档案数字化管理风险防控研究

摘要：档案数字化是档案信息资源建设中安全风险最大，最容易出现问题的一个环节，档案数字化管理的风险防控为档案管理提供了安全屏障。本文从云模式数字档案馆的信息安全治理与控制具体表现这一切入点，剖析档案数字化管理中出现的各种安全风险，阐明了云环境下数字档案馆的信息安全管控体系的构建的必要性，提出了云环境下档案数字化管理的风险防控措施和策略。

关键词：云环境；档案数字化；风险防控

一、引言

随着信息技术的发展，企业、政府对信息系统、信息技术的依赖程度越来越高，信息系统的安全性也就显得越来越重要，如果系统遭到破坏，会对业务造成严重的损失。数字档案馆建设是我国档案工作信息化的主要内容，是传统档案馆在现代网络环境下实现业务转型、服务升级的主要方式和手段。数字档案馆运行在一个网络空间中，而网络的安全性直接威胁到数字档案馆的安全性。如何防范在网络空间中运行的数字档案馆不受非法入侵、不受黑客攻击，如何防止数字档案馆中的电子档案不被篡改，如何保证数字档案馆中的电子档案的长期保存，如何加强数字档案馆对突发事件的应对，如何建立可靠的信息安全管理体系，正是云环境下档案数字化管理的一个重要研究内容。

二、云模式数字档案馆的信息安全治理与控制

数字档案馆作为一个信息系统，其安全治理的要求和一般企业的信息系统的要求是基本一致的，但是，由于档案具有机密性、原始记录性，加之云环境的特点，给数字档案馆的建设提出了一些更高的信息安全要求，云模式数字档案馆的信息安全治理与控制具体表现在以下几个方面。

（一）信息安全管理需要的复杂化

云计算在信息安全方面的一些新的特点，进一步加强了云环境下数字档案馆的信息安全治理风险，随之而来呈现出数字档案馆建设中IT治理的复杂化。云模式的数字档案馆，是由云客户、云服务提供商和第三方服务提供商等多种角色共同协作来完成的。因此，云环境中的信息安全管理需要云客户、云服务提供商和第三方服务提供商按其在云中的角色来明晰自己在云中信息安全管理的责任和权益。

（二）信息泄露的不确定性与删除的风险性

多租户的云环境，增加了信息泄漏的风险。在虚拟的云环境中，数字档案馆系统出租给多个不同的用户，多个不同的档案馆、档案室的租户在使用时可以独享一台虚拟机，而一台物理机可以有许多虚拟机，这种隔离是逻辑的，如果在用户隔离方面出现漏洞，则会造成一个合法用户的数据可能被另一个合法用户非授权操作。在云计算中，由于数据有多个副本，因此在删除一些保密数据时，必须采取一些有效的技术，保证全面有效地定位云计算数据，保证数据被彻底删除，并无法被恢复。

（三）分布式存储与数据备份的安全风险

由于云计算采用分布式存储技术，用户并不知道自己的数据存储的物理位置，这样会出现有些保密数据甚至存储在国外的服务器上，当然，基于省级电子政务云平台的数字档案馆是建立在省政务外网上的，它属于私有云，不会出现这种可能性。但也要注意档案数据的存储安全，必须保证所有的数据和它们的副本、备份存储在服务水平协议和法律规则允许的位置。虽然在云计算中，数据有多个副本，但网络环境中，数据遭受意外的可能性加大了，因此，必须制定有效的云数据备份和云恢复计划，并进行演练，保证系统在遭受意外时，能够及时可靠地恢复数据。

（四）数据传输的风险

由于云计算都是在网络中上传或使用数据，对于一些敏感和保密数据，容易造成传输过程中被泄漏的风险。在云计算数据传输的过程中，往往是由云服务商和第三方服务商提供相关的服务，但也存在这些服务商意外中止服务的情况，因此，要保证在云服务商和第三方服务商意外中止服务时，可以将档案数据无损地迁移到新的云服务平台中，在传输的整个过程中，增加了一定的数据传输风险。因此，对云计算的数字档案馆的网络加密传输有了更高的要求。

三、云环境下数字档案馆的信息安全管控体系的构建

云环境下的数字档案馆的安全体系建设是一项复杂的系统工程，要使用系统工程的思想和方法，对数字档案馆的整体安全进行规划。参照企业信息安全管控体系，构建了一个数字档案馆的信息安全治理与管控体系，如图1所示。

（一）信息安全规划

信息安全规划是数字档案馆对档案信息和信息处理设施进行管理、保护和分配的总体原则。通过系统的信息安全规划，可以让所有使用数字档案馆系统的IT人员和业务人员了解到在数字档案馆的工作中的具体事宜以及每个区域的基本状况，明确数字档案馆过程中的信息安全问题。如：在数字档案馆中，哪些信息最重要?这些信息面临的威胁有哪些？这些信息一旦失效（失去真实性）、失控（不能获取）或者泄密给档案馆业务带来的损失有多大？这些信息失效、失控或者泄密的可能性有多大？解决这些问题，就必须进行风险评估，进行风险识别、风险量化、风险排序，以此作为安全策略的优先等级的依据。

（二）信息安全组织管控体系

信息安全组织管控体系是数字档案馆信息安全的组织保证，是数字档案馆为实现信息安全而建立的各部门之间的分工协作及开展工作的关系。要保证数字档案馆的信息安全，首先要在组织体系上加以明确，把相关安全责任通过组织体系落实到具体的部门和人员中。数字档案馆的组织体系一般包含信息安全的决策机构、管理机构、执行机构和监管机构。这些机构的具体形式可以是兼职的或虚拟的，分别从不同层面来负责数字档案馆的信息安全。

（三）信息安全技术管控体系

数字档案馆是一个信息系统，其安全一定要有相应的技术支持，因此要构建数字档案馆信息安全的技术管控体系必然涉及到四个方面的安全。第一，物理层安全。这是整个系统安全的前提和基础，包括建筑物安全、场地安全、机房环境安全、设备的可靠性、辐射控制与防泄漏、通信线路安全性、动力安全性、灾难恢复措施等。第二，网络层安全。网络层是整个系统安全的核心和灵魂，其安全主要包括：网络及系统的授权访问、网络层边界防护（防火墙）、入侵检测、病毒防护、网络传输加密、网络结构的合理性分析等。第三，系统层安全。主要是指主机系统、数据库系统中存在的一些漏洞和风险，如管理员和用户的口令管理、数据库漏洞的修补、操作系统漏洞的修补等。第四，应用层安全。指数字档案馆应用系统的安全风险和采取的技术措施，包括身份认证技术、数字签名和证书技术、数据加密技术、安全内容检查技术等。

（四）信息安全运维管控体系

信息安全运作是实现信息安全目标的重要机制，技术只是一个手段，必须依赖于有效的管控才能实现数字档案馆的信息安全目标。其内容涉及制度管理、风险评估、安全审计、事件管理等一系列内容，核心是信息安全事件的管控。对数字档案馆来说，建立一套结构严谨、计划周全的信息安全事件管理流程，是安全管控的核心。信息安全事件管控应该是一个严格的过程，由检测报告、评估决策、响应、评审、改进几个阶段组成。通过这样的流程，将系统产生的任何风险及时化解，不断改进数字档案馆的安全状况。

四、云环境下档案数字化管理的风险防控措施

（一）强化档案数字化管理的执行力度，完善制度建设

档案数字化成败关键在于质量与安全，标准和制度是质量与安全的根本保证。只有提高对标准与制度重要性的认识，才能增强执行档案标准的自觉性。要通过加强相关人员的培训、业务考核等办法，强制性要求其采用标准。要建立起一套系统的安全规章制度，规定业务工作程序，分配责任和权利等。强化职能与专业分工，强调制度化档案安全管理的氛围，推行标准化管理，使每一项工作、指标、制度、方案、细则，都能在规章制度规范下操作。制度在风险管理中发挥的作用：一是依法制定的规章制度可以保障数字化工作运作有序化、规范化，可在一定程度上降低风险；二是有效的制度能降低流程运作成本，提高数字化质量；三是规章制度可以防止管理的任意性，即以制度管理人员，管理工作更易于被接受；四是规章制度能规范数字化工作参与人员的行为，不偏离数字化项目的工作方向。规章制度的建立和完善，不仅能对一些具体工作中的制度化管理起到推动作用，同时可以进一步挖掘工作人员的潜能，调动工作人员的积极性。

（二）加强数字档案馆信息安全组织体系建设

在信息安全体系中，一个重要的内容就是信息安全的组织管控，没有组织体系的保障，数字档案馆的信息安全就没有根基。如前所述，信息安全组织由信息安全的决策、管理、执行、监管四类机构组成。信息安全执行机构负责具体的信息安全工作的执行和开展，具体又可以分为两个部分：一类是信息安全工程组织，主要由数字档案馆系统的开发人员组成，负责各项信息安全技术的实施，如登录认证管理、数字证书管理等；另一类是信息安全运行组织，在数字档案馆中主要负责数字档案馆系统监控维护方面的工作，并及时汇报数字档案系统在日常运作中的安全情况。一般都由各业务部门的相关人员兼任，不设立专门岗位。信息安全监管机构主要对数字档案馆的信息安全工作的开展情况进行独立的审查和监督。其职能主要包括：监督各项信息安全政策、标准、规范的执行情况。数字档案馆信息安全组织体系建设主要任务是将审查的结果向数字档案馆的信息安全决策机构汇报，为数字档案馆的信息安全改进工作提供支持。

（三）加强云模式数字档案馆信息安全技术研究

数字档案馆的信息安全是在信息系统中进行的，一定要有相应的技术支持，除了一般的信息系统的信息安全技术外，云模式数字档案馆在信息安全技术方面主要包括四个方面。第一，信息安全技术数据加密技术，加密是保护敏感数据的一个重要途径，加密提供了档案资源保护功能。第二，认证授权技术。身份认证技术也是云模式数字档案馆的一个重要安全技术，管理身份和认证主要表现在两个方面，一是对访问数字档案馆的用户的身份进行认证和管理，二是对数字档案馆中存储的电子档案的身份进行管理。第三，数据的存储和备份技术。云存储技术具有分布式、多副本的特点，但同时也带来了一些问题，如云存储的可靠性问题，关注云备份技术的发展，给数字档案馆的云存储和云备份提供可靠的技术方案。第四，加强数字档案馆信息安全的流程管理。要想把数字档案馆的信息安全管控体系落到实处，就必须加强相关的流程建设，通过相关的流程建设，达到把复杂的问题简单化、把简单的问题流程化的目的。流程可以分为两个层次：一是构建整个数字档案馆的信息安全管控体系的流程；一是管控体系中的相关流程建设。信息安全管控体系中的相关流程建设是将信息安全的每个具体的措施进行流程化处理，来实现整体的管控体系的执行和实施。

（四）构建云模式数字档案馆信息安全策略

信息安全策略是对安全方针的具体落实和完善。数字档案馆的策略应该保障云模式数字档案馆的信息的机密性、可用性、完整性等。具体来说，是针对数字档案馆中存在的一系列安全隐患，提出的一个个具体的处理方案，因此，安全策略应该是具体的，每个安全策略都应有其具体的目标、适用范围、策略主体及具体措施。如身份认证与授权策略，其目的是让访问数字档案馆的每个人都得到许可，并且只能访问权力许可范围内的资源，其由一系列的管理和技术措施组成了具体的策略。在制定每一个策略时，要参考国家和国际上的一些标准，然后根据数字档案馆的具体情况，制定可行的措施。

五、结语

数字档案馆的信息安全是一个系统工程，并不单纯是信息技术部门的责任，档案馆中每一个和数字档案馆系统相关的人员都有维护信息安全的职责，因此，必须通过信息安全的组织建设，把信息安全的职责落实到数字档案馆中的每个人员的岗位职责中。以全员参与、明确责任的原则，把各项安全措施落实到位。

参考文献：

[1]冯惠玲，赵国俊，刘越男.电子文件管理国家战略刍议[J].档案学讯，2006（3）：4-8.

[2]高复先.信息资源规划———信息化建设基础工程[M].清华大学出版社，2002：6

[3]于英香，韩震.区域性电子文件管理模式演变与整合探析[J].档案学研究，2011（1）：67-70.

[4]姚宏宇，田溯宁.云计算———大数据时代的系统工程[M].电子工业出版社，2013，60-62.

[5]黄丽等著.档案数字化：风险与管理[M].中国文史出版社，2018：60.

[6]倪芳，聂真.档案数字化外包的风险与防控资源信息与程?，2020（3）：152-154??.

[7]李惠庆.高校学籍档案数字化外包的安全风险分析与管理策略[J].丝路视野，2018（24）：51-52，

作者：韩卓泉