淺談“互聯(lián)網(wǎng)+”背景下檔案信息化的安全管理

文/上海市徐匯區(qū)大華醫(yī)院 蔡旻

世界著名咨詢公司麥肯錫最早提出：“數(shù)據(jù)已經(jīng)滲透到當今每一個行業(yè)和業(yè)務職能領域，成為重要的生產(chǎn)因素，預示了大數(shù)據(jù)時代已經(jīng)到來”。據(jù)國際數(shù)據(jù)公司（IDC）的研究報告稱，2011年全球被創(chuàng)建和被復制的數(shù)據(jù)總量為1.8ZB，并預測到2020年，全球將擁有35ZB（1ZB=10億TB）的數(shù)據(jù)量。信息化的快速發(fā)展、數(shù)據(jù)的大量流通，“互聯(lián)網(wǎng)+”時代是一個萬物互聯(lián)的大數(shù)據(jù)時代，但其背后暗藏著潛在風險，信息安全便是其中非常重要一個方面。在這個背景下，各地各級檔案館/檔案室的信息化建設也在不同程度推進中，檔案信息化也使檔案安全在“互聯(lián)網(wǎng)+”環(huán)境下呈現(xiàn)出一些新特點，電子檔案數(shù)量呈井噴式增長，同時，數(shù)字檔案資源從產(chǎn)生、保管到利用等環(huán)節(jié)的安全風險大大增加，因此必須加強針對數(shù)字檔案資源安全的研究，確保數(shù)字檔案資源的安全。

一、檔案信息化后數(shù)字檔案安全的內(nèi)容及特點

數(shù)字檔案安全主要包括數(shù)字檔案信息內(nèi)容的真實性、完整性、可用性、保密性，以及保護數(shù)字檔案資源實體的安全。大數(shù)據(jù)技術橫跨數(shù)據(jù)存儲、虛擬化、云計算、數(shù)據(jù)庫管理、并行計算和數(shù)據(jù)挖掘等多個技術領域，在檔案管理中引入此概念必將帶來工作和科研的多樣化發(fā)展，同時對檔案信息安全管理亦提出了新的要求。數(shù)字檔案在存儲、利用過程更易被泄露、更改或破壞。在“互聯(lián)網(wǎng)+”環(huán)境下，數(shù)字檔案資源安全呈現(xiàn)出許多新特點，其風險鏈、風險域和風險度都有了諸多新變化，呈現(xiàn)出隱蔽的關聯(lián)性、集群的風險性、泛在的模糊性、跨域的滲透性以及交叉的復雜性等特點。

（一）高度脆弱性。“互聯(lián)網(wǎng)+”的到來使得各行各業(yè)實現(xiàn)了完全意義上的“蜘蛛網(wǎng)”式的互聯(lián)，其中金融、電力、交通、衛(wèi)生、信息等行業(yè)尤為依賴網(wǎng)絡的安全性。同時，在網(wǎng)絡環(huán)境下，由于網(wǎng)絡結構的不安全性、網(wǎng)絡協(xié)議的脆弱性、網(wǎng)絡傳輸?shù)囊讛r截性和人為的疏忽，在網(wǎng)絡結構的各個層次都存在安全隱患。同時，隨著數(shù)據(jù)發(fā)掘的不斷深入和在各行業(yè)應用的不斷推進，大數(shù)據(jù)安全的“脆弱性”逐漸凸顯，國內(nèi)外數(shù)據(jù)泄露事件頻發(fā)，另外，在數(shù)據(jù)驅動環(huán)境下，網(wǎng)絡攻擊也更多地轉向存儲重要敏感信息的信息化系統(tǒng)，信息安全防護儼然成為大數(shù)據(jù)應用發(fā)展的一項重要課題。

（二）威脅的潛伏性和突發(fā)性。首先，網(wǎng)絡攻擊源呈現(xiàn)多樣性的特點，表現(xiàn)為攻擊對象的不確定性及攻擊源的彌漫性，“互聯(lián)網(wǎng)+”時代攻擊數(shù)字檔案資源的成本低、技術手段易獲取，在經(jīng)濟利益的驅使下，攻擊源呈現(xiàn)出彌漫性的趨勢，數(shù)據(jù)的泄露及損毀風險大大提高。另外，通過技術手段可經(jīng)由網(wǎng)絡系統(tǒng)對數(shù)字檔案資源數(shù)據(jù)進行動態(tài)跟蹤監(jiān)視，在必要時發(fā)起突然襲擊，這使得數(shù)字檔案資源的安全面臨極大挑戰(zhàn)。同時，大部分人對“互聯(lián)網(wǎng)+”環(huán)境下信息安全的意識仍未得到強化，對信息的安全防范意識不足，也是使得信息安全問題發(fā)生的可能性增大的因素之一。

（三）存在“蝴蝶效應”?！昂痹诰W(wǎng)絡中表現(xiàn)為即時擴散性?；ヂ?lián)網(wǎng)時代信息傳播速度快、規(guī)模大、影響范圍廣泛，在這樣的背景下，一旦發(fā)生數(shù)字檔案資源安全問題，相關信息會快速擴散出去，這嚴重阻礙了數(shù)字檔案資源建設工作，也使得檔案資源安全得不到保障。

（四）檔案信息化建設的“滯后性”。雖然很多檔案部門已經(jīng)建設了規(guī)模大小不等的數(shù)據(jù)庫，但都各自為政，缺乏統(tǒng)一性和整體性，而且標準化程度低，處于低水平重復建設，檔案數(shù)據(jù)無規(guī)范化控制，存在安全隱患；檔案信息化后，一些單位的網(wǎng)絡層級較多，各個層級均有不同程度的檔案查閱權限，這也對檔案的機密性、安全性帶來隱患；另外，網(wǎng)絡安全本身也存在滯后性，因為安全技術是在對抗中不斷發(fā)展的技術，不斷出現(xiàn)的應用安全問題推動著安全技術的發(fā)展，因此，它總是滯后的，正是這種滯后性存在巨大的安全隱患。

二、檔案信息化安全的主要內(nèi)容

《全國檔案事業(yè)發(fā)展“十三五”規(guī)劃綱要》明確指出：“強化檔案安全保障，確保檔案實體安全與信息安全”。檔案信息安全應主要包括以下幾個方面：一是維護信息內(nèi)容的原始性與真實性，確保在網(wǎng)絡環(huán)境下形成的數(shù)字檔案資源的內(nèi)容、結構、背景信息與原始狀態(tài)一致。二是保障信息內(nèi)容的完整性，保證數(shù)字檔案資源在存儲、利用過程中不被蓄意刪除、修改等。三是維護信息內(nèi)容的保密性，保障數(shù)字檔案信息資源在利用過程中不被非法竊取、信息內(nèi)容不被泄漏。四是保證信息的可用性，確保數(shù)字檔案資源的可讀性和系統(tǒng)兼容性，使數(shù)字檔案資源長期有效可用。

三、檔案信息化安全保障體系構想

隨著網(wǎng)絡時代的到來，檔案信息化、檔案利用的網(wǎng)絡化已成為檔案事業(yè)發(fā)展的重要方向，而網(wǎng)絡環(huán)境下的檔案信息安全保障體系建設自然而然地成為檔案事業(yè)的重要組成部分。數(shù)字檔案信息安全保障體系是以信息技術為支撐，對機構內(nèi)外產(chǎn)生的電子文件、檔案部門保存的電子檔案進行安全、嚴格、系統(tǒng)的組織和管理，以防止數(shù)字檔案在網(wǎng)絡傳輸、介質存儲和提供利用等過程中被故意或偶然的非法授權泄露、更改、破壞或使信息被非法系統(tǒng)識別、控制，從而確保數(shù)字檔案的保密性、完整性、有效性和憑證性。

縱覽國內(nèi)外各行業(yè)大數(shù)據(jù)建設實踐，構建檔案信息化平臺至少要做到以下方面的安全部署：一是檔案信息管理系統(tǒng)安全。隨著計算機及網(wǎng)絡技術的發(fā)展，數(shù)字化檔案管理方式在分布形式上從最初的單機版（C/S架構）到網(wǎng)絡版（B/S架構），如今已發(fā)展至最新的面向服務的數(shù)據(jù)平臺；在功能上則從單一的僅實現(xiàn)電子化掃描、搜索的簡單檔案管理軟件，到檔案管理軟件與OA系統(tǒng)互聯(lián)、整合，再到現(xiàn)今的將數(shù)字化檔案管理方式滲透到整個工作流的數(shù)據(jù)庫平臺。因此，檔案信息管理系統(tǒng)的安全在很大程度上決定了檔案信息的安全。檔案部門可以按照業(yè)務網(wǎng)絡的安全等級、實時性需求以及用途等評價指標，采用防火墻隔離技術、訪問控制、入侵檢測技術、數(shù)據(jù)加密、信息備份與恢復技術等增強網(wǎng)絡信息安全。同時，也可以使用一些網(wǎng)絡產(chǎn)品，比如DG圖文檔加密、VPN系統(tǒng)、安全管理中心、電子簽證等產(chǎn)品，增加檔案的保密程度。二是數(shù)據(jù)支持平臺安全。檔案數(shù)據(jù)管理部門需要全面、可視化的管理權限，可隨時監(jiān)管、分析基礎設施中發(fā)生的所有事項。同時，改善檔案管理的軟硬件設施，加大對檔案信息化管理平臺的開發(fā)建設，目前，檔案管理軟件較多，各家單位均投入了一定的資金和精力著力于檔案信息化建設，但基本都屬于摸著石頭過河的探索階段，同時，對于各類檔案管理類軟件均存在不同的優(yōu)劣勢，暫無一套完整、科學、統(tǒng)一的檔案管理平臺，且重復開發(fā)率高，呼吁出臺一套完整的適用性強的科學檔案管理平臺，以促進檔案資源的社會化及多元化利用。

除此之外，應增強檔案管理人員的綜合能力，并且建立集中統(tǒng)一的管理體系，檔案工作不是僅依靠檔案室工作人員就能做好的，檔案三級網(wǎng)絡內(nèi)所有人員均是檔案管理的重要一環(huán)，一是要加強安全意識，強化涉密人員保密意識的同時強化主體責任，對于任何一個管理人員出現(xiàn)問題的時候都要追究責任，從而增強意識，提高安全管理能力。二是要提升專業(yè)能力，檔案管理人員除了檔案專業(yè)知識以外，對于其全方位專業(yè)技能及素質，如計算機知識等也要綜合考量，做好定期培訓也是十分必要的。數(shù)字檔案的傳輸、利用便捷性大大提高，其風險性也隨之增大，因此保證檔案原始性方面的工作尤為重要。檔案管理人員要及時做好檔案資料的存儲、備份工作，除了供網(wǎng)絡使用的云存儲以外，光盤存儲、硬盤存儲備份等也是十分必要的，另外，當一種介質面臨淘汰時，要及時將數(shù)據(jù)轉移到新型的存儲介質中。同時，要建立檔案信息化資源的安全制度體系，建立健全人防、物防、技防“三位一體”的檔案安全防范體系，規(guī)范數(shù)字檔案的利用、存儲，不同層級的管理人員應設定不同的權限，相關查閱記錄要“有跡可循”，確保在“互聯(lián)網(wǎng)+”環(huán)境下，數(shù)字檔案資源的存儲、保管、利用等過程盡可能嚴格規(guī)范，并隨著信息化的發(fā)展，不斷查找發(fā)現(xiàn)問題，不斷完善更新信息安全技術，如不斷更新防火墻技術、建設網(wǎng)絡入侵檢測防御系統(tǒng)、病毒檢測系統(tǒng)等，更好地保證數(shù)字檔案的安全。