Decizia nr. 1131/2008
privind normele metodologice de autorizare a centrelor de date
prezumat în vigoare
În temeiul prevederilor
art. 8 alin. (1), (3) și (5) din Ordonanța de urgență a Guvernului nr. 106/2008
privind înființarea Autorității Naționale pentru Comunicații, precum și ale art. 17 alin. (2) și ale
art. 27 alin. (2) din Legea nr. 135/2007
privind arhivarea documentelor în formă electronică,
președintele Autorității Naționale pentru Comunicații emite prezenta decizie.
Articolul 1
Prezenta decizie se aplică centrelor de date utilizate de către administratorii de arhive electronice, în conformitate cu prevederile
privind arhivarea documentelor în formă electronică.
Prezenta decizie stabilește procedura și condițiile privind acordarea, suspendarea și retragerea deciziei de autorizare a centrelor de date, emise de către Autoritatea Națională pentru Comunicații, denumită în continuare ANC, precum și conținutul, durata de valabilitate și efectele suspendării sau retragerii deciziei de autorizare.
Articolul 2
În înțelesul prezentei decizii, următorii termeni se definesc astfel:
a) centru de date - spațiu securizat, dotat cu tehnică de calcul și echipamente de comunicații prin intermediul cărora se primesc, se stochează și se transmit date în formă electronică;
b) procedură de autorizare - metodă de evaluare sistematică, documentată, periodică și obiectivă a performanței centrului de date, a sistemului de management și a proceselor destinate protecției arhivelor electronice, în scopul verificării respectării cerințelor prevăzute de legislația în vigoare;
c) decizie de autorizare - document emis de ANC care atestă că un centru de date îndeplinește toate condițiile cerute de legislația în vigoare în vederea desfășurării operațiunilor de arhivare electronică;
d) backup - activitatea de copiere a unor fișiere sau baze de date în vederea conservării și recuperării acestora în cazul unei avarii sau al altui eveniment neprevăzut;
e) UPS (Uninterruptible Power Supply) - dispozitiv care permite calculatorului să funcționeze pentru o perioadă scurtă de timp în cazul în care sursa principală de energie este întreruptă, respectiv care asigură protecție împotriva suprasarcinilor tranzitorii;
f) firewall- dispozitiv hardware sau aplicație software care monitorizează și filtrează permanent transmisiile de date realizate între rețeaua protejată și alte rețele, pe baza unui set de reguli și criterii;
g) router - dispozitiv hardware sau aplicație software care conectează două sau mai multe rețele de calculatoare;
h) upgrade - proces de îmbunătățire a unui echipament tehnic sau a unei aplicații software;
i) redundanță - introducere de dispozitive suplimentare față de cel de baza, care să asigure funcționarea unui sistem în cazul în care unul dintre dispozitivele cu aceeași funcție a ieșit întâmplător din uz.
Articolul 3
Centrele de date utilizate de către administratorii de arhive electronice trebuie să dispună de dotările tehnice și să aplice politicile și procedurile de management și de securitate necesare pentru a îndeplini condițiile prevăzute la
art. 17 alin. (1) din Legea nr. 135/2007 .
Articolul 4
Persoana fizică sau juridică care intenționează să obțină autorizarea unui centru de date în vederea desfășurării activităților legate de arhivarea electronică a documentelor, denumită în continuare solicitant, va transmite ANC o cerere scrisă în acest sens. Forma și conținutul acestei cereri sunt prevăzute în anexa nr. 1.
Cererea prevăzută la alin. (1) va fi însoțită de următoarele documente:
a) descrierea politicilor și procedurilor de lucru, incluzând enumerarea posturilor și funcțiilor personalului, precum și calificările/atestările profesionale ale acestuia;
b) descrierea generală a echipamentelor utilizate în procesul de arhivare;
c) procedurile pentru asigurarea disponibilității serviciului;
d) politica generală de securitate, politicile privind utilizatorii, parolele și accesul la sisteme.
Cererea și documentele anexate se transmit la sediul central al ANC în unul dintre următoarele moduri:
a) prin depunere, personal sau de către reprezentantul legal, sub luare de semnătură;
b) printr'adun serviciu poștal;
c) ca înscris în formă electronică, căruia i s-a încorporat, atașat sau i s-a asociat logic o semnătură electronică extinsă, bazată pe un certificat calificat nesuspendat sau nerevocat la momentul respectiv și generată cu ajutorul unui dispozitiv securizat de creare a semnăturii electronice.
Este considerată dată a transmiterii, după caz, data înscrierii în registrul general de intrare-ieșire a corespondenței al ANC, data confirmării primirii documentelor la sediul central al ANC printr'adun serviciu poștal cu confirmare de primire sau data confirmării primirii înscrisului în formă electronică.
În cazul în care documentația nu îndeplinește condițiile prevăzute de prezenta decizie, ANC va solicita completarea acesteia, în termen de 10 zile de la transmiterea solicitării de completare.
În cazul în care documentația transmisă potrivit alin. (1)-(3) este completă sau a fost completată în conformitate cu prevederile alin. (5), ANC demarează procedura de autorizare a centrului de date.
Articolul 5
Verificarea îndeplinirii condițiilor în vederea autorizării se face de către personalul ANC cu atribuții în acest sens, în cadrul procedurii de autorizare.
Pe perioada desfășurării procedurii de autorizare, ANC poate solicita orice documente referitoare la activitatea centrului de date care are legătură cu activitatea de arhivare electronică și poate efectua acțiuni de control pentru a verifica conformitatea dintre informațiile declarate în cursul procedurii de autorizare și realitate.
Articolul 6
În vederea autorizării, centrul de date trebuie să îndeplinească condițiile prevăzute la
art. 17 alin. (1) din Legea nr. 135/2007 , obiectivele principale urmărite de ANC în cursul procedurii de autorizare pentru verificarea îndeplinirii acestor condiții fiind următoarele:
a) asigurarea securității și integrității datelor, la nivel de securitate fizică și acces prin mijloace informatice;
b) disponibilitatea serviciului de arhivare electronică și backup-ul informațiilor stocate.
Articolul 7
În cursul procedurii de autorizare, ANC va verifica îndeplinirea de către centrul de date, în mod cumulativ, a condițiilor prevăzute la art. 8-12.
Articolul 8
Spațiul în care funcționează centrul de date trebuie să fie amenajat astfel încât să fie posibilă respectarea cerințelor de securitate specifice și să asigure funcționarea echipamentelor la parametrii optimi prevăzuți de producătorii acestora. În acest sens, se va asigura:
a) instalarea unor sisteme de climatizare care să asigure valorile optime de temperatură și umiditate în vederea funcționării echipamentelor în condiții de siguranță;
b) utilizarea de materiale ignifuge și instalarea unor sisteme de prevenire și stingere a incendiilor, concepute special pentru evitarea deteriorării echipamentelor;
c) dimensionarea corespunzătoare a rețelei electrice, în funcție de consumurile echipamentelor folosite;
d) garantarea siguranței la defecțiunile previzibile ale sistemelor de utilități (apă, gaze etc.) care deservesc spațiul care găzduiește centrul de date.
Articolul 9
Asigurarea redundanței și realizarea backup-ului trebuie să fie implementate prin următoarele măsuri:
a) utilizarea de dispozitive UPS și/sau generatoare electrice, care să asigure funcționarea neîntreruptă a echipamentelor în cazul opririi alimentării cu curent electric de la rețeaua principală; timpul de asigurare a alimentării din sursa de urgență va fi calculat în funcție de timpii estimați pentru remedierea posibilelor avarii care ar surveni la rețeaua electrică principală;
b) duplicarea tuturor elementelor rețelei electrice și asigurarea posibilității comutării automate de pe rețeaua principală pe rețeaua de rezervă;
c) utilizarea procedurilor de lucru care să asigure efectuarea de backup periodic al tuturor informațiilor păstrate în centrul de date și stocarea acestora în alt spațiu, diferit de spațiul principal al centrului de date, cu asigurarea acelorași condiții de securitate ca și cele ale spațiului principal, aflate la o distanță față de spațiul principal care să corespundă normelor europene în domeniu;
d) asigurarea unor proceduri de mentenanță pentru echipamente și pentru infrastructură, respectând recomandările producătorilor echipamentelor respective, astfel încât să se minimizeze riscul apariției de probleme tehnice;
e) în cazul echipamentelor critice (a căror funcționare permanentă este esențială în asigurarea continuității funcționării centrului de date) se vor asigura echipamente de rezervă, care vor fi folosite pe perioada efectuării operațiunilor de mentenanță ce implică oprirea sau deconectarea respectivului echipament și pe perioada în care echipamentul principal este afectat de defecțiuni tehnice.
Articolul 10
Centrul de date trebuie să aibă o structură scalabilă, atât în ceea ce privește echipamentele informatice utilizate, cât și infrastructura, cu scopul de a păstra performanțele sistemului la un nivel constant în cazul apariției de condiții noi (mărirea capacității centrului de date, facilități noi etc).
Articolul 11
Centrul de date trebuie să asigure securitatea și integritatea informațiilor stocate atât în ceea ce privește accesul fizic la echipamentele utilizate, cât și accesul prin mijloace electronice la documentele arhivate.
Securitatea fizică presupune luarea următoarelor măsuri:
a) acces controlat la echipamentele centrului de date utilizate pentru arhivarea electronică a documentelor, cu precizarea mai multor niveluri de drepturi de acces ale personalului care operează sistemele;
b) utilizarea echipamentelor speciale de evitare și detecție a intruziunilor fizice.
Pentru asigurarea securității accesului prin mijloace electronice la documentele arhivate, trebuie utilizate următoarele măsuri tehnice:
a) sisteme de detecție a intruziunilor (Intrusion Detection System - IDS);
b) firewall (software și/sau hardware), routere pentru filtrarea traficului;
c) sisteme antivirus;
d) securizarea proceselor de autentificare și de autorizare a accesului la date;
e) jurnalizarea automată a acțiunilor efectuate în sistem.
Articolul 12
Operarea centrului de date trebuie realizată respectându-se strategii, politici și proceduri bine determinate în ceea ce privește managementul, controlul și securitatea sistemelor. În realizarea acestor politici și proceduri se vor respecta următoarele cerințe minimale:
a) jurnalizarea cronologică a acțiunilor efectuate în sistem (accesul fizic la echipamente, comutări de pe un sistem pe altul, procese de mentenanță, acțiuni ale operatorului etc);
b) evaluarea la intervale regulate a infrastructurii centrului de date, a sistemului de securitate și a echipamentelor informatice folosite, inclusiv a sistemelor de backup;
c) folosirea unui sistem de management al calității;
d) evaluarea efectelor extinderilor și upgrade-urilor;
e) realizarea auditului regulat al planului de securitate;
f) evaluarea și perfecționarea periodică a personalului;
g) implementarea unor politici de resurse umane care să asigure operarea centrului de date de către personal specializat care să dispună de certificări în domeniu.
Articolul 13
În termen de 30 de zile de la primirea documentației în conformitate cu prevederile art. 4 alin. (1)-(3) sau a completărilor solicitate în conformitate cu prevederile art. 4 alin. (5), ANC emite decizia de autorizare a centrului de date sau decizia de respingere a cererii de autorizare, motivată în mod corespunzător.
Forma și conținutul deciziei de autorizare a centrului de date sunt prevăzute în anexa nr. 2.
Articolul 14
Decizia de autorizare este valabilă pentru o perioadă de 3 ani de la data emiterii acesteia.
Autorizarea poate fi reînnoită, procedura de reautorizare fiind identică cu cea de autorizare.
Pe durata valabilității deciziei de autorizare, ANC are dreptul de a efectua acțiuni de control periodice, pentru verificarea menținerii condițiilor de funcționare a centrului de date.
Articolul 15
Constatarea de către personalul de control de specialitate din cadrul ANC a neîndeplinirii condițiilor minime de funcționare a centrului de date atrage suspendarea deciziei de autorizare pe o perioadă de 30 de zile. În această perioadă, centrul de date nu poate primi spre stocare documente în formă electronică.
Dacă deficiențele survenite în funcționarea centrului de date nu sunt remediate în intervalul de timp prevăzut la alin. (1), ANC va retrage autorizarea, prin decizie a președintelui.
În cazul expirării duratei de valabilitate a deciziei de autorizare, precum și în cazul retragerii autorizării de către ANC în condițiile alin. (2), centrul de date nu mai poate furniza servicii legate de arhivarea electronică în sensul
În cazul intenției de încetare a activității centrului de date autorizat în condițiile prezentei decizii, ANC va fi informată, cu cel puțin 30 de zile în avans, despre această intenție și despre existența și natura împrejurării care justifică imposibilitatea de continuare a activității. ANC va retrage autorizarea la data încetării activității centrului de date.
Articolul 16
Pentru funcționarea corespunzătoare a centrelor de date se recomandă aplicarea și respectarea următoarelor standarde sau a unor standarde echivalente:
a) SR ISO/CEI 17799:2006 Tehnologia informației. Tehnici de securitate. Cod de bună practică pentru managementul securității informației;
b) SR ISO/IEC 27001:2006 Tehnologia informației. Tehnici de securitate. Sisteme de management al securității informației. Cerințe;
c) SR ISO/CEI 15408-1:2004 Tehnologia informației. Tehnici de securitate. Criterii de evaluare pentru securitatea tehnologiei informației. Partea 1: Introducere și model general;
d) ISO/IEC 20000-1:2005 Tehnologia informației - Managementul securității - Partea 1: Specificații;
e) ISO/IEC 20000-2:2005 Tehnologia informației - Managementul securității - Partea a 2-a: Cod de practică;
f) TIA/EIA 942 2005 Standard privind infrastructura de telecomunicații a Centrului de date;
g) SR EN 50173-5 2008 Tehnologia informației. Sisteme generice de cablare. Partea a 5-a: Centre de date;
h) SR EN 50173-1 2008 Tehnologia informației. Sisteme generice de cablare. Partea 1: Cerințe generale.
Articolul 17
Anexele nr. 1 și 2 fac parte integrantă din prezenta decizie.
Articolul 18
Prezenta decizie se publică în Monitorul Oficial al României, Partea I, și intră în vigoare la 3 zile de la data publicării.
Prezenta decizie a fost adoptată cu respectarea prevederilor
Hotărârii Guvernului nr. 1.016/2004
privind măsurile pentru organizarea și realizarea schimbului de informații în domeniul standardelor și reglementărilor tehnice, precum și al regulilor referitoare la serviciile societății informaționale între România și statele membre ale Uniunii Europene, precum și Comisia Europeană, cu modificările ulterioare.
Președintele Autorității Naționale pentru Comunicații, Dorin Liviu Nistoran București, 19 noiembrie 2008. Nr. 1.131.
Anexa 1 CERERE
pentru începerea procedurii de autorizare
Către: AUTORITATEA NAȚIONALĂ PENTRU COMUNICAȚII
Stimate Domnule Președinte,
Având în vedere prevederile
privind arhivarea documentelor în formă electronică, precum și ale Deciziei nr. 1131/2008 privind normele metodologice de autorizare a centrelor de date, vă solicităm să dispuneți începerea procedurii de autorizare a centrului de date aparținând ........./(numele și prenumele/denumirea solicitantului)/................. având domiciliul/sediul în ......./(adresa completă, inclusiv telefon și fax)/........... înregistrată în Registrul Comerțului al Municipiului..................................... cod numeric personal/cod unic de înregistrare/cod de identificare fiscală ............................................... reprezentată legal prin ............./(numele și prenumele)/............................ domiciliat (ă) în .............../(adresa completă, inclusiv telefon) ...................., identificat (ă) prin ................./(actul de identitate: seria, numărul, codul numeric personal)/ ........ .
Numele și prenumele/Denumirea solicitantului
............................................
Semnătura reprezentantului legal și ștampila solicitantului
...........................................................
Data
.......
Anexa 2 DECIZIE
de autorizare a centrului de date
În temeiul prevederilor
art. 8 alin. (1), (3) și (5) din Ordonanța de urgență a Guvernului nr. 106/2008
privind înființarea Autorității Naționale pentru Comunicații, precum și ale art. 17 alin. (2) și ale
art. 27 alin. (2) din Legea nr. 135/2007
privind arhivarea documentelor în formă electronică,
având în vedere dispozițiile Deciziei președintelui Autorității Naționale pentru Comunicații nr. 1131/2008 privind normele metodologice de autorizare a centrelor de date,
președintele Autorității Naționale pentru Comunicații emite prezenta decizie.
Art. 1. - Începând cu data comunicării prezentei decizii, centrul de date aparținând .........../(numele și prenumele/denumirea solicitantului autorizării)/......... este autorizat să desfășoare operațiuni de arhivare electronică în condițiile
privind arhivarea documentelor în formă electronică.
Art. 2. - Se certifică faptul că centrul de date îndeplinește condițiile stabilite de dispozițiile
art. 17 din Legea nr. 135/2007
și prevederile art. 8-12 din Decizia președintelui Autorității Naționale pentru Comunicații nr. 1131/2008 privind normele metodologice de autorizare a centrelor de date.
Art. 3. - Autorizarea se acordă pe o perioadă de 3 ani de la data comunicării prezentei decizii și poate fi reînnoită pe baza procedurii prevăzute în Decizia președintelui Autorității Naționale pentru Comunicații nr. 1131/2008.
Art. 4. - Prezenta decizie se comunică ................../(numele și prenumele/denumirea persoanei care operează centrul de date)/......... atât pe suport de hârtie, cât și în formă electronică, semnată electronic.
Președinte,
............
-------
Textul este prelucrat automat din sursa indicată; numerotarea și legăturile pot conține erori. Referințele subliniate duc la actele citate, așa cum au fost identificate de noi.