Trustworthy Digital Repositories

Debido a la proliferación en los últimos años de repositorios digitales institucionales, y con el fin de garantizar la accesibilidad, perdurabilidad y uso de los objetos digitales depositados en ellos, ha sido necesario el establecimiento de criterios, herramientas y metodologías para el desarrollo de auditorías, evaluaciones y certificaciones con el fin de asegurar su solidez y durabilidad. Con este fin, en 2000 Research Libraries Group (RLG) y Online Computer Library Center (OCLC) emprendieron una colaboración con el objetivo de establecer atributos y responsabilidades a los repositorios digitales de un amplio rango de instituciones (bibliotecas, archivos, universidades, etc.) incorporando el estándar internacional Reference Model for an Open Archival Information System (OAIS). En 2002 se elaboró un informe^[1] en el que se plasmaba el trabajo de esos años y en el que se señalaba que, independientemente del tipo de repositorio digital, todos debían:

• Aceptar la responsabilidad del mantenimiento a largo plazo de los recursos digitales en nombre de sus depositarios y en beneficio de sus usuarios, presentes o futuros
• Tener un sistema organizativo que apoyara la viabilidad a largo plazo del repositorio institucional y de la información digital alojada en ella.
• Demostrar responsabilidad y sostenibilidad económica.
• Diseñar su sistema de acuerdo con los estándares y convenciones más comúnmente aceptados con el fin de asegurar el mantenimiento continuo, el acceso y la seguridad de los objetos digitales almacenados en ellos.
• Establecer metodologías de evaluación de los sistemas que satisfagan las demandas de fiabilidad de la comunidad.
• Desarrollar políticas, prácticas y actuaciones que puedan ser medidas y auditadas.

El informe finalizaba con una serie de recomendaciones a la RLG, la OCLC y otras organizaciones entre las que destacaban:

• Desarrollo de un proceso de certificación para repositorios digitales.
• Búsqueda y creación de herramientas para identificar los atributos más significativos de los materiales digitales que deben ser preservados
• Investigación y desarrollo de modelos de redes y servicios de cooperación.
• Desarrollo de sistemas para la identificación única y duradera de los objetos digitales.
• Investigación y difusión de información relacionada con la compleja relación entre preservación digital y derechos de propiedad intelectual.
• Determinación de las estrategias técnicas que mejor asegure el acceso continuo.
• Definición de nivel mínimo de metadatos requeridos para el funcionamiento a largo plazo y el desarrollo de herramientas que automáticamente genere y/o extraiga la mayor cantidad posible.

Un Trusted digital repository debe desarrollar:

• El cumplimiento del estándar OAIS (Reference Model for an Open Archival Information System), ya que proporciona un marco común para la descripción y comparación de arquitecturas y operaciones de archivos digitales.
• Responsabilidad administrativa, para la consecución de estándares nacionales y/o internacionales para el desarrollo físico, apoyo y recuperación de procedimientos y sistemas de seguridad.
• Viabilidad organizacional, con el fin de reflejar un compromiso a largo plazo del mantenimiento, almacenamiento y acceso a largo plazo en beneficio de depositarios y usuarios.
• Sostenibilidad financiera que respalde el proyecto
• La adecuación tecnológica y procedimental, que afectan a las estrategias, al equipo informático, la implementación, etc.
• Un sistema de seguridad, con sistemas de autenticación, recuperación y cortafuegos.
• Transparencia de los procedimientos, con documentación, mecanismos de monitorización, etc.

• Responsabilidad profesional y organizacional de alto nivel: atendiendo a 3 niveles básicos como el entendimiento de sus propios requerimientos locales, la compartición de responsabilidades a través de acuerdos entre consorcios, comunidades y la identificación y comprensión del funcionamiento de las responsabilidades a compartir. Factores a tener en cuenta serían: el alcance de las colecciones, la gestión de la preservación y su ciclo de vida, el amplio rango de interesados, la propiedad del material y otros temas legales y los costes implícitos.
• Responsabilidades operativas:en este apartado las responsabilidades afectarían a la negociación de la información apropiada por parte de los proveedores de contenidos, cubriendo aspectos tales como los temas de propiedad intelectual y otros asuntos legales, los metadatos de preservación, la comprobación de autenticidad y el mantenimiento de registros. Asimismo, afectarían al control de la obtención de la información mediante el análisis del contenido digital, la evaluación de las propiedades del objeto, los acuerdos de acceso permanente, la verificación de metadatos, la creación de paquetes de información (AIP), el control de la integridad y autenticación y el almacenamiento de archivos. También afectaría en la determinación de la comunidad de usuarios del repositorio, asegurando al mismo tiempo que toda la información a preservar es independientemente comprensible. Otro aspecto a destacar sería el seguimiento de políticas y procedimientos documentados. Asignar el acceso de la información a la comunidad de usuarios designdas sería otro factor a tener en cuenta.

En 2003, el Research Library Group (RLG) y el National Archives and Research Administration (NARA) se centraron en la acreditación, evaluación y certificación de los repositorios digitales. En años posteriores, se llevaron a cabo aportaciones de otros grupos de trabajo tanto en Europa como en Estados Unidos, como DRAMBORA (Digital Repository Audit Method based in Risk Assessment) y Nestor Working Group, donde quedaron fijadas las condiciones para la consecución de repositorios digitales seguros, auditables y certificables. Su trabajo^[2] se plasmó en una serie de criterios que cubren tres apartados fundamentales:

• infraestructura organizacional
• gestión del objeto digital
• gestión de la infraestructura y de la seguridad

Para la elaboración de este documento se tuvo en cuenta la aportación de varios estándares, destacando entre ellos la norma ISO 14721:2003 The Open Archival Information System Reference Model.

En el área relativa a la infraestructura organizacional, se tendrá en cuenta ciertos criterios:

• La viabilidad institucional. En el repositorio deberá determinar la misión, con el objeto de reflejar el compromiso de preservación y almacenamiento a largo plazo, gestión y acceso a la información digital. Asimismo, es necesario tener un Plan Estratégico de Preservación donde se establezca el método de actuación para la consecución de sus objetivos. Deberá monitorizar su entorno organizacional para determinar cuando se deben ejecutar sus planes, sus acciones, protocolos, etc. Del mismo modo, deberá tener una Política de la colección que determine el tipo de información que albergará.
• La estructura organizacional y personal. Deberá identificar y establecer las responsabilidades a desarrollar y tener un personal con destreza y experiencia para llevarlas a cabo. Asimismo debe contar con el personal necesario para ejecutar las tareas, las funciones y los servicios. Deberá tener un plan de desarrollo profesional activo que proporcione nuevas destrezas y conocimientos.
• La responsabilidad procedimental y contexto de la política de preservación. La documentación garantizará a las partes interesadas (usuarios, productores y contribuyentes del contenido digital) sus intereses a través de la actuación del repositorio. Debe reflejar su misión, planes estratégicos y su funcionamiento, asegurando que sean entendibles para la comunidad de usuarios. El repositorio tendrá mecanismos continuos para su revisión, actualización y mejora de sus planes estratégicos así como documentación que refleje los cambios adoptados en operaciones, procedimientos, programas y equipos informáticos. Deberá estar sujeto a evaluaciones internas y externas.
• La sostenibilidad financiera. Deberán tener planes a corto y largo plazo que sostengan el plan de preservación, que den ser transparentes y acordes con la práctica. Deben analizar e informar acerca de riesgos financieros, inversiones, beneficios y costos.
• Los contratos, licencias y otras obligaciones.

En cuanto a la gestión del objeto digital, se cubren los siguientes criterios:

• Ingesta de contenidos: la adquisición del contenido. la adquisición del contenido. La adquisición de contenidos supone una crucial interacción entre el repositorio y el depositario y el éxito en esta fase supone la capacidad del repositorio de obtener el control suficiente sobre su contenido, teniendo en cuenta que la ingesta de contenidos finaliza cuando el Paquete de Archivo de información (AIP) y sus metadatos asociados están seguros en él, incluyendo la creación de copias de seguridad. Las relaciones entre productores y repositorios pueden diferir en la formalidad y en la extensión de las obligaciones por ambas partes, pero algunos requerimientos son comunes a todos como que los repositorios deben identificar las propiedades a preservar de los objetos digitales y especificar la información que necesita estar asociada al material digital y su depósito. También debe contar con mecanismos para autentificar la fuente de sus materiales y obtener el control físico suficiente de los objetos digitales para preservarlos. Debe tener asimismo registros contemporáneos de las acciones y los procesos de administración que son relevantes para la preservación.
• Ingesta de contenidos: la creación de Paquetes de información (AIP). Los requerimientos en este apartado tienen que ver con asegurar que la información (objetos digitales y todos los metadatos correctos) recibida y verificada se coloca en el AIP y se almacena para la preservación a largo plazo. El repositorio debe tener una definición por escrito e identificable para cada AIP y debe ser adecuada para cada necesidad de preservación. El repositorio describe como los AIPs son elaborados desde los SIPs y debe usar convenciones de denominaciones que generen identificadores visibles, perdurables y únicos para todos los objetos archivados. Asimismo debe demostrar el acceso a los recursos y herramientas necesarias para establecer autoridad semántica o técnica de los objetos digitales que contiene. Documenta el proceso para evaluar la entendibilidad del contenido de información y elevarla al nivel acordado. El repositorio tiene que verificar la exactitud e integridad de cada AIP desde el momento que se genera al mismo tiempo que ofrece un mecanismo independiente para evaluar la integridad de la colección
• Planeamiento de la preservación. Deben estar documentadas todas las estrategias de preservación y desarrollar mecanismos para monitorizar y notificar cuando la representación de la información, incluyendo los formatos, están aproximándose a la obsolescencia o que ya no son viables. Debe contar con mecanismos para ejecutar cambios en sus planes de preservación como resultado de dichas actividades de monitorización. Deben ofrecer pruebas de efectividad.
• Preservación de los Paquetes de Información (AIP). Debe emplear estrategias de preservación documentadas en este apartado, poniendo en práctica y respondiendo a estrategias de almacenamiento y migración de los objetos de archivo.
• Gestión de la información. El repositorio articula los requerimientos mínimos de metadatos que permite a las comunidades designadas descubrir e identificar el material de interés. Crea y guarda los metadatos descriptivos mínimos y asegura que estos estén asociados correctamente con el objeto archivado. Debe demostrar que la integridad referencial se mantiene entre todos los objetos archivados y la información descriptiva asociada.
• Gestión del acceso. Las capacidades y el perfeccionamiento del sistema de acceso variarán dependiendo de la comunidad designada y las autorizaciones de acceso del repositorio. Designará qué tipo de acceso y que opciones tendrá la comunidad de usuarios. Habrá implementado una política de registro de todas las acciones de acceso y habrá documentado e implementado políticas de acceso (normas de autorización, requerimientos de autenticación, etc) acorde con los acuerdos establecidos para los objetos almacenados. Registrará todos los fallos de gestión de acceso y se revisaran los incidentes de “acceso denegado”.

En cuanto a la gestión de la infraestructura y de la seguridad, los criterios a seguir son:

• Gestión del riesgo de la infraestructura técnica. Debe identificarse y controlarse los riesgos en las operaciones de preservación y objetivos asociados con la infraestructura técnica, mediante el empleo de tecnología que vigile y monitorice los sistemas, que avisen de los cambios a realizar tanto en hardware como en software, los cuales deben ser los apropiados en todo momento y deben garantizar el backup y detectar pérdidas o corrupción de datos, que en caso de ocurrir, se documentará tanto el problema como los pasos para la resolución. Deben tener definidos los procesos de almacenamiento y los cambios en el software (refresco, migración, etc) y llevar el control del número y localización de las copias de todos los objetos digitales.
• Gestión del riesgo de seguridad. Debe mantener un análisis sistemático de factores de riesgos de seguridad asociados con los datos, sistemas, personal e instalación física.