檔案信息安全治理對策分析

文/塔里木大學檔案館 王璐

“互聯網+”模式已經成為各行各業發展的新趨勢，這既帶來了發展機遇，也使檔案管理面臨著前所未有的挑戰。其中關于檔案安全的問題尤為突出。面對錯綜復雜及快速更新迭代的局面，檔案信息的安全管理手段也要隨之多樣化，將技術手段、制度標準與實際工作結合起來，協同管理，最終才能取得良好的效果。

一、檔案信息安全技術的應用

目前隨著計算機技術的發展和普及，信息化手段和數字化技術已在檔案管理中普遍應用。信息技術無論在檔案收集、基本信息處理、內容傳輸、檔案信息存儲還是后期查閱環節，都能大大提升工作精度和準確度。然而，在這些環節中，由于惡意盜竊、程序病毒和錯誤操作而導致信息丟失的風險是不可避免的。檔案信息安全保護措施就是在這些問題出現后應運而生。到目前為止，在檔案信息安全管理的過程中，最常用的技術手段有：

（一）數字簽名。數字簽名是將科學技術手段應用于簽字技術中，確保文檔來自本人，并且內容沒有被第三人所修改。常用的相關技術主要是證書式數字簽名和手寫數字簽名。證書式數字簽名是在不使用文檔簽名者個人公鑰的情況下，對發送的文檔進行加密，以便將內容轉換為字母數字字符串，同時發送公鑰以使文檔生效，文件接收方利用公開秘鑰，通過特定的計算方式進行解碼，檢驗數字簽名的真偽；而手寫式數字簽名本質上是利用文字處理軟件中存在的專用功能，使得文件發出者的個人簽名出現在接收方的屏幕上，也可以用壓敏筆簽在手寫輸入板上，這種通過硬件支持的方式采集的簽名與生活中在紙上的簽名是完全相同的。

（二）加密手段。加密手段可將文件的安全性大幅度提升。工作中的加密手段基于使用不同的要求采用不同的方式，在傳輸和接收的過程中，常規方式是采用“雙密鑰碼”來實現加密。其工作的方式是在公共網絡中的個體之間設置“私鑰”和“公鑰”兩個密鑰，一個是用于公開的解密密鑰，另一個是保密的加密密鑰。發送方發送帶有公鑰的電子版材料，接收方使用已掌握的對應解密密鑰對材料進行解密操作后才可查看其具體的內容。在此種模式和方式下，任何一方都可以使用自己的公鑰進行發送文件的操作，但只有收件人才能解開并查看文件的實際內容，而非收件人只能查看到亂碼。

（三）身份認證。身份認證的技術主要是在系統內拒絕向提供無隸屬關系的對象提供服務。例如在金融行業的安全系統中，用戶和密碼之間的設置就是身份驗證技術的常見應用。在最初登錄管理系統時，首先必須由具有特定的用戶密碼或管理員的密碼進行授權操作。最基本的方法是依據不同角色的用戶，提供其一個由字母和數字組合而成的基礎密碼。用戶使用基礎密碼登錄，系統首次僅識別密碼。登錄后，還需要檢查如指紋、人臉識別等一些生物特征的具體資料，完全正確才能進入系統；如果檢查時出現問題，將發出警告或直接關閉登錄頁。

（四）防火墻。防火墻是一種用于控制訪問的技術。確切地說，就是要在內部與外界之間，安裝一套檢測與攔截通信狀態的專用設備。其本質是對來自外網的各種嘗試性非法操作進行監測及攔截，同時還要對內部傳輸的各種信息進行身份辨別。降低核心機密在傳輸過程中被意外獲取及披露的可能性。

二、檔案信息安全管理體系的設計

檔案安全管理體系在基礎搭建的過程中，需要檔案管理機構和各類檔案用戶之間互相配合，共同設計和規劃。在某種程度上，包含了大量的基礎檔案信息的數據結構。另外，還要考慮檔案用戶的各個層次的直觀需求，因此在架構的選型上，綜合考量，優先選擇B/S架構（即瀏覽器和服務器的架構模式），能更加良好地支持系統的遠程管理，而且可以滿足多數用戶同時上線的要求。檔案信息安全管理體系應包含五個基本內容：第一類是基礎信息管理，包括數據庫和用戶提示信息。在用戶信息中，主要內容依據用戶角色的權限屬性和用戶對應的類別來區分；第二類是系統各項備忘記錄，包括相關的聯系人和操作記錄；第三類是核心級別數據庫；第四類是管理工具，包括記事本等；第五類是制度管理，包括用戶設置、系統注銷和重新登錄。此外，檔案機構還可以根據自身工作需要購買相應的管理平臺，直接投入使用。

三、仍待完備的檔案信息安全業務規范

按照《檔案法》和檔案機構相關管理制度的規定，制定詳細的網絡電纜線路、通信設備等基礎網絡設施施工管理流程，以及各種服務器、交換機等核心設備的使用及運維的規范管理，以保證檔案管理機構在主機房和網絡之間運行的內部文件信息系統能夠流暢操作，同時建立檔案管理機構內部用戶查閱檔案的相應備案及操作規程，最終形成一套完整并且詳細的安全管理辦法。而對來自外部的公共信息，就要根據文件的屬性和機密級別對系統客戶端和服務器之間傳輸的各種信息進行加密操作。同時要對用戶的權限進行合理分配和調整，在方便的基礎上，賦予其相關的操作權限。

四、應設計全面系統的相關法律體系

在數字檔案信息工作的安全管理中，首先要找到依托于法律的支持和規定。在實現各部門和各單位之間的密切合作關系中，各主體之間的地位應符合法律法規的權力規定。這有利于整合法律意識，確保檔案信息的安全治理工作快速有效地進行。在現有的檔案信息安全治理的法律體系內，其基本上包含有三個層次：即憲法—專門法—部門法。三個層次涉及憲法、信息安全專門法、檔案管理部門法。其中憲法給出了在檔案管理中的頂層設計的依據，主要包含有涉及維護國家安全和網絡安全以及包含國家機密和保密要求等方面的規定。而專門法是用于規范在互聯網上的各種信息行為。信息安全專門法包括《國際聯網管理辦法》《互聯網信息服務管理辦法》《保密法》《電子簽名法》《計算機病毒防治管理辦法》《信息安全保護等級管理辦法》。具體的應用細節由部門法規劃，檔案管理部門法主要包括《檔案法》《紙質檔案數字化規范》《檔案數字化外包安全管理規范》等。

五、利害崗位的分離機制

未來檔案存在的主要形式是數字檔案，組織信息和個人信息由電子載體攜帶。所以作為檔案管理機構，要適應內部控制部門的發展，使各個單位、部門崗位都能各司其職，各負其責，保證在崗位分離的基礎上，即使工作職責有所區別，仍能使責任落實到位。這將促使后期形成一種在相互制約的基礎上，直接或間接的網狀利害關系，從而避免傳統崗位在兼職條件下，出現如信息泄露等相關的意外情況。例如，紙質檔案和數字檔案應該分開；內部審計師不能是財務人員。同時應避免出現身兼多職的情況出現，要采用多種方式的差異化管理，能在一定程度上避免同一對象持有多個位置或多項操作，從而防止各種惡意操作、篡改等事故發生。針對各種大型檔案管理系統，原則上更應該嚴格要求對相關高級權限的崗位進行調整，實行權限交叉分配和深度分離。

六、業務流程程序的控制

內部控制是所有組織必須做的基礎工作。它將有效利用所有部門和人員以及相應的資源，促使各個主體之間互相監督。控制工作涉及收集以及庫房存儲情況，也包括查詢借閱工作。在各種應該注意的多項控制環節，采用多種方式和方法，可以保證檔案信息在相對安全的環境中工作，避免出現費時費力、利用效率不高的問題。在檔案信息收集的前期，應密切注意信息的制作環節，在收集和下一步的管理以及最后的使用過程中，應注重把握對信息的來源渠道以及信息的標準等建立考核和評價機制，切實保證所有控制都在制度規范內，這是檔案信息安全管理工作的關鍵。

七、結語

我國社會經濟水平在不斷提升，這就要求檔案事業要適應新發展形勢，抓住新發展機遇。同時，放眼全世界，在信息化背景下，信息技術的應用使檔案的載體形式發生了巨大的變化。檔案信息化建設需要進一步提高，這不但有益于公開檔案信息和共享檔案資源，還對檔案信息安全的要求更加嚴格。檔案信息安全作為檔案工作之底線，無疑是檔案工作之根基，決不容忽視檔案信息安全工作，紅線意識必須強化，確保檔案信息資源的管理和使用有序、完備。