата за имена на домейни (Domain Name System - DNS) [28]. Името на домейна трябва да съдържа името на организацията и/или проекта. Музеите могат да се регистрират в Асоциацията за мениджмънт на имена на домейни в музейната сфера (MuseDoma) [29], създадена от Международният съвет на музеите (ICOM), като използват компонента “.museum” в името на домейна. Резолвърите са програми, които търсят и идентифицират IP адреси (процесът се нарича DNS резолюция).