檔案信息安全治理對策分析

文/塔里木大學(xué)檔案館 王璐

“互聯(lián)網(wǎng)+”模式已經(jīng)成為各行各業(yè)發(fā)展的新趨勢，這既帶來了發(fā)展機遇，也使檔案管理面臨著前所未有的挑戰(zhàn)。其中關(guān)于檔案安全的問題尤為突出。面對錯綜復(fù)雜及快速更新迭代的局面，檔案信息的安全管理手段也要隨之多樣化，將技術(shù)手段、制度標準與實際工作結(jié)合起來，協(xié)同管理，最終才能取得良好的效果。

一、檔案信息安全技術(shù)的應(yīng)用

目前隨著計算機技術(shù)的發(fā)展和普及，信息化手段和數(shù)字化技術(shù)已在檔案管理中普遍應(yīng)用。信息技術(shù)無論在檔案收集、基本信息處理、內(nèi)容傳輸、檔案信息存儲還是后期查閱環(huán)節(jié)，都能大大提升工作精度和準確度。然而，在這些環(huán)節(jié)中，由于惡意盜竊、程序病毒和錯誤操作而導(dǎo)致信息丟失的風(fēng)險是不可避免的。檔案信息安全保護措施就是在這些問題出現(xiàn)后應(yīng)運而生。到目前為止，在檔案信息安全管理的過程中，最常用的技術(shù)手段有：

（一）數(shù)字簽名。數(shù)字簽名是將科學(xué)技術(shù)手段應(yīng)用于簽字技術(shù)中，確保文檔來自本人，并且內(nèi)容沒有被第三人所修改。常用的相關(guān)技術(shù)主要是證書式數(shù)字簽名和手寫數(shù)字簽名。證書式數(shù)字簽名是在不使用文檔簽名者個人公鑰的情況下，對發(fā)送的文檔進行加密，以便將內(nèi)容轉(zhuǎn)換為字母數(shù)字字符串，同時發(fā)送公鑰以使文檔生效，文件接收方利用公開秘鑰，通過特定的計算方式進行解碼，檢驗數(shù)字簽名的真?zhèn)危欢謱懯綌?shù)字簽名本質(zhì)上是利用文字處理軟件中存在的專用功能，使得文件發(fā)出者的個人簽名出現(xiàn)在接收方的屏幕上，也可以用壓敏筆簽在手寫輸入板上，這種通過硬件支持的方式采集的簽名與生活中在紙上的簽名是完全相同的。

（二）加密手段。加密手段可將文件的安全性大幅度提升。工作中的加密手段基于使用不同的要求采用不同的方式，在傳輸和接收的過程中，常規(guī)方式是采用“雙密鑰碼”來實現(xiàn)加密。其工作的方式是在公共網(wǎng)絡(luò)中的個體之間設(shè)置“私鑰”和“公鑰”兩個密鑰，一個是用于公開的解密密鑰，另一個是保密的加密密鑰。發(fā)送方發(fā)送帶有公鑰的電子版材料，接收方使用已掌握的對應(yīng)解密密鑰對材料進行解密操作后才可查看其具體的內(nèi)容。在此種模式和方式下，任何一方都可以使用自己的公鑰進行發(fā)送文件的操作，但只有收件人才能解開并查看文件的實際內(nèi)容，而非收件人只能查看到亂碼。

（三）身份認證。身份認證的技術(shù)主要是在系統(tǒng)內(nèi)拒絕向提供無隸屬關(guān)系的對象提供服務(wù)。例如在金融行業(yè)的安全系統(tǒng)中，用戶和密碼之間的設(shè)置就是身份驗證技術(shù)的常見應(yīng)用。在最初登錄管理系統(tǒng)時，首先必須由具有特定的用戶密碼或管理員的密碼進行授權(quán)操作。最基本的方法是依據(jù)不同角色的用戶，提供其一個由字母和數(shù)字組合而成的基礎(chǔ)密碼。用戶使用基礎(chǔ)密碼登錄，系統(tǒng)首次僅識別密碼。登錄后，還需要檢查如指紋、人臉識別等一些生物特征的具體資料，完全正確才能進入系統(tǒng)；如果檢查時出現(xiàn)問題，將發(fā)出警告或直接關(guān)閉登錄頁。

（四）防火墻。防火墻是一種用于控制訪問的技術(shù)。確切地說，就是要在內(nèi)部與外界之間，安裝一套檢測與攔截通信狀態(tài)的專用設(shè)備。其本質(zhì)是對來自外網(wǎng)的各種嘗試性非法操作進行監(jiān)測及攔截，同時還要對內(nèi)部傳輸?shù)母鞣N信息進行身份辨別。降低核心機密在傳輸過程中被意外獲取及披露的可能性。

二、檔案信息安全管理體系的設(shè)計

檔案安全管理體系在基礎(chǔ)搭建的過程中，需要檔案管理機構(gòu)和各類檔案用戶之間互相配合，共同設(shè)計和規(guī)劃。在某種程度上，包含了大量的基礎(chǔ)檔案信息的數(shù)據(jù)結(jié)構(gòu)。另外，還要考慮檔案用戶的各個層次的直觀需求，因此在架構(gòu)的選型上，綜合考量，優(yōu)先選擇B/S架構(gòu)（即瀏覽器和服務(wù)器的架構(gòu)模式），能更加良好地支持系統(tǒng)的遠程管理，而且可以滿足多數(shù)用戶同時上線的要求。檔案信息安全管理體系應(yīng)包含五個基本內(nèi)容：第一類是基礎(chǔ)信息管理，包括數(shù)據(jù)庫和用戶提示信息。在用戶信息中，主要內(nèi)容依據(jù)用戶角色的權(quán)限屬性和用戶對應(yīng)的類別來區(qū)分；第二類是系統(tǒng)各項備忘記錄，包括相關(guān)的聯(lián)系人和操作記錄；第三類是核心級別數(shù)據(jù)庫；第四類是管理工具，包括記事本等；第五類是制度管理，包括用戶設(shè)置、系統(tǒng)注銷和重新登錄。此外，檔案機構(gòu)還可以根據(jù)自身工作需要購買相應(yīng)的管理平臺，直接投入使用。

三、仍待完備的檔案信息安全業(yè)務(wù)規(guī)范

按照《檔案法》和檔案機構(gòu)相關(guān)管理制度的規(guī)定，制定詳細的網(wǎng)絡(luò)電纜線路、通信設(shè)備等基礎(chǔ)網(wǎng)絡(luò)設(shè)施施工管理流程，以及各種服務(wù)器、交換機等核心設(shè)備的使用及運維的規(guī)范管理，以保證檔案管理機構(gòu)在主機房和網(wǎng)絡(luò)之間運行的內(nèi)部文件信息系統(tǒng)能夠流暢操作，同時建立檔案管理機構(gòu)內(nèi)部用戶查閱檔案的相應(yīng)備案及操作規(guī)程，最終形成一套完整并且詳細的安全管理辦法。而對來自外部的公共信息，就要根據(jù)文件的屬性和機密級別對系統(tǒng)客戶端和服務(wù)器之間傳輸?shù)母鞣N信息進行加密操作。同時要對用戶的權(quán)限進行合理分配和調(diào)整，在方便的基礎(chǔ)上，賦予其相關(guān)的操作權(quán)限。

四、應(yīng)設(shè)計全面系統(tǒng)的相關(guān)法律體系

在數(shù)字檔案信息工作的安全管理中，首先要找到依托于法律的支持和規(guī)定。在實現(xiàn)各部門和各單位之間的密切合作關(guān)系中，各主體之間的地位應(yīng)符合法律法規(guī)的權(quán)力規(guī)定。這有利于整合法律意識，確保檔案信息的安全治理工作快速有效地進行。在現(xiàn)有的檔案信息安全治理的法律體系內(nèi)，其基本上包含有三個層次：即憲法—專門法—部門法。三個層次涉及憲法、信息安全專門法、檔案管理部門法。其中憲法給出了在檔案管理中的頂層設(shè)計的依據(jù)，主要包含有涉及維護國家安全和網(wǎng)絡(luò)安全以及包含國家機密和保密要求等方面的規(guī)定。而專門法是用于規(guī)范在互聯(lián)網(wǎng)上的各種信息行為。信息安全專門法包括《國際聯(lián)網(wǎng)管理辦法》《互聯(lián)網(wǎng)信息服務(wù)管理辦法》《保密法》《電子簽名法》《計算機病毒防治管理辦法》《信息安全保護等級管理辦法》。具體的應(yīng)用細節(jié)由部門法規(guī)劃，檔案管理部門法主要包括《檔案法》《紙質(zhì)檔案數(shù)字化規(guī)范》《檔案數(shù)字化外包安全管理規(guī)范》等。

五、利害崗位的分離機制

未來檔案存在的主要形式是數(shù)字檔案，組織信息和個人信息由電子載體攜帶。所以作為檔案管理機構(gòu)，要適應(yīng)內(nèi)部控制部門的發(fā)展，使各個單位、部門崗位都能各司其職，各負其責(zé)，保證在崗位分離的基礎(chǔ)上，即使工作職責(zé)有所區(qū)別，仍能使責(zé)任落實到位。這將促使后期形成一種在相互制約的基礎(chǔ)上，直接或間接的網(wǎng)狀利害關(guān)系，從而避免傳統(tǒng)崗位在兼職條件下，出現(xiàn)如信息泄露等相關(guān)的意外情況。例如，紙質(zhì)檔案和數(shù)字檔案應(yīng)該分開；內(nèi)部審計師不能是財務(wù)人員。同時應(yīng)避免出現(xiàn)身兼多職的情況出現(xiàn)，要采用多種方式的差異化管理，能在一定程度上避免同一對象持有多個位置或多項操作，從而防止各種惡意操作、篡改等事故發(fā)生。針對各種大型檔案管理系統(tǒng)，原則上更應(yīng)該嚴格要求對相關(guān)高級權(quán)限的崗位進行調(diào)整，實行權(quán)限交叉分配和深度分離。

六、業(yè)務(wù)流程程序的控制

內(nèi)部控制是所有組織必須做的基礎(chǔ)工作。它將有效利用所有部門和人員以及相應(yīng)的資源，促使各個主體之間互相監(jiān)督?？刂乒ぷ魃婕笆占约皫旆看鎯η闆r，也包括查詢借閱工作。在各種應(yīng)該注意的多項控制環(huán)節(jié)，采用多種方式和方法，可以保證檔案信息在相對安全的環(huán)境中工作，避免出現(xiàn)費時費力、利用效率不高的問題。在檔案信息收集的前期，應(yīng)密切注意信息的制作環(huán)節(jié)，在收集和下一步的管理以及最后的使用過程中，應(yīng)注重把握對信息的來源渠道以及信息的標準等建立考核和評價機制，切實保證所有控制都在制度規(guī)范內(nèi)，這是檔案信息安全管理工作的關(guān)鍵。

七、結(jié)語

我國社會經(jīng)濟水平在不斷提升，這就要求檔案事業(yè)要適應(yīng)新發(fā)展形勢，抓住新發(fā)展機遇。同時，放眼全世界，在信息化背景下，信息技術(shù)的應(yīng)用使檔案的載體形式發(fā)生了巨大的變化。檔案信息化建設(shè)需要進一步提高，這不但有益于公開檔案信息和共享檔案資源，還對檔案信息安全的要求更加嚴格。檔案信息安全作為檔案工作之底線，無疑是檔案工作之根基，決不容忽視檔案信息安全工作，紅線意識必須強化，確保檔案信息資源的管理和使用有序、完備。