论数字保存系统认证*

臧国全,李 丹

（郑州大学信息管理系，河南 郑州 450001）

1 认证的意义

数字保存系统是系统运行机构向用户提供数字资源可信任存取服务的一类产品。从内容上讲，这类系统保存的要么是文献信息资源数字化的产品（如美国国会图书馆的American Memory），要么是原生型文献数字资源（如荷兰国家图书馆的e-Depot），要么是这两类的复合（如CNKI的中国期刊全文数据库）。从来源来讲，这类系统保存的数字资源要么是自产的，要么是来自于第三方的委托保存，但从目前实践来看，越来越多的数字保存系统属于后者。从服务对象来讲，这类系统的用户要么是团体用户（如国内很多图书馆以镜像方式购买CNKI数据库的使用权），要么是个人用户（如个人以注册方式购买CNKI数据库的使用权）。从运行机构来讲，这类系统的实施组织要么是商业性企业（如清华同方），要么是图书情报机构（如美国国会图书馆）。

认证是指由认证机构证明产品、服务、管理体系符合相关技术规范的强制性要求或者标准的合格评定活动。与其他产品相比，数字保存系统的显著特点在于其保存的数字资源的特殊性，即保存时间越长，其可用性、真实性、完整性和可靠性所面临的挑战越大。这类产品的根本价值在于其可信任性和存取数字资源的能力，确保数字资源的安全和真实，并方便数字资源的各种应用。实现该价值的最有效方法是根据《数字保存系统质量保证标准》[1]，按照一定程序由认证机构对其进行认证。因此，对数字保存系统实施认证的意义可概括为：

（1）从用户角度，有利于用户选择和使用数字保存系统。获得质量体系认证，不仅意味着认证机构的严格审核和定期监督，而且也使用户产生信任感。

（2）从数字资源的提供方角度，有利于数字产品生产者和提供者选择委托保存的系统。委托给专业数字保存系统进行长期保存并提供增值服务是未来数字保存的趋势，可信任性是选择委托数字保存系统的基础，获得认证是判断可信任性的一个重要参考。

（3）从数字保存系统角度，有利于该类系统的可持续发展。标准化质量体系使得数字产品的生产、加工、服务和管理全过程规范化和科学化，有利于提高数字保存系统的经济效益和社会效益。

（4）从信息资源数字化建设角度，有利于信息资源数字化建设。数字保存系统是信息资源数字化建设生命周期的最后一个阶段，也是面向最终用户提供服务的窗口，其质量将直接影响用户的选择与使用，进而影响整个数字化建设进程。

（5）从图书馆学和情报学的角度，有利于丰富数字环境下图书馆学和情报学的理论与实践。数字图书馆是数字环境下图书馆学和情报学理论研究与实践的热点，数字保存系统是数字图书馆建设的核心，其质量保障是数字图书馆质量的关键。

2 认证的原则

认证的总体目标是使获证组织的顾客相信获证组织的数字保存系统满足规定要求。认证的价值取决于认证机构通过公正、有能力的评定所建立的公信力的程度。借鉴ISO17021《管理体系认证机构要求》[2]，数字保存系统的认证原则应包括：公正性、能力、责任、公开性、保密性、对投诉的回应。

2.1 公正性原则

公正，并被认为公正，是认证机构提供可信任认证的必要条件。认证机构应对数字保存系统认证活动的公正性做出承诺，并应有可公开获取的声明，表明公正性在实施认证活动中的重要性，并对利益冲突进行管理，确保认证活动的客观性。

认证机构应识别和分析由认证活动引起的利益冲突，以及这些利益冲突对公正性构成的威胁，采取措施消除或最大限度减小威胁，并能予以证实。

在认证审核实践中，对公正性的威胁主要有：

●自身利益的威胁。此类威胁源于机构或个人依其自身利益行事。比如，客户组织支付的认证费用是对公正性的潜在威胁。

●自我评审的威胁。此类威胁源于机构或个人评审自己所做的工作。比如，认证机构对由其进行咨询的客户组织实施审核。

●熟识（或信任）的威胁。此类威胁源于机构或个人对另外一个机构或个人过于熟悉或信任。比如，审核员由于熟悉客户组织而不寻找审核证据。

●胁迫的威胁。此类威胁源于机构或个人察觉受到公然或暗示的强迫。比如，威胁审核员用他人取而代之。

2.2 能力原则

认证机构及其认证审核员的能力是提供可信任认证的必要条件。能力是经证实的应用知识和技能的本领。

认证机构应具备的基本能力有[3]：

●选择、提供和管理其技能和综合能力适合于数字保存系统审核活动的人员。

●具备数字保存有关的技术和法律知识。

●识别客户组织的活动领域及相关业务的风险，以及客户组织的数字资源面临的威胁和脆弱之处。

●具备授予、保持、撤销、暂停、扩大或缩小认证的决定能力。

认证审核员应具备的基本能力有：

●数字保存系统质量标准和相关规范性文件的知识。

●数字保存知识。

●ISO19011的审核原则。

●通过持续的专业培训与自学，保持数字保存和审核知识与技能的更新。

●合适的教育程度。借鉴ISO17021《管理体系认证机构要求》，认证审核员应该具有2年以上与数字保存有关的工作经历。

●行使审核职责之前，已获得评审数字保存系统整个过程的经验。借鉴ISO17021《管理体系认证机构要求》，这种经验应是最少4次参与、总共天数最少为20天认证审核活动，包括文件评审、实施评审和审核报告。

2.3 责任原则

认证机构有责任对足够的客观证据进行评价，并在此基础上做出认证决定。根据审核结论，如果符合性的证据充分，认证机构做出授予认证的决定；如果符合性的证据不充分，则不授予认证。但是，任何审核都是基于对数字保存系统的抽样，因此并不保证系统100%符合要求。

2.4 公开性原则

公开性是获得或公布适当信息的一项基本原则。为了获得对认证的信任，认证机构需要提供获取有关审核过程、认证过程和客户组织认证状态（包括认证的授予、保持、更新、扩大、缩小、暂停或撤销）信息的公开渠道，并且也应该向相关方提供获取特定审核（如为回应投诉而做的审核）结论的非保密信息。在特殊情况下，可以根据客户组织的请求（如出于安全原因），对某些信息的公开程度做适当限制。

2.5 保密性原则

为了享有获取充分评价数字保存系统符合性所需信息的特权，认证机构必需对客户组织的专有信息予以保密。

在认证审核前，认证机构应要求客户组织报告由于包含保密性或敏感性的信息而不能供审核组复核的数字保存系统的记录。认证机构应确保在缺少这些记录的情况下数字保存系统能够得到充分审核。否则，应告知客户组织认证审核不能进行，直至获得必需的记录证据。

2.6 对投诉的回应原则

投诉反应反映了可能存在认证的不符合情况。认证机构应要求获证客户一旦收到投诉，找出投诉原因，并做出报告，采取措施予以纠正。必要时，获证客户应能保证认证机构可以得到有关数字保存系统的所有投诉以及采取的纠正措施的记录。

数字保存系统的用户期望投诉得到调查，认证机构应当使这些用户相信在投诉经查明属实有效时，将对投诉进行相应处理。当投诉无效或不合理时，对投诉做出回应是保护认证机构及其客户组织的重要手段。

有时，对投诉的回应属于保密信息，在这种情况下，就要在公开性和保密性之间取得适当的平衡。

3 认证的实施

数字保存系统的认证周期一般包括内部审核、第一阶段审核、第二阶段审核、监督审核和再认证审核等阶段[5]。其中，第一阶段审核和第二阶段审核又称为初审。一般情况下，一个认证周期为3-4年，认证决定在第二阶段审核后进行，监督审核和再认证审核称为认证后审核。

3.1 预审核

预审核是一种非强制性要求的审核，是在正式审核（第一阶段审核）之前执行的非正式的综合审核。预审核应该由具有丰富经验的、能够识别数字保存系统的弱点和差距的内审员和（或）外审员执行。

预审核的目的是通过使用“差距分析”的方法，检查客户组织的数字保存系统与认证标准《数字保存系统质量保证标准》要求的差距。预审核内容包括：检查数字保存系统是否具备正式审核的基本条件，检查客户组织还有哪些未能按照标准要求进行运行的领域（比如，员工的数字保存安全意识等），分析客户组织的数字保存方针和数字保存系统的运行程序。

预审核可以促使客户组织在接受正式审核之前，对其数字保存系统进行必要的改进，做好正式审核的充分准备。同时，在预审核期间，客户组织的员工也可接受到如何进行自我审核方面的培训。

预审核阶段一般持续3-5天，依据数字保存系统的规模和复杂程度而定。

3.2 第一阶段审核

该阶段是正式审核的开始，主要目标是使审核员了解客户组织的数字保存系统的准备情况，并为第二阶段审核计划的制定提供依据和关注点。

该阶段的审核对象是文件，包括的活动有：获得数字保存系统文件、评审数字保存系统的文件和编写审核报告三个方面。

审核员应首先获得客户组织的数字保存系统文件。这类文件包括方针类文件（如，数字保存方针）、程序类文件（也称形成文件的程序）和有关记录（如，通常以表格形式的数字保存系统风险评估报告）。其中，有些是强制性文件（如，内部审核程序、文件控制程序），有些是可选文件。前者是必需评审的，后者可用作参考。

数字保存系统的文件评审一般是在客户组织的办公区域进行，并有客户组织熟悉这类文件的人员陪同参与，以便及时沟通。文件评审一般包括评估和检查客户组织的数字保存系统文件的适宜性 （文件是否适合使用）、充分性（文件是否足够使用）、有效性（文件投入使用后是否达到应有的实际效果）和一致性（不同文件之间是否存在有矛盾和不一致现象）等方面。

该阶段审核结果应形成书面审核报告。审核员在审核报告中应提出审核发现，并与客户组织的相关管理者进行沟通和讨论。审核组根据审核发现的严重程度，做出下一步审核工作是继续还是暂停的决定。

3.3 第二阶段审核

该阶段审核是一种现场取证活动，故也称为现场审核，主要包括四项重要工作：制定审核计划、实施现场审核、报告审核结果和做出认证决定。

审核计划主要包括：确定重点的审核领域、选择具有特殊问题处理能力的审核组成员、确定需要的审核时间长度和其他细节问题。审核计划的内容与客户组织及其数字保存系统的规模、性质和复杂程度等因素有关。

审核方法主要有：采访有关人员，观察相关场地，从而搜集信息和证据；设计测试数据，对数字保存系统有关性能指标进行测试。将上述审核活动产生的结果与审核标准进行对比，确定客户组织数字保存系统的实际情况与审核标准之间的差别。审核标准《数字保存系统质量保证标准》是审核人员测量客户组织数字保存系统运行情况符合性的依据。

审核的主要内容有：验证第一阶段的审核发现是否获得纠正，证实客户组织的数字保存方针的执行情况，证实《数字保存系统质量保证标准》所有要求的符合情况。

根据上述审核，得出初步审核发现。审核发现的重要内容是客户组织的数字保存系统对审核标准的“符合”（或满足）、“不符合”（或不满足）和“部分符合”（或部分满足）的情况。“不符合”和“部分符合”的审核发现都属于不符合项。在审核报告中，对于不符合项的分析应包括5个属性：标准款项、情况、原因、严重程度和措施。这里的“标准款项”是指不符合项与哪个标准款项不符合。“情况”是指根据审核员在检查过程中发现的事实证据对不符合项的实际情况的客观描述。“原因”是指不符合项产生的原因，有的不符合项的原因可能有多个。“严重程度”是指不符合项造成影响的程度，目前还没有出现明确的定量测算方法，一般采用定性划分，依据影响程度将不符合项分为3类：重大不符合项、一般不符合项、观察项。“措施”是指审核员为客户组织的数字保存系统的不符合项（包括重大不符合项和一般不符合项两类）推荐的纠正措施。

初步审核报告需要与客户组织适当层次的管理人员和相关人员一起正式或非正式地讨论、修改和完善，从而形成最终的审核报告。

3.4 监督审核

监督审核是认证机构在颁发证书后，为了维护认证，确保客户组织的数字保存系统持续符合要求，对其进行的定期监督访问。监督审核主要是对数字保存系统的一些指标进行抽样审核。

监督审核的重点应包括：对上次审核中确定的不符合项采取的措施与执行情况；内部审核和管理评审的实施情况；客户组织管理体系的变更；申诉和投诉的处理记录；在实现客户组织数字保存方针目标方面，其运行的数字保存系统的有效性；认证标志的合理使用和任何其他对认证资格的合理引用。

监督审核可采取的方式有：就认证的有关方面向客户组织询问、审查客户组织运作说明（如宣传材料、网页）、要求客户组织提供文件和记录（纸质或电子介质）以及其他监视客户组织数字保存系统绩效的方法。

监督方案由认证机构来决定。实地监督的具体时间要与获证客户达成一致意见。监督审核应至少每年一次。初次认证后的第一次监督审核应在第二阶段审核后12个月内进行。

3.5 再认证审核

再认证审核是在认证周期即将结束时，认证机构对已获证组织的数字保存系统所进行的一个重新评估活动。重新评估的目的是确保客户组织的数字保存系统按照原来认证过程所确认的那样有效地运行。

再认证审核为现场审核，至少包括下述领域：（1）检验客户组织的数字保存系统作为一个整体的持续符合性与有效性，以及与认证范围的持续相关性和适宜性。（2）检验客户组织的数字保存系统是否持续、全面地符合《数字保存系统质量保证标准》的要求。（3）评审客户组织的数字保存系统的文件和定期审核（包括内部审核和监督审核）的结果。（4）检查客户组织的数字保存系统如何应对组织的业务和运行的变化，当客户组织的数字保存系统或其运作环境（如法律的变更）有重大变更时，再认证审核活动可能需要有第一阶段审核。（5）检验管理者对维护数字保存系统有效性的承诺情况。

再认证审核中发现不符合或缺少符合性的证据时，认证机构应规定在认证审核终止前实施纠正的时限。认证机构应根据再认证审核的结果，以及认证周期内的数字保存系统评价结果和认证使用方的投诉，做出再认证审核是否通过的决定。如果再认证审核获得通过，认证机构应为客户组织的数字保存系统颁发（或更换）新的认证证书。

3.6 暂停、撤销或缩小认证范围

在监督审核和再认证审核过程中，如果发生以下情况，认证机构应暂停客户组织数字保存系统的已获得的认证资格：客户组织数字保存系统持续地或严重地不满足认证要求；客户组织不允许按要求的频次实施监督或再认证审核；客户组织主动请求暂停。

暂停期间，客户组织的数字保存系统认证暂时无效。认证机构应做出具有强制实施力的安排，以确保暂停期间避免客户组织继续宣传使用认证资格。认证机构应使客户组织数字保存系统的认证资格的暂停信息可公开获取。

如果客户组织未能在认证机构规定的时限内（一般情况下，暂停期限不超过6个月）解决造成暂停的问题，认证机构应撤销或缩小其认证范围。

如果客户组织的数字保存系统在认证范围的某些部分持续地或严重地不满足认证要求，认证机构应缩小其认证范围，以排除不满足要求的部分。

认证机构应对撤销认证做出强制实施的安排，以确保获证客户接到撤销认证通知时，立即停止使用任何引用认证资格的广告材料。

［1］ ISO.管理体系认证机构要求.［EB/OL］.［2009-01-10］.http://www.51made.com/dowfile_show.

［2］［3］［4］CCSDS.Requirements for bodies providing audit and certification of trusted digital repositories.［2009-02-10］.http://wiki.digitalrepositoryauditandcertification.org/bin/view/Main/ReqtsFor-Auditors.