檔案信息安全管理體系建設(shè)研究

趙福榮/杭州市檔案局

當(dāng)前，檔案部門積極開展檔案信息化建設(shè)，圍繞檔案核心業(yè)務(wù)建設(shè)了各類檔案信息系統(tǒng)，包括電子檔案接收、管理、保管（存）、利用系統(tǒng)以及館藏檔案數(shù)字化加工系統(tǒng)、檔案網(wǎng)站等。與此同時(shí)，檔案信息化建設(shè)過(guò)程中也出現(xiàn)了一些問(wèn)題，其中安全問(wèn)題較為突出且不容忽視，包括安全責(zé)任主體不明確、制度規(guī)范不完善、物理環(huán)境不合規(guī)，以及檔案數(shù)據(jù)管理失控、信息分級(jí)不恰當(dāng)、監(jiān)督檢查機(jī)制缺失、應(yīng)急處置能力不足等，檔案信息安全事件時(shí)有發(fā)生，檔案信息化建設(shè)和檔案信息安全防護(hù)工作面臨巨大挑戰(zhàn)。

做好檔案安全工作是推動(dòng)檔案事業(yè)科學(xué)發(fā)展的前提，而檔案信息安全工作是檔案安全工作的重點(diǎn)。近年來(lái)，杭州市檔案局從維護(hù)國(guó)家安全的高度來(lái)認(rèn)識(shí)檔案信息安全工作，積極構(gòu)建檔案信息安全管理體系，把檔案信息安全工作放在檔案信息化建設(shè)的重中之重，綜合運(yùn)用多種手段應(yīng)對(duì)嚴(yán)峻的信息安全形勢(shì)，堅(jiān)決守住檔案安全底線。

1 加強(qiáng)檔案信息安全管理體系頂層設(shè)計(jì)

市檔案局認(rèn)真梳理原有的信息系統(tǒng)安全管理制度，對(duì)已制定的但不適應(yīng)新形勢(shì)、新要求的制度，抓緊修訂完善，不符合現(xiàn)實(shí)要求的，及時(shí)予以廢止；同時(shí)編制了《杭州市檔案局檔案信息安全管理手冊(cè)》，相繼建立了信息安全管理制度體系、責(zé)任體系、運(yùn)維體系和應(yīng)急體系，按照PDCA原則，保障市檔案局網(wǎng)絡(luò)安全暢通與可控，保障所開發(fā)和維護(hù)的信息系統(tǒng)安全穩(wěn)定，為社會(huì)公眾提供安全可靠的檔案服務(wù)。

2 構(gòu)建基礎(chǔ)安全保障體系

完善的安全保障體系能確保網(wǎng)絡(luò)安全、系統(tǒng)安全、數(shù)據(jù)庫(kù)安全、信息安全、設(shè)備安全、信息介質(zhì)安全，并能有效應(yīng)對(duì)計(jì)算機(jī)病毒。市檔案局在承載檔案信息資源存儲(chǔ)、傳輸、管理的計(jì)算機(jī)網(wǎng)絡(luò)上配置了IPS、防火墻、安全審計(jì)、漏洞掃描、光閘等基礎(chǔ)安全設(shè)備，在檔案信息系統(tǒng)中采用身份認(rèn)證、訪問(wèn)控制、數(shù)字簽名等信息安全技術(shù)，避免檔案信息資源被非法訪問(wèn)使用或惡意篡改，為保障檔案信息資源安全提供技術(shù)支持。2017年，結(jié)合國(guó)家示范數(shù)字檔案館創(chuàng)建和檔案行業(yè)計(jì)算機(jī)信息系統(tǒng)等級(jí)保護(hù)三級(jí)系統(tǒng)要求，市檔案局投入近400萬(wàn)元人民幣，對(duì)部署數(shù)字檔案館系統(tǒng)的內(nèi)網(wǎng)進(jìn)行全面升級(jí)，采用超融合架構(gòu)，將服務(wù)器節(jié)點(diǎn)進(jìn)行聚合，利用虛擬化技術(shù)將資源整合，形成統(tǒng)一的資源池和管理平臺(tái)，實(shí)現(xiàn)了模塊化的無(wú)縫橫向擴(kuò)展，促進(jìn)了新開發(fā)檔案業(yè)務(wù)系統(tǒng)的快速上線和已有檔案業(yè)務(wù)系統(tǒng)的平滑遷移，利用虛擬工作負(fù)載的快速遷移和數(shù)據(jù)多副本配置，提高應(yīng)用系統(tǒng)的高可用性，將軟件定義的網(wǎng)絡(luò)、安全、存儲(chǔ)緊密集成到虛擬數(shù)據(jù)中心，結(jié)合基于策略的調(diào)配機(jī)制，達(dá)到平臺(tái)級(jí)別以及平臺(tái)內(nèi)部的虛擬機(jī)級(jí)別全方位安全防護(hù)。結(jié)合原有政務(wù)外網(wǎng)（計(jì)算機(jī)信息系統(tǒng)等級(jí)保護(hù)二級(jí)標(biāo)準(zhǔn)）的安全防護(hù)，構(gòu)建了市檔案局基礎(chǔ)安全保障體系。

3 規(guī)范電子文件和電子檔案管理

在信息化的時(shí)代背景下，加強(qiáng)電子文件、電子檔案管理，確保電子檔案真實(shí)完整、安全可用和長(zhǎng)期保存，是檔案信息安全管理體系建設(shè)的基礎(chǔ)工作。2009年以來(lái)，市檔案局開展“杭州市電子文件中心”項(xiàng)目建設(shè)，注重電子文件全過(guò)程管理和前端控制，對(duì)電子文件生命周期的各個(gè)環(huán)節(jié)加強(qiáng)質(zhì)量控制，確保歸檔電子文件的信息安全和檔案價(jià)值。特別是2017年，隨著浙江政務(wù)服務(wù)網(wǎng)的應(yīng)用和“最多跑一次”改革的推進(jìn)，單軌制保存的行政審批電子文件大量產(chǎn)生，其中相當(dāng)部分具有保存價(jià)值，能夠被作為檔案進(jìn)行保存。市檔案局根據(jù)“最多跑一次”改革要求，迅速對(duì)業(yè)務(wù)類電子文件歸檔工作進(jìn)行探索和研究，以浙江政務(wù)服務(wù)網(wǎng)行政審批類事項(xiàng)為切入點(diǎn)，建立統(tǒng)一的電子業(yè)務(wù)數(shù)據(jù)模型，使之能對(duì)各種業(yè)務(wù)類型的電子檔案進(jìn)行統(tǒng)一的數(shù)據(jù)資源管理，實(shí)現(xiàn)對(duì)黨委和政府重要業(yè)務(wù)信息系統(tǒng)數(shù)據(jù)的收集歸檔、規(guī)范管理和有效利用。我們將繼續(xù)全力拓展“最多跑一次”事項(xiàng)電子化歸檔的廣度，逐步實(shí)現(xiàn)歸檔范圍向九大類權(quán)力事項(xiàng)拓展，使電子業(yè)務(wù)數(shù)據(jù)歸檔成為“最多跑一次”改革的有力支撐。

通過(guò)“杭州市電子文件中心”項(xiàng)目建設(shè)，市檔案局已完成了面向機(jī)關(guān)檔案室的電子文件管理系統(tǒng)（ERMS系統(tǒng)）和業(yè)務(wù)類電子文件歸檔系統(tǒng)（EDMS系統(tǒng)）的建設(shè)任務(wù)，通過(guò)ERMS系統(tǒng)和EDMS系統(tǒng)的推廣使用，進(jìn)而規(guī)范全市市直機(jī)關(guān)的電子文件管理。在電子檔案規(guī)范管理方面，2018年市檔案局利用接受副省級(jí)以上綜合檔案館業(yè)務(wù)建設(shè)評(píng)價(jià)和創(chuàng)建全國(guó)示范數(shù)字檔案館的契機(jī)，按照國(guó)家檔案局《數(shù)字檔案館建設(shè)指南》、《電子檔案管理系統(tǒng)基本功能規(guī)定》和“數(shù)字檔案館系統(tǒng)測(cè)試辦法”中對(duì)軟件功能的最新要求，正在建設(shè)一套高性能、高成熟度、高安全性、易擴(kuò)展的數(shù)字檔案館系統(tǒng)，用以完成館藏檔案的數(shù)字化加工和電子檔案的采集、整理、存儲(chǔ)、檢索、傳遞、保管、保護(hù)、鑒定、銷毀、統(tǒng)計(jì)、編研、利用等工作，并為用戶提供高效跨庫(kù)、無(wú)縫連接的信息服務(wù)。

4 落實(shí)各項(xiàng)信息安全舉措

4.1 開展信息系統(tǒng)等級(jí)保護(hù)。市檔案局認(rèn)真開展計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)工作，將技術(shù)措施和管理措施有機(jī)結(jié)合，按照國(guó)家有關(guān)規(guī)定和標(biāo)準(zhǔn)規(guī)范要求，建立信息系統(tǒng)綜合防護(hù)體系，提升信息系統(tǒng)整體安全保護(hù)能力，減少安全隱患，有效保障檔案信息化建設(shè)工作的開展。

4.2 加強(qiáng)信息安全運(yùn)行維護(hù)。市檔案局通過(guò)購(gòu)買第三方安全服務(wù)的方式，開展日常安全運(yùn)維工作，定期開展安全巡檢、服務(wù)器漏洞掃描、系統(tǒng)風(fēng)險(xiǎn)評(píng)估、系統(tǒng)加固整改、檔案網(wǎng)站應(yīng)急響應(yīng)等工作，消除安全隱患。

4.3 建立檔案信息資源備份機(jī)制。市檔案局根據(jù)檔案信息資源的類別、數(shù)量、容量等情況，制定并實(shí)施符合本局（館）實(shí)際的安全存儲(chǔ)策略，確保檔案信息真實(shí)、完整、安全、可用；制定并實(shí)施檔案信息資源的安全備份策略，在做好本地備份的同時(shí)做好異地備份工作。一是同城異地容災(zāi)。市檔案局多個(gè)應(yīng)用系統(tǒng)通過(guò)專用光纖鏈路，將檔案信息備份至同城的容災(zāi)機(jī)房，達(dá)到數(shù)據(jù)級(jí)容災(zāi)要求，實(shí)現(xiàn)應(yīng)用系統(tǒng)的同城異地容災(zāi)。二是同城登記備份。市檔案局建立了規(guī)范的登記備份中心，備份市級(jí)機(jī)關(guān)和區(qū)、縣（市）檔案館重要檔案數(shù)據(jù)。三是跨區(qū)域異地備份。市檔案局與大連市檔案局簽署了重要檔案數(shù)據(jù)異地備份協(xié)議，互為對(duì)方建立檔案?jìng)浞輲?kù)，定期實(shí)施重要檔案異地備份。

4.4 實(shí)施網(wǎng)絡(luò)安全事件應(yīng)急演練。市檔案局制定了《杭州市檔案局網(wǎng)絡(luò)安全事件管理制度》《杭州市檔案局網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案》，對(duì)網(wǎng)絡(luò)安全事件的分類分級(jí)、預(yù)防、報(bào)告、響應(yīng)、調(diào)查處理、整改等作了詳細(xì)規(guī)定；每年定期開展網(wǎng)絡(luò)安全事件應(yīng)急演練，每次應(yīng)急演練按照不同的應(yīng)急預(yù)案和演練目標(biāo)制定具體演練計(jì)劃，記錄演練過(guò)程、評(píng)估演練效果、總結(jié)演練經(jīng)驗(yàn)，并及時(shí)分析應(yīng)急演練中發(fā)現(xiàn)的不足和缺陷，據(jù)此修訂應(yīng)急預(yù)案，以適應(yīng)新形勢(shì)、新要求。

4.5 注重檔案數(shù)字化加工的信息安全。在檔案數(shù)字化外包工作中，市檔案局按照《檔案數(shù)字化外包安全管理規(guī)范》規(guī)定，嚴(yán)格審查檔案中介服務(wù)機(jī)構(gòu)的資質(zhì)、業(yè)績(jī)、人員，加強(qiáng)數(shù)字化加工設(shè)備、網(wǎng)絡(luò)、數(shù)據(jù)載體、場(chǎng)所管理，做好檔案數(shù)字化加工的日常管理和安全保密工作，確保檔案實(shí)體和數(shù)字化成果的安全。

5 加強(qiáng)檔案信息資源利用

市檔案局對(duì)檔案信息資源進(jìn)行分級(jí)管理，加強(qiáng)檔案開放鑒定，根據(jù)檔案信息資源開放等級(jí)，分不同網(wǎng)絡(luò)、信息系統(tǒng)進(jìn)行存儲(chǔ)、傳輸、管理，根據(jù)利用對(duì)象不同分層次開展利用，防止檔案信息資源被非法訪問(wèn)或越權(quán)訪問(wèn)。

6 推進(jìn)檔案安全監(jiān)督檢查工作

檔案安全監(jiān)督檢查是確保檔案信息安全責(zé)任得到落實(shí)和制度得到執(zhí)行的重要手段。各級(jí)檔案館要對(duì)自身的檔案安全承擔(dān)主體責(zé)任，還要對(duì)管轄區(qū)域內(nèi)各部門各單位的檔案安全承擔(dān)監(jiān)督責(zé)任。近年來(lái)，市檔案局對(duì)轄區(qū)內(nèi)市直單位檔案管理情況、檔案局（館）履職情況、檔案服務(wù)外包承攬企業(yè)檔案安全工作情況、重大建設(shè)項(xiàng)目檔案管理情況開展“雙隨機(jī)”檔案安全執(zhí)法檢查，認(rèn)真落實(shí)行政執(zhí)法責(zé)任制，督促各單位抓好安全工作，加強(qiáng)源頭治理和事前防控，堅(jiān)持抓早抓小，堅(jiān)持監(jiān)督檢查和整改提升并重，發(fā)現(xiàn)問(wèn)題及時(shí)整改。對(duì)發(fā)生重大檔案安全事故和存在重大安全隱患的單位，進(jìn)行嚴(yán)肅處理并通報(bào)，樹立檔案法律法規(guī)權(quán)威。