NORMA TÉCNICA COLOMBIANA 6231

Transcripción

1 NORMA TÉCNICA NTC COLOMBIANA VALOR PROBATORIO Y ADMISIBILIDAD DE LA INFORMACIÓN ELECTRÓNICA. ESPECIFICACIONES E: EVIDENTIAL WEIGHT AND LEGAL ADMISSIBILITY OF ELECTRONIC INFORMATION. SPECIFICATION CORRESPONDENCIA: esta norma es una adopción idéntica (IDT), respecto al documento de referencia, la norma BS 10008:2014. DESCRIPTORES: información y documentación; valor probatorio; información electrónica; admisibilidad. I.C.S.: Editada por el Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC) Apartado Bogotá, D.C. - Tel. (571) Fax (571) Prohibida su reproducción Editada

2 PRÓLOGO El Instituto Colombiano de Normas Técnicas y Certificación, ICONTEC, es el organismo nacional de normalización, según el Decreto 1595 de ICONTEC es una entidad de carácter privado, sin ánimo de lucro, cuya Misión es fundamental para brindar soporte y desarrollo al productor y protección al consumidor. Colabora con el sector gubernamental y apoya al sector privado del país, para lograr ventajas competitivas en los mercados interno y externo. La representación de todos los sectores involucrados en el proceso de Normalización Técnica está garantizada por los Comités Técnicos y el período de Consulta Pública, este último caracterizado por la participación del público en general. La NTC 6231 fue ratificada por el Consejo Directivo de Esta norma está sujeta a ser actualizada permanentemente con el objeto de que responda en todo momento a las necesidades y exigencias actuales. A continuación se relacionan las empresas que colaboraron en el estudio de esta norma a través de su participación en el Comité Técnico 189 Archivo. Gestión de Documentos de la STN del Archivo General de la Nación. ARCHIVO GENERAL DE LA NACIÓN BANCO DE LA REPÚBLICA BIBLIOTECA NACIONAL DE COLOMBIA ESTRATEGIAS DOCUMENTALES FUNDACIÓN UNIVERSITARIA UNINPAHU INSTITUTO GEOGRÁFICO AGUSTÍN CODAZZI MINISTERIO DE HACIENDA Y CRÉDITO PÚBLICO MINISTERIO DE TECNOLOGÍAS DE LA INFORMACIÓN Y LAS COMUNICACIONES P & Z SERVICIOS LTDA. SECRETARIA DISTRITAL DE PLANEACIÓN SERVICIO NACIONAL DE APRENDIZAJE TECNODOCUMENTAL SAS UNIVERSIDAD DE LA SALLE UNIVERSIDAD DE LOS ANDES Además de las anteriores, en Consulta Pública el Proyecto se puso a consideración de las siguientes empresas: BPDOCUMENT SAS CERTICÁMARA S.A. DEPARTAMENTO DE LA PROSPERIDAD FINDETER INVERSIONES AJOVECO SECRETARÍA DE EDUCACIÓN DISTRITAL SECRETARIA GENERAL ALCALDÍA MAYOR DE BOGOTÁ UNIVERSIDAD COOPERATIVA DE COLOMBIA UNIVERSIDAD NACIONAL DE COLOMBIA ICONTEC cuenta con un Centro de Información que pone a disposición de los interesados normas internacionales, regionales y nacionales y otros documentos relacionados. DIRECCIÓN DE NORMALIZACIÓN

3 CONTENIDO Página INTRODUCCIÓN... i 1. OBJETO Y CAMPO DE APLICACIÓN REFERENCIAS NORMATIVAS TÉRMINOS Y DEFINICIONES CONTEXTO DE LA ORGANIZACIÓN GENERALIDADES CUESTIONES REQUISITOS LÍMITES Y APLICABILIDAD LIDERAZGO LIDERAZGO Y COMPROMISO DECLARACIONES DE LA POLÍTICA ROLES Y RESPONSABILIDADES DE LOS TRABAJADORES ENTORNO LEGAL Y REGLAMENTARIO PLANIFICACIÓN ACCIONES PARA ABORDAR RIESGOS Y OPORTUNIDADES OBJETIVOS Y LOGROS SOPORTE... 12

4 Página 7.1 RECURSOS COMPETENCIA CONCIENTIZACIÓN INFORMAR Y COMUNICAR INFORMACIÓN DOCUMENTADA OPERACIÓN CAPTURA DE LA INFORMACIÓN AUTOMODIFICACIÓN DE ARCHIVOS DOCUMENTOS COMPUESTOS INFORMACIÓN EN BASES DE DATOS ESTRUCTURADAS CONTROL DE VERSIÓN SISTEMAS DE ALMACENAMIENTO TRANSFERENCIA DE INFORMACIÓN INDEXACIÓN Y OTROS METADATOS PROCEDIMIENTOS DE SALIDA AUTENTICADOS IDENTIDAD RETENCIÓN Y DISPOSICIÓN DE INFORMACIÓN PROCEDIMIENTOS DE SEGURIDAD DE LA INFORMACIÓN MANTENIMIENTO DEL SISTEMA PRESTACIÓN DE SERVICIOS EXTERNOS PRUEBA DE LA GESTIÓN DE LA INFORMACIÓN EVALUACIÓN DEL DESEMPEÑO... 27

5 Página 9.1 SEGUIMIENTO, MEDICIÓN, ANÁLISIS Y EVALUACIÓN AUDITORÍA INTERNA REVISIÓN POR LA DIRECCIÓN MEJORA NO CONFORMIDADES Y ACCIONES CORRECTIVAS MEJORA CONTINUA BIBLIOGRAFÍA DOCUMENTO DE REFERENCIA... 34

6 INTRODUCCIÓN La información es un activo organizacional que necesita gestionarse durante todo su ciclo de vida; su uso se requiere con frecuencia dentro y fuera de la organización para demostrar cumplimiento y/o resolución de conflictos. Si no es posible confiar en la autenticidad o integridad de la información, se pueden poner en duda las conclusiones basadas en ella. La presente norma aborda la manera en que la información necesita ser gestionada por una organización mediante un sistema de gestión de la información, para posibilitar que tenga un valor probatorio fuerte y que su autenticidad e integridad sean confiables y que esto se pueda demostrar siempre que sea necesario durante su ciclo de vida, ya sea para propósitos de negocios, de cumplimiento, legales u otros para la resolución de conflictos. El BSI ha publicado el documento Code of Practice for Evidential Weight and Legal Admissibility, BIP 0008 [2], [3], [4] (anteriormente PD 0008) desde Este código de práctica ha sido adoptado ampliamente y, por ejemplo, el Lord Chancellor s Code of Practice on the Management of Records, publicado bajo la sección 46 the Freedeom of information, 2000 [5]. En Escocia éste es el Code of Practice on Records Management publicado bajo la sección 61 de la Ley de Libertad de Información (Escocia), 2002[6]. El documento BIP 0008 actualmente consta de tres partes, que se han actualizado para proporcionar información y orientación para la implementación de diferentes secciones de la presente norma: - BIP , Evidential Weight and Legal Admissibility of Information Stored Electronically. Code of Practice for the Implementation of BS BIP , Evidential Weight and Legal Admissibility of Information Transferred Electronically. Code of Practice for the Implementation of BS BIP , Evidential Weight and Legal Admissibility of Linking Electronic Identity to Documents. Code of Practice for the Implementation of BS Esta norma incluye el alcance de todas las tres partes de BIP Esta publicación refleja las solicitudes de aquellos que han adoptado BIP 0008 para una norma de cumplimiento formal. La guía detallada suministrada en la edición más reciente de BIP 0008 facilitará la implementación exitosa de esta norma. El libro de trabajo sobre cumplimiento, BIP 0009 [7], proporciona una herramienta que posibilita la demostración de cumplimiento con la presente norma junto con las partes apropiadas de BIP Si el sistema de gestión de la información electrónica de una organización cumple con esta norma, se anticipa que el valor probatorio de la información electrónica gestionada por la organización se maximizará, asegurando así su confiabilidad y verosimilitud. También se anticipa que la conformidad con esta norma minimizará los riesgos implicados en el almacenamiento a largo plazo de la información en forma electrónica. i

7 Esta norma ha sido estructurada según los lineamientos de la estructura de las normas de sistemas de gestión de ISO, como se definen en las Directivas ISO/IEC, Parte 1, Anexo SL [1] de manera que su implementación se pueda alinear y sincronizar con otras normas de sistemas de gestión tales como las siguientes: NTC-ISO 9001, Sistemas de Gestión de la Calidad. Requisitos. NTC-ISO 14001, Sistema de gestión ambiental. Requisitos con orientación para su uso. NTC-ISO/IEC 27001, Tecnología de la información. Técnicas de seguridad. Sistemas de gestión de la seguridad de la información. Requisitos. ii

8 VALOR PROBATORIO Y ADMISIBILIDAD DE LA INFORMACIÓN ELECTRÓNICA. ESPECIFICACIONES 1. OBJETO Y CAMPO DE APLICACIÓN Esta norma especifica los requisitos para la implementación y la operación de sistemas de gestión de la información electrónica, incluidos el almacenamiento y la transferencia de información, con el objetivo de posibilitar que el usuario asegure que se mantiene la autenticidad e integridad de ésta, de manera que sea confiable y sea aceptada sin objeciones, o que responda adecuadamente a los desafíos cuando se ponga a prueba. Estas cuestiones son importantes cuando la información pueda ser utilizada como evidencia, ya sea para propósitos del negocio, de cumplimiento, legales u otros para la resolución de conflictos. Esta norma incluye: - La gestión de la disponibilidad de la información electrónica con el paso del tiempo; - la transferencia electrónica o la comunicación de información electrónica; - El vínculo de la identidad electrónica con información electrónica particular; incluido el uso de firmas electrónicas y sistemas electrónicos de derecho de autor, así como la verificación de la identidad electrónica. La presente norma también incluye requisitos para la administración y rendición de cuentas con respecto a la gestión de la información a lo largo de su ciclo de vida. Los requisitos especificados en esta norma son genéricos y están previstos para ser aplicables a todas las organizaciones (o partes de ellas), independientemente del tipo, el tamaño y la naturaleza del negocio. El alcance de la aplicación de estos requisitos depende del ambiente operativo y de la complejidad de la organización. Esta norma se aplica a información electrónica en cualquier forma, incluidos documentos de oficina en general, imágenes electrónicas e información contenida en bases de datos y otros sistemas electrónicos. La información puede ser alfanumérica, basada en imágenes y/o registros de audio/vídeo. La presente norma no trata sobre los procesos usados para evaluar la autenticidad de la información antes de ser capturada o creada en el sistema. 1 de 34

9 2. REFERENCIAS NORMATIVAS Los siguientes documentos, en su totalidad o en parte, se referencian normativamente en este documento y son indispensables para la aplicación de esta norma. Para las referencias con fecha se aplica únicamente la edición citada. Para referencias sin fecha se aplica la edición más reciente del documento citado (incluidas todas sus enmiendas). BS ISO 12651, Electronic Imaging. Vocabulary. 3. TÉRMINOS Y DEFINICIONES Para los propósitos de esta norma se aplican los términos y las definiciones indicados en el documento BS ISO 12651, además de los siguientes: 3.1 Datos masivos (Big Data). Datos que no se pueden procesar usando herramientas convencionales para gestión de bases de datos o aplicaciones para procesamiento de datos, debido a su tamaño. NOTA En la actualidad no hay una definición estándar reconocida internacionalmente para el término Big Data. BIBLIOGRAFÍA PUBLICACIONES Y NORMAS Para las referencias con fecha, sólo se aplica la edición citada. Para referencias no fechadas, la última edición del documento de referencia (incluyendo cualquier modificación). NTC 5722, Continuidad del negocio. Sistemas de gestión de continuidad de negocio. Requisitos. NTC-ISO 9000, Sistemas de gestión de la calidad. Fundamentos y Vocabulario. NTC-ISO 9001, Sistemas de gestión de la calidad. Requisitos. NTC-ISO 14001, Sistemas de gestión ambiental. Requisitos con orientación para su uso. NTC-ISO/IEC , Tecnología de la Información. Gestión del servicio. Parte 1: Requisitos del sistema de gestión del servicio. NTC-ISO , Información y documentación. Procesos para la gestión de registros. Metadatos para los registros. Parte 1: Principios. NTC-ISO , Información y documentación. Procesos para la gestión de registros. Metadatos para los registros. Parte 2: Aspectos conceptuales y de implementación. NTC-ISO/IEC 27000, Tecnología de la información. Técnicas de la seguridad de la información (SGSI). Visión general y vocabulario. NTC-ISO/IEC 27001, Tecnología de la información. Técnicas de la seguridad. Sistemas de gestión de la seguridad de la información. Requisitos. 2

10 NTC-ISO/IEC 27005, Tecnología de la información. Técnicas de la seguridad. Gestión del riesgo en la seguridad de la información. NTC-ISO 30300, Información y documentación. Sistemas de gestión para registros. Fundamentos y vocabulario. NTC-ISO 31000, Gestión del riesgo. Principios y Directrices. BS ISO , Electronic Imaging. Test Target for the Black-and-White Scanning of Office Documents. Part 1: Characteristics. BS ISO , Electronic Imaging. Test Target for the Black-and-White Scanning of Office Documents. Part 2: Method of Use. BS ISO , Space Systems. Safety Requirements. Part 2: Launch Site Operations. BS ISO 18913, Imaging Materials. Permanence. Vocabulary. BS ISO , Document Management. Electronic Document file Format for Long-Term Preservation. Use of PDF 1.4 (PDF/A-1). BS ISO 20121, Event Sustainability Management Systems. Requirements with Guidance for Use. PD 0018, Information Management Systems. Building Systems Fit for Audit. OTRAS PUBLICACIONES [1] ISO/IEC Directives, Part 1, Consolidated ISO Supplement, 2013, Annex SL (Last Accessed on 01 December 2014) [2] BRITISH STANDARDS INSTITUTION. BIP , Evidential weight and legal Admissibility of Information Stored Electronically. Code of Practice for the Implementation of BS [3] BRITISH STANDARDS INSTITUTION. BIP , Evidential weight and legal Admissibility of Information Transferred Electronically. Code of Practice for the Implementation of BS [4] BRITISH STANDARDS INSTITUTION. BIP , Evidential Weight and legal Admissibility of Linking Electronic Identity to Documents. Code of Practice for the Implementation of BS [5] GREAT BRITAIN. Lord Chancellor s Code of Practice on the Management of Records. Section 46 Freedom of Information Act London: HMSO. [6] GREAT BRITAIN. Code of Practice on Records Management. Section 61 Freedom of Information (Scotland) Act London: HMSO. [7] BRITISH STANDARDS INSTITUTION. BIP 0009, Evidential Weight and Legal Admissibility of Electronic Information. Compliance Workbook for use With BS

11 [8] NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. The NIST Definition of Cloud Computing, NIST Special Publication U.S. Department of Commerce, [9] BRITISH STANDARDS INSTITUTION. BIP 0117:2010, Cloud Computing. A Practical Introduction to the Legal Issues. [10] GREAT BRITAIN. Data Protection Act London: HMSO. OTRAS LECTURAS NTC-ISO , Información y documentación. Gestión de registros. Parte 1: Conceptos y principios. NTC-ISO 30301, Información y documentación. Sistemas de gestión de registros. Requisitos. NTC-ISO/IEC , Tecnología de la información. Gestión del Servicio. Parte 2: Código de práctica. NTC-ISO/TR , Información y documentación. Gestión de los metadatos para los registros. Parte 3: Método de autoevaluación. BS ISO , Document Management. Electronic Document File Format for Long-Term Preservation. Part 2: Use of ISO (PDF/A-2) BS ISO , Document Management. Electronic Document File Format for Long-Term Preservation. Part 3: Use of ISO with Support for Embedded Files (PDF/A-3). PAS 99, Specification of Common Management System Requirements as a Framework for Integration. 4

12 IMPORTANTE Este resumen no contiene toda la información necesaria para la aplicación del documento normativo original al que se refiere la portada. ICONTEC lo creo para orientar a su cliente sobre el alcance de cada uno de sus documentos y facilitar su consulta. Este resumen es de libre distribución y su uso es de total responsabilidad del usuario final. El documento completo al que se refiere este resumen puede consultarse en los centros de información de ICONTEC en Bogotá, Medellín, Barranquilla, Cali o Bucaramanga, también puede adquirirse a través de nuestra página web o en nuestra red de oficinas (véase El logo de ICONTEC y el documento normativo al que hace referencia este resumen están cubiertos por las leyes de derechos reservados de autor. Información de servicios aplicables al documento aquí referenciado la encuentra en: o por medio del contacto cliente@icontec.org ICONTEC INTERNACIONAL 5