淺談企業(yè)檔案管理電子信息化所面臨的信息安全問(wèn)題

胡京津

企業(yè)檔案是企業(yè)在生產(chǎn)經(jīng)營(yíng)活動(dòng)中形成的具有保存價(jià)值的以文字、圖像、聲音為載體的歷史記錄，及時(shí)準(zhǔn)確的檔案信息服務(wù)對(duì)于企業(yè)日常運(yùn)作及管理層決策有著重要的意義。而我國(guó)傳統(tǒng)的企業(yè)檔案管理模式重保管輕利用，致使大批檔案得不到充分的使用。隨著信息化時(shí)代到來(lái)，互聯(lián)網(wǎng)以其超乎想象的存儲(chǔ)能力方便快捷的檢索方式影響著信息的傳播。企業(yè)檔案管理的信息化能夠顯著提高企業(yè)檔案管理水平，與傳統(tǒng)純?nèi)斯す芾砟Ｊ奖容^，檔案信息化管理具有檢索迅速、查找方便、存儲(chǔ)量大等優(yōu)勢(shì)，數(shù)據(jù)錄入后可以反復(fù)多次檢索、多人同時(shí)檢索利用，還可以通過(guò)數(shù)據(jù)庫(kù)進(jìn)行數(shù)據(jù)模糊檢索、組合檢索等方式快速獲得所需的檔案信息。

目前信息化網(wǎng)絡(luò)以其開(kāi)放性、交互性給人們帶來(lái)方便的同時(shí)，也帶來(lái)了諸如計(jì)算機(jī)病毒、木馬等安全風(fēng)險(xiǎn)。企業(yè)檔案不同于一般信息，具有特殊性，一方面是保密要求，必須保證檔案信息不能泄露，另一方面必須保證特定范圍人員擁有特定的調(diào)閱權(quán)限，具有排他屬性。一旦企業(yè)檔案被非法竊取、篡改或刪除，將給企業(yè)帶來(lái)難以估量的損失，這就要求企業(yè)檔案信息化建設(shè)工作要格外重視信息安全問(wèn)題。企業(yè)檔案信息化安全的內(nèi)涵包括以下三個(gè)要素：機(jī)密性，非授權(quán)人員不得使用;真實(shí)性，電子檔案與紙質(zhì)檔案內(nèi)容必須一致;穩(wěn)定性，保證電子檔案內(nèi)容無(wú)法隨意刪改。

1.企業(yè)檔案信息化建設(shè)面臨的安全威脅

1.1計(jì)算機(jī)病毒、木馬威脅

隨著互聯(lián)網(wǎng)的發(fā)展，諸如“蠕蟲(chóng)”、“熊貓燒香”等病毒木馬程序也在網(wǎng)絡(luò)中傳播擴(kuò)散，造成的破壞和損失在所有安全威脅中居首位。計(jì)算機(jī)病毒不僅可以通過(guò)短時(shí)間內(nèi)重復(fù)發(fā)送大量無(wú)意義數(shù)據(jù)造成網(wǎng)絡(luò)通信擁堵，還可以破壞服務(wù)器系統(tǒng)文件從而造成系統(tǒng)數(shù)據(jù)和文件系統(tǒng)破壞，如果造成重要檔案數(shù)據(jù)的丟失那么損失將是災(zāi)難性的。

1.2企業(yè)信息化網(wǎng)絡(luò)構(gòu)建的物理安全威脅

物理網(wǎng)絡(luò)安全是企業(yè)信息化網(wǎng)絡(luò)安全的基礎(chǔ)。檔案信息網(wǎng)建設(shè)中，由于基礎(chǔ)網(wǎng)絡(luò)系統(tǒng)弱電性，在物理網(wǎng)絡(luò)的搭建中，需要考慮對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行防護(hù)，避免漏電、火災(zāi)和雷擊。

1.3操作系統(tǒng)及檔案信息應(yīng)用系統(tǒng)的安全風(fēng)險(xiǎn)

不論是微軟公司的視窗操作系統(tǒng)還是其它任何商用UNIX操作系統(tǒng)，其開(kāi)發(fā)公司均留有“后門”，均有被惡意訪問(wèn)的風(fēng)險(xiǎn)，不存在絕對(duì)安全的操作系統(tǒng)，因此在選擇供應(yīng)商時(shí)，不僅要盡可能保證操作系統(tǒng)和硬件平臺(tái)穩(wěn)定可靠，還必須根據(jù)本企業(yè)的需要對(duì)系統(tǒng)進(jìn)行安全配置，加強(qiáng)登錄服務(wù)器過(guò)程中的認(rèn)證手續(xù)，確保訪問(wèn)用戶的合法性，嚴(yán)格限制訪問(wèn)者的操作權(quán)限，將其能夠進(jìn)行的操作限制在必須的范圍內(nèi)。檔案信息應(yīng)用系統(tǒng)本身的穩(wěn)定性、安全性能否得到保證不僅關(guān)系到企業(yè)檔案能否順利通過(guò)信息系統(tǒng)實(shí)現(xiàn)有效利用，還關(guān)系到檔案信息機(jī)密不被泄露、篡改和刪除。

1.4檔案管理體系的安全漏洞

如果沒(méi)有嚴(yán)格的管理體系，任何先進(jìn)軟硬件安全方案都不能發(fā)揮其應(yīng)有的作用。管理混亂、制度不健全或缺乏可操作性都是發(fā)生檔案信息化管理安全問(wèn)題的潛在危險(xiǎn)因素。因缺乏有效的網(wǎng)絡(luò)安全管理制度或未按制度執(zhí)行，使本企業(yè)檔案信息化網(wǎng)絡(luò)在受到黑客攻擊時(shí)不能及時(shí)進(jìn)行預(yù)警、監(jiān)控及防御從而造成機(jī)密泄露、數(shù)據(jù)損毀。因企業(yè)檔案信息化網(wǎng)絡(luò)日常管理松懈，可能造成檔案信息化錄入錯(cuò)誤而導(dǎo)致電子檔案與原始檔案不一致給檔案利用制造困難，還可能因檔案利用過(guò)程中異常操作而導(dǎo)致電子檔案數(shù)據(jù)破壞。

2.檔案信息化建設(shè)的安全對(duì)策

2.1檔案管理人員及檔案信息化利用人員安全意識(shí)的培養(yǎng)

即使檔案信息安全系統(tǒng)安全設(shè)計(jì)再完善，如果管理員、信息使用者沒(méi)有嚴(yán)格按規(guī)范執(zhí)行，那么再先進(jìn)的加密手段也只能淪為擺設(shè)。檔案信息系統(tǒng)歸根到底仍然需要管理人員建立和維護(hù)，需要企業(yè)相關(guān)人員加以利用，因此在檔案信息化應(yīng)用過(guò)程中發(fā)生的各種問(wèn)題或多或少都與人有關(guān)。因此，在檔案信息化建設(shè)過(guò)程中，必須認(rèn)真通過(guò)培訓(xùn)教育有關(guān)人員，使之認(rèn)識(shí)到信息安全的重要性、嚴(yán)肅性，提高認(rèn)識(shí)防范蓄意或者疏忽造成危害信息網(wǎng)絡(luò)安全事件發(fā)生的概率。根據(jù)不同的職位，給予相應(yīng)的檔案信息使用權(quán)或管理權(quán)限。同時(shí)對(duì)于檔案信息網(wǎng)絡(luò)管理者和使用者的權(quán)限實(shí)行動(dòng)態(tài)管理，定期核實(shí)人員崗位變動(dòng)、升職或離職等崗位變動(dòng)情況，并進(jìn)行相應(yīng)的權(quán)限調(diào)整，避免無(wú)關(guān)人員接觸相應(yīng)機(jī)密內(nèi)容。進(jìn)行宣傳教育，要求相關(guān)人員選用復(fù)雜密碼，對(duì)密碼長(zhǎng)度及組合復(fù)雜度要有必要規(guī)定（如密碼長(zhǎng)度不少于8字符，且必須英文、數(shù)字混雜等），減少被黑客暴力破解的幾率，要求在使用涉密電腦或在自己辦公電腦查閱相應(yīng)檔案時(shí)信息內(nèi)容不會(huì)被無(wú)關(guān)人員偷窺等。

2.2建立切實(shí)可行的電子檔案信息管理制度

明確信息化檔案錄入人員的責(zé)任，制定獎(jiǎng)懲制度控制錄入錯(cuò)誤頻率，同時(shí)企業(yè)還要建立完善的電子檔案錄入復(fù)查機(jī)制，在電子檔案錄入數(shù)據(jù)庫(kù)時(shí)，要對(duì)其進(jìn)行全面仔細(xì)的核查，確保電子檔案內(nèi)容與原始檔案保持一致。建立完善的電子檔案的存儲(chǔ)制度，非檔案管理員不得獲得刪改檔案的權(quán)限，同時(shí)管理員的每次刪改行為也必須有案可稽，保證可追溯性。加強(qiáng)電子檔案信息使用管理，避免因誤操作刪改信息或?qū)⒉《尽⒛抉R程序?qū)霗n案信息數(shù)據(jù)庫(kù)。建立完善的電子、紙質(zhì)介質(zhì)雙重保存制度，雖然信息化管理給檔案存儲(chǔ)、利用帶來(lái)便利，但電子檔案同其他數(shù)字信息一樣易受到木馬病毒等安全隱患影響，紙質(zhì)檔案以其特有的穩(wěn)定性是電子版無(wú)法替代的，不易修改，保存期限長(zhǎng)、檔案信息可靠性較高等，同時(shí)紙質(zhì)檔案所具有的法律效力也是電子檔案所不具備的，因此紙質(zhì)檔案還是必須保留的，紙質(zhì)檔案作為企業(yè)的原始信息，以保證檔案的真實(shí)性，電子檔案更傾向于檔案日常管理、利用，兩者結(jié)合共同為企業(yè)經(jīng)營(yíng)活動(dòng)服務(wù)。

2.3電子信息安全技術(shù)在企業(yè)檔案信息化管理中的應(yīng)用

2.3.1物理防范措施

設(shè)置UPS不間斷電源，以保證電子檔案信息服務(wù)器及網(wǎng)絡(luò)電力供應(yīng)，針對(duì)信息化網(wǎng)絡(luò)電器屬性，設(shè)置防火報(bào)警系統(tǒng)等。

2.3.2殺毒軟件及防火墻的應(yīng)用

針對(duì)企業(yè)內(nèi)部網(wǎng)絡(luò)統(tǒng)一采購(gòu)正版企業(yè)版殺毒軟件，并實(shí)行由服務(wù)器統(tǒng)一更新病毒數(shù)據(jù)庫(kù)。建立企業(yè)局域網(wǎng)絡(luò)防火墻，從源頭隔絕外部網(wǎng)絡(luò)非正常訪問(wèn)，從而最大限度的減少黑客網(wǎng)絡(luò)攻擊。

2.3.3設(shè)置檔案信息網(wǎng)絡(luò)訪問(wèn)權(quán)限

對(duì)用戶訪問(wèn)檔案信息數(shù)據(jù)庫(kù)的權(quán)限進(jìn)行嚴(yán)格的認(rèn)證和控制。使用動(dòng)態(tài)驗(yàn)證系統(tǒng)，數(shù)字身份認(rèn)證系統(tǒng)，控制訪問(wèn)目錄和訪問(wèn)文件權(quán)限。

2.3.4使用數(shù)據(jù)加密系統(tǒng)

加密是保護(hù)網(wǎng)絡(luò)傳輸數(shù)據(jù)安全的重要手段，首先對(duì)網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)進(jìn)行加密，到達(dá)目標(biāo)電腦后再還原為原始數(shù)據(jù)，防止非法用戶截獲后盜用檔案信息。

2.3.5物理斷網(wǎng)

對(duì)于保密等級(jí)極高的檔案信息，可采用非聯(lián)網(wǎng)電腦單獨(dú)存儲(chǔ)保管于檔案室內(nèi)，經(jīng)允許可在檔案室內(nèi)進(jìn)行調(diào)閱使用。

（作者單位：唐山市燃?xì)饧瘓F(tuán)有限公司）