Hovedpunkter i Noark 5

1. Hovedpunkter i Noark 5 Oslo kommune, arkivforum for bydelene 08.11.2007 Synnøve Hellevik, Riksarkivet

2. Lover og forskrifter • Lov om arkiv av 4. des. 1992 nr. 126 • Forskrift om offentlege arkiv av 11. des. 1998 nr. 1193 (arkivforskriften) • Begge trådte i kraft 01.01.99 • Forskrift om utfyllende tekniske og arkivfaglige bestemmelser om behandling av offentlige arkiver av 1. des,. 1999 nr. 1566 (Riksarkivarens forskrift) • Kapittel VIII: Bestemmelser om elektronisk arkivmateriale som avlevers eller overføres som depositum til Arkivverket • Kapittel IX: Elektronisk arkivering av saksdokumenter • Ikrafttredelse 01.01.00

3. Elektronisk journalføring og arkivering i Noark • Arkivforskriften pålegger journalføring av inngående og utgående saksdokument etter offentlighetslovens § 3 (§2-6), i Noark-system hvis elektronisk journalføring (§2-9) • Riksarkivarens forskrift kapittel IX pålegger bruk av Noark ved elektronisk journalføring og arkivering av saksdokumenter (§ 2-1) • § 2-2 åpner for at det kan gjøres unntak for spesialiserte fagsystemer med journalfunksjoner • For dokumenter som ikke kommer inn under bestemmelsene om journalføring kan man benytte systemer som ikke følger Noark (§ 2-3)

4. Situasjonen i dag • Noark 4 og SGK integrert i ett system (fra 2000) • ”Alle” leverer integrerte funksjoner for journal, arkiv og generell saksbehandling • Greit nok for tradisjonelt korrespondansearkiv for enkeltsaksbehandling • Fagsystem (spesialisert saksbehandling) og virtualiserte løsninger • Integrasjon med Noark-system begynner å bli fokusert • Dette er relativt komplisert med Noark 4 • NOARK 4 WebServices (fra 2006) • er lite brukt • stort sett én-til-én integrasjoner • svært leverandøravhengig • kostbar utvikling – lite gjenbruk

5. Hvorfor ny versjon av Noark? • Noark 4 er en suksess! MEN dekker ikke dagens utfordringer • Standarden er • Tolket ”feil” • Rettet inn mot ”departementale enkeltsaker” • For rigid i forhold til nye arbeidsformer • Basert på noen premisser som ikke lot seg innfri • System basert på Noark 4 • Er vanskelig å integrere med fagsystem • Ikke særlig egnet for nye arbeids- og organisasjonsformer • Leverer svært kompliserte avleveringsuttrekk • Løsningene inngir en følelse av ”falsk sikkerhet”

6. Internasjonale standarder • ISO 15489-1 og 2: 2001 Information and documentation - Records management(Part 1: General, Part 2: Guidelines) • Internasjonal standard for Records Management (RM) • MoReq - Model Requirements for the management of electronic records(EU-kommisjonen 2002) • EU-standard for RM basert på ISO 15489. Revideres i 2007. • ISO 23081-1: 2004 Information and documentation - Records management processes - Metadata for Records • Internasjonal standard for RM Metadata • ISO 14721: 2002 Reference Model for an Open Archival Information System (OAIS) • ISO-standard for bevaring av arkiv

7. Utfordringer i forvaltningen • Sterkt politisk press for digitalisering • Organisasjonsstrukturen og organisering av arkivdanningen tar nye veier • Elektronisk kommunikasjon erstatter brevpost • Selvbetjeningsløsninger erstatter vanlig saksbehandling • Sikkerhetsløsninger vil kunne tillate elektronisk forsendelse av taushetsbelagte opplysninger Arkivfaglige krav og premisser må inn når system, prosesser og rutiner planlegges og spesifiseres

8. Noark 5 • Del 1 Premisser og rammebetingelser • Del 2 Noark 5-kjerne • Del 3 Komplett Noark 5

9. Fokus i Noark 5: ”Legomotor”

10. Noark 5 angir stort sett HVA, ikke HVORDAN • Noark 5 definerer ikke et system, men et kravsett som vil legge til rette for ulike løsninger • Noark 5 definerer ikke tabeller eller attributter, men • Arkivstruktur • Metadata • Funksjonalitet • Utvekslingsregler • For deponering, avlevering og migrering er kravene sterke • Obligatoriske metadata skal inngå i uttrekket, enten de ligger innenfor eller utenfor Noark 5-kjernen • Godkjenning vil være basert på testing av uttrekketom strukturen er riktig, om obligatoriske metadata er med og grad av sikkerhet mht dokumentets autentisitet og integritet over tid.

11. Alt som blir til som ledd i en virksomhet Noark 5 Noark 5 kjerne • Selve arkivdanningskomponenten • Inneholder minimumssett av • Metadata • Struktur • Funksjonalitet • Definerer det som er nødvendig for å kunne • ha en systematisk og kontrollert arkivdanning • produsere riktige uttrekk for avlevering til depot • eksportere til eller importere fra andre Noark 5 løsninger

12. Arkivstrukturen er løftet fram • Arkivstruktur er: • Arkivets indre ordning • Gruppering av dokumenter som hører sammen av forskjellige grunner • Dokumenterer en enkelt handling • Utgjør et saksforløp • Gjelder en bestemt person • Omhandler et bestemt emne • Er produsert i løpet av et avgrenset tidsrom • Arkivstrukturen er en konseptuell struktur, ikke teknisk

13. Noark 4 Noark 5

14. Nytt for Arkiv og Arkivdel • Det skal være mulig å opprette mer enn ett arkiv, for eksempel hvis flere arkivskapere går sammen om å bruke felles løsning • Det skal være mulig å angi at flere arkivskapere til sammen bruker ett arkiv • Det skal være mulig å dele en arkivdel opp i undernivåer

15. Nytt for klassifikasjon • Noark 4: ordningsprinsipp -> Noark 5: klassifikasjonssystem • Fortsatt obligatorisk for sakarkiv, men ikke for alle typer arkiv • Noark 4: ordningsverdi -> Noark 5: klassifikasjonsverdi • Er nå del av arkivstrukturen • Fremstod i Noark 4 som metadata på saksnivå • Skal være tillatt å blande emnekoder og objektkoder i samme klassifikasjonssystem • Krav om at bk-bestemmelser skal kunne arves til saksmapper som er knyttet til klassifikasjonsverdi • Skal være mulig å registrere skjerming på klassifikasjonsverdi, som arves nedover i strukturen

16. Nytt for saksnivået ->mappe • Mappe erstatter Sak • Samler arkivdokumenter som hører sammen • Skal være mulig å definere mappetyper • Basismappe er obligatorisk i alle arkiv • Minimum av metadata • Saksmappe er obligatorisk for sakarkiv • Dvs som inneholder korrespondanse • Brukere og leverandører kan opprette egne mappetyper • Byggesaksmappe, ansettelsessaksmappe, osv • Kan være aktuelt å avlevere metadata som kommer i tillegg til de obligatoriske på disse • Det skal være mulig å samle mapper i mapper, ubegrenset antall nivå

17. Nytt for journalpost -> registrering • Registrering erstatter journalpost • Det skal være mulig å definere forskjellig typer registreringer • ”Forenklet registrering” obligatorisk • Minimum av metadata nødvendig i ethvert arkiv • Skal ivareta arkiveringsplikten • Journalpost obligatorisk for sakarkiv • Korrespondanse, representerer innføring i journalen • Skal ivareta journalføringsplikten • Det skal være mulig å føye til ekstra metadata i tillegg til de obligatoriske • En skal i tillegg kunne definere egne typer

18. Nytt for registrering forts. • Obligatoriske dokumenttyper journalpost: inngående og utgående • Arkivforskriften § 2-6 pålegger ikke journalføring av organinterne dokumenter, de journalføres ”så langt organet finn det tenleg” • Skal kunne opprette egne dokumenttyper i tillegg til obligatoriske • Alle registreringer må knyttes til en mappe, men ikke nødvendigvis før det skal arkiveres i sin endelige, ferdigstilte versjon • Ett arkivdokument skal kunne knyttes til flere mapper • Et dokument kan være tilknyttet flere saker og være hoveddokument i flere journalposter • Må fortsatt opprette egen registrering/jp per tilknytning til sak, men det bør kunne skje mest mulig automatisk

19. Nytt for dokument • Dokumentbeskrivelse er metadata knyttet til enkeltdokument • Ett dokument kan være hoveddokument i flere journalposter • Kan tilhøre forskjellige arkiver • Dokumentobjekt er fellesbetegnelsen på versjon, variant og format, knyttet til den enkelte datafila • Dokumenter kan arkiveres (og avleveres) i flere versjoner • Dokumenter unntatt offentlighet kan produseres i en offentlig variant (part eller publikum) • Dersom flere versjoner av samme dokument skal avleveres, må alle versjoner konverteres til godkjent arkivformat

21. Eksportformat • Data i systemet skal kunne eksporteres til et definert format for • Avlevering til depot • Migrering • Avleveringsformatet i Noark 4 svært krevende • Strukturerte data avleveres som tabelluttrekk i XML-format, dvs. at hver tabell i databasen skulle eksporteres til hver sin fil. • Avlevering skulle også omfatte to rapportuttrekk: Journal og Sak- og dokumentoversikt, med den samme informasjonen • Videreføres ikke i Noark 5 • Arkivskaper skal kunne produsere Noark 5-uttrekk uten bruk av eksterne konsulenter • En avlevering fra et system basert på Noark 5 vil bestå av en informasjonspakke som inneholder et stort antall filer

22. Dok Metadata for sak Dok Hierarkisk XML-fil For hele uttrekket Metadata for sak Dok Dok Dok Metadata for sak Dok Overføring til arkivdepot 1 n

23. Metadata med kontekstinformasjon All metadata-informasjon om den enkelte sak er knyttet sammen i én fil (dvs. robust)

24. Sikkerhetsområdet er svært endret • Sikkerhetskravene i Noark-5 skal være fleksible nok til ikke å kollidere med andre regelverk • Noark-5 skal ha (flere ulike) fleksible sikkerhetsmekanismer, slik at hvert organ kan bruke Noark-standarden på en måte som er i tråd med egne besluttede sikkerhetstiltak • Standard skjermingskoder er fjernet og skjerming er løsrevet fra brukers autorisasjon (roller og rettigheter) • Krav til logging blir mer omfattende og mer i tråd med MoReq2 Målet er å unngå ”falsk sikkerhet”!

25. Falsk sikkerhet Publiserer Riks-arkivaren Men hva er godkjent? Tilsyn Oppslag Spesifiserer Forvaltnings-organet Noark Pålagt å bruke Noe ”arkivgreier” for arkivtjenesten Utvikle system Leverandør-kunde Men hva er levert? Leverandøren Men hva med ledelsen og IKT-enheten? Har ”godkjent system” Ledelsens styringsrett De andre ”solene” DT, NSM, KT ”Teknisk” vs ”kvalitet”

26. Hovedperspektiver i sikkerhetskapitlet • Informasjonssikkerhet er et stort område • De tekniske sikkerhetsfunksjonene utgjør bare en avgrenset del av informasjonssikkerheten • Forvaltningsorganet er selv ansvarlig:Leverandøren av et Noark-system verken kan eller bør prøve å ta et ansvar for helheten i kundens informasjonssikkerhet • Informasjonssikkerhet er rettslig regulert • I beskjeden grad gjennom direkte regulering (spesifikke krav til informasjonssikkerheten) • I større grad indirekte regulert, gjennom parters og registrerte personers og allmennhetens rettigheter

27. Redusert omfang av obligatoriske krav • Det må være mulig å plassere sikkerhetsfunksjoner utenfor Noark-systemet • enten i fagsystem • eller i eksterne, dedikerte sikkerhetsmoduler (som anbefalt/predikert i MoReq1) • også behov for samvirke med sikkerhetsløsninger helt utenfor den enkelte etat (Altinn, sikkerhetsportal, “meldingsmeglere”...) • “Redusert omfang” ligger altså først og fremst i at sikkerhetsfunksjoner kan legges utenfor Noark-systemet • og innebærer ikke at sikkerhet skal ses som “mindre viktig” • Antallet anbefalinger er likevel ganske høyt, fordi det bør åpnes for mange måter å autorisere tilgang på

28. Prinsipielle forskjeller fra Noark 4 • De viktigste og mest grunnleggende forskjellene fra Noark 4 ligger i kravene til autorisasjon • Lesetilganger i Noark 4 er grunnleggende “need-to-protect”-orientert (prinsipielt åpent, eksplisitte skjerminger) • Skrivetilganger i Noark 4 er grunnleggende “need-to-know”-orientert (prinsipielt stengt, eksplisitte tilganger) • I Noark 5: • Ikke nødvendigvis forskjellige mekanismer for lese- og skrivetilganger • En etat skal kunne gjennomføre både “need-to-know”-orientert og “need-to-protect”-orientert autorisering • Skjermingskoder ikke lenger knyttet til lesetilganger for “klarerte brukere”

29. Forskjeller fra Noark 4 • Kravet om en egen modul som skal ”styre og overvåke all bruk av systemet” er fjernet • Obligatoriske sikkerhetskrav i Noark 5 er begrunnet i konfidensialitet, integritet og tilgjengelighet for arkiver, metadata og dokumenter – det som har med arkiv å gjøre • Krav som inngir falsk sikkerhet er fjernet • Kapittelet med prosessrelaterte rettigheter, er tatt helt ut – erstattet av et generelt rammeverk

30. Integrasjon i Noark 5 • Hva skal integreres? • Fagsystem • Andre Noark-system • E-post • Tekstbehandler • Samhandlingsrom • … • Hvordan? • Definerer funksjonskrav i form av et grensesnitt som spesifiserer konsistenskontroller og regler for hva som skal utføres • Definerer utvekslingsformat som brukes til automatisk journalføring av e-poster og saksdokument

31. Alt som blir til som ledd i en virksomhet Noark 5 Integrasjon • NOARK 5-systemer kan knyttes til det enkelte fagsystem • Mulig med integrasjon for mange-til-mange systemer med utvekslingsformatet

32. Noark 5 Kjerne vs. Komplett Noark 5 • Noark 5 Kjerne er spesielt tenkt for fagsystem • Noark 5 Kjerne kan også brukes når flere organ ”deler” en database og journal- og arkivstrukturen, der brukergrensesnitt, brukerregister, adresseregister, sikkerhetsregime, brukerprofiler mv. kan være plassert et annet sted enn i selve Noark 5 • Forvaltningsorganet må selv bestemme om det er tilstrekkelig å tilfredsstille bare kravene i Noark 5 Kjerne, eller om også (deler av) Komplett Noark 5 skal oppfylles • når det er bevaringsverdige dokumenter gjelder kapitlene om bevaring, kassasjon og avlevering • når det er krav om å produsere offentlig journal gjelder kravene om offentlig journal • osv.

33. Utfordringer til arkivskaperne • Stille de relevante kravene, ikke ”alle krav i Noark 5” • Vite at det faktisk er krav om at også fagsystem skal tilfredsstille Noark-standarden • Venne seg av med en del rigide krav i Noark 4 • Tenke effektive løsninger - Noark er ingen tvangstrøye

34. Utfordringer til leverandørene • Se på Noark 5 som Norges svar på ERMS-standarder • Være villig til å bygge inn Noark 5-kjernen på en god måte • Dette gjelder også (og kanskje særlig) fagsystemleverandørene • Legg til rette for gode løsninger – Noark er ingen unnskyldning for dårlige løsninger