企業(yè)檔案信息安全風(fēng)險要素識別與控制

陸塵香

摘要：以H企業(yè)為例，在調(diào)研的基礎(chǔ)上對企業(yè)檔案信息面臨的風(fēng)險要素進(jìn)行識別，總結(jié)出組織風(fēng)險要素包括企業(yè)重視程度低和檔案安全管理制度缺失；人員風(fēng)險要素包括檔案管理崗位人員流動性大造成檔案泄密和員工檔案安全管理意識弱；技術(shù)風(fēng)險要素包括信息系統(tǒng)、硬件故障和電子文件安全保障技術(shù)不成熟。提出從制度、管理、技術(shù)三個層面三管齊下對風(fēng)險要素進(jìn)行有效控制，制度層次包括檔案信息安全管理制度的建立健全和適用；管理層次包括進(jìn)行分級管理、人員管理和動態(tài)管理；技術(shù)層次包括信息安全技術(shù)的應(yīng)用和更新。

關(guān)鍵詞：企業(yè)檔案信息安全風(fēng)險識別風(fēng)險控制

企業(yè)檔案是企業(yè)知識資產(chǎn)和信息資源的重要組成部分，[1]是企業(yè)各方面活動的真實記錄，對企業(yè)市場活力提升、制度改革和文化建設(shè)等有至關(guān)重要作用。企業(yè)檔案信息安全管理是企業(yè)安全管理的重要組成部分，提前識別企業(yè)檔案信息管理存在的安全風(fēng)險，有利于采取有效控制手段規(guī)避風(fēng)險，促進(jìn)企業(yè)檔案安全管理建設(shè)，防患于未然。本文以H企業(yè)為例，在調(diào)研基礎(chǔ)上探討企業(yè)檔案信息存在的安全風(fēng)險及控制手段。

一、H企業(yè)概況

H企業(yè)成立于2013年，主要經(jīng)營金融板塊、產(chǎn)業(yè)發(fā)展板塊、城市功能性設(shè)施板塊和出資人板塊等四大業(yè)務(wù)板塊，是戰(zhàn)略性投資的融資平臺和產(chǎn)業(yè)項目、城市功能性項目的先行戰(zhàn)略投資者。[2]隨著公司的發(fā)展壯大，檔案數(shù)量呈現(xiàn)指數(shù)級增長趨勢。H企業(yè)檔案工作實行二級管理制，第一級管理是指由公司綜合部負(fù)責(zé)統(tǒng)籌管理全公司的文書檔案工作，第二級管理是指各部門負(fù)責(zé)本部門的檔案資料使用管理工作。綜合部的檔案按文書、科技、財務(wù)、人事、聲像、實體6種檔案類別進(jìn)行分類整理，公司用OA系統(tǒng)對電子文件進(jìn)行日常管理，將部分重要的紙質(zhì)檔案進(jìn)行數(shù)字化掃描，加以保存。

二、企業(yè)檔案信息安全風(fēng)險要素識別

企業(yè)檔案信息安全風(fēng)險要素識別是對企業(yè)檔案信息安全管理工作中存在的薄弱環(huán)節(jié)進(jìn)行確認(rèn)。[3]在對H企業(yè)調(diào)研的基礎(chǔ)上，將其所面臨的企業(yè)檔案信息安全風(fēng)險要素劃分為組織風(fēng)險要素、人員風(fēng)險要素與技術(shù)風(fēng)險要素。

（一）組織風(fēng)險要素

一是，企業(yè)重視程度低。企業(yè)檔案信息效益的產(chǎn)生具有隱蔽性和延遲性，隱蔽性即檔案部門投入清晰性和收益模糊性之間的矛盾，延遲性即檔案工作的效益要在很長一段時間后才可能顯現(xiàn)。[4]企業(yè)檔案信息無法快速創(chuàng)造經(jīng)濟(jì)效益的特點使企業(yè)對其重視程度較低，檔案信息安全管理投入的資金、人力較少。以H企業(yè)為例，文書檔案工作人員僅一人且為兼管人員，檔案管理投入資金少，專門存放檔案的檔案柜和檔案安全管理設(shè)備至今尚未配備，檔案信息安全管理專業(yè)技術(shù)人員、設(shè)施設(shè)備的缺乏給企業(yè)檔案信息安全帶來了巨大風(fēng)險。

二是，檔案安全管理制度缺失。企業(yè)迫切需要的檔案安全開發(fā)、利用及電子文件長期保存等相關(guān)標(biāo)準(zhǔn)尚未制定，且存在與企業(yè)檔案工作實際相脫節(jié)的情況。[5]以H企業(yè)為例，企業(yè)成立至今已4年，但尚未建立健全的檔案安全管理制度體系。面對企業(yè)檔案數(shù)量劇增與檔案安全管理制度缺失之間的尖銳矛盾，企業(yè)檔案工作者在處理文檔工作時無章可循，業(yè)務(wù)工作缺乏規(guī)范性，企業(yè)檔案信息安全管理工作缺乏制度的監(jiān)督約束，檔案信息安全缺口隨之?dāng)U大。

（二）人員風(fēng)險要素

企業(yè)檔案管理崗位人員流動性大是造成檔案泄密的主要原因。檔案工作者的信息安全意識和素質(zhì)水平會直接影響檔案信息的安全。[6]以H企業(yè)為例，專職人員自2013年來更換了4人，企業(yè)檔案管理崗位人員可直接接觸記錄企業(yè)生產(chǎn)經(jīng)營、戰(zhàn)略發(fā)展及科研技術(shù)等重要檔案信息，隨著企業(yè)人員離職跳槽向其他公司、行業(yè)流動，這部分涉及原企業(yè)商業(yè)機(jī)密的檔案信息極可能隨之外泄。

企業(yè)員工檔案安全管理意識弱也會帶來安全風(fēng)險。譬如，各部門檔案收集移交不及時，會對企業(yè)檔案信息的完整性帶來風(fēng)險；各部門在檔案整理、利用中造成檔案載體損毀對企業(yè)檔案信息的可用性帶來風(fēng)險；企業(yè)人員出于自身利益篡改檔案信息內(nèi)容，給企業(yè)檔案信息的真實性帶來風(fēng)險等。

（三）技術(shù)風(fēng)險要素

一是，信息系統(tǒng)及硬件故障。信息系統(tǒng)不穩(wěn)定會導(dǎo)致檔案信息數(shù)據(jù)丟失與損壞，硬件設(shè)施故障也會給檔案信息安全帶來風(fēng)險。以H企業(yè)為例，公司日常行文均通過OA系統(tǒng)實現(xiàn)，OA系統(tǒng)中流轉(zhuǎn)大量企業(yè)管理信息，H企業(yè)的OA系統(tǒng)分別于2015年8月及2016年3月出現(xiàn)異常引起系統(tǒng)崩潰，導(dǎo)致部分企業(yè)信息數(shù)據(jù)丟失且無法恢復(fù)。

二是，電子文件安全保障技術(shù)不成熟。如何保證企業(yè)檔案系統(tǒng)中電子檔案的安全，是現(xiàn)階段企業(yè)檔案安全管理的重難點。企業(yè)電子文件信息安全保障技術(shù)不成熟，會危及電子文件安全和正常運用。一旦系統(tǒng)遭遇病毒、黑客侵?jǐn)_或信息載體物理損傷、外圍設(shè)備技術(shù)障礙等，都會給電子文件帶來無可挽回的損失。

三、企業(yè)檔案信息安全風(fēng)險控制對策

（一）從制度層面進(jìn)行控制

1.企業(yè)檔案信息安全管理制度的建立健全。健全的企業(yè)檔案信息安全管理制度應(yīng)包括以下幾個方面：一是，企業(yè)檔案日常安全管理制度，如檔案保密制度、檔案安全檢查制度和檔案安全追責(zé)制度等，明確企業(yè)各部門、人員的職責(zé)，建立檔案信息安全管理的長效機(jī)制；二是，企業(yè)電子文件安全管理制度，確保電子檔案信息存儲、讀取、利用過程的安全可靠；三是，應(yīng)急響應(yīng)制度，建立檔案信息安全應(yīng)急預(yù)案，提高企業(yè)檔案管理部門應(yīng)對自然災(zāi)害及突發(fā)事件的能力；四是，應(yīng)急處理制度，對企業(yè)檔案信息安全風(fēng)險發(fā)生后，能在第一時間采取相應(yīng)措施進(jìn)行處理，將風(fēng)險損失降至最低。

2.企業(yè)檔案信息安全管理制度的適用。以企業(yè)檔案信息安全管理制度的適用來實現(xiàn)對檔案信息安全風(fēng)險控制，主要從以下兩個方面著手：一方面，不同企業(yè)形成的檔案信息各有特點，安全保障要求各有不同，企業(yè)應(yīng)根據(jù)本單位檔案信息安全保障的實際需求，制定符合本企業(yè)特點與需求的檔案信息安全管理制度。另一方面，企業(yè)檔案信息安全風(fēng)險要素具有動態(tài)性，企業(yè)檔案信息安全管理制度應(yīng)隨著新技術(shù)、新風(fēng)險的出現(xiàn)不斷完善和更新，保證檔案信息安全管理制度在多變的信息安全風(fēng)險環(huán)境中的適用性。endprint

3.企業(yè)檔案信息安全管理制度的執(zhí)行。檔案工作者是規(guī)章制度的執(zhí)行者，執(zhí)行力度的大小關(guān)系到檔案安全管理工作水平。[7]首先，企業(yè)應(yīng)嚴(yán)格要求檔案工作者照章管理檔案，自上而下確保檔案信息安全管理制度的執(zhí)行，將制度的執(zhí)行納入企業(yè)管理運行程序，將公司檔案管理納入制度化軌道。其次，企業(yè)管理層要監(jiān)督企業(yè)檔案信息安全管理制度的執(zhí)行情況，將制度的執(zhí)行與員工績效考核掛鉤，定期對制度的執(zhí)行情況進(jìn)行評估并根據(jù)評估結(jié)果進(jìn)行相應(yīng)的獎懲。

（二）從管理層面進(jìn)行控制

1.分級管理。分級管理即對企業(yè)檔案信息和風(fēng)險控制消減等工作進(jìn)行安全等級評定，以最少的成本投入獲得最大的檔案信息安全保障效果。企業(yè)可根據(jù)檔案信息對企業(yè)生產(chǎn)發(fā)展作用價值大小、涉密與否來劃分重點檔案和普通檔案。企業(yè)檔案中涉及企業(yè)商業(yè)機(jī)密，記錄企業(yè)核心競爭力信息的這部分檔案是企業(yè)發(fā)展的重要戰(zhàn)略資源，如企業(yè)的項目檔案、科技檔案、客戶資料以及反映企業(yè)發(fā)展歷程的重大事件相關(guān)檔案等，可劃分為重點檔案，其余日常業(yè)務(wù)工作中形成的文書檔案等可劃分為普通檔案。在對所有檔案進(jìn)行安全管理的同時，對重點檔案信息的安全進(jìn)行重點監(jiān)控，不同重要等級的檔案進(jìn)行分級管理。

2.人員管理。通過人員管理來控制企業(yè)檔案信息安全風(fēng)險的方式有：第一，倡導(dǎo)員工終身學(xué)習(xí)，針對企業(yè)檔案信息安全內(nèi)涵的拓展、風(fēng)險要素的類型、應(yīng)對風(fēng)險的技術(shù)等內(nèi)容定期開展檔案信息安全管理培訓(xùn)，豐富企業(yè)員工檔案信息安全保護(hù)理論知識，提高檔案信息安全保護(hù)技能水平。第二，注重對企業(yè)員工職業(yè)道德的培養(yǎng)，使守護(hù)企業(yè)檔案信息安全，嚴(yán)守企業(yè)檔案機(jī)密信息的崗位職責(zé)內(nèi)化為員工的職業(yè)道德。第三，注重企業(yè)文化的建設(shè)，培養(yǎng)員工對企業(yè)的認(rèn)同感和歸屬感，減少因員工離職或跳槽而造成企業(yè)機(jī)密檔案信息泄露。

3.動態(tài)管理。企業(yè)檔案信息安全是企業(yè)生產(chǎn)經(jīng)營安全的重要組成部分，伴隨企業(yè)生存發(fā)展的始終。[8]檔案安全管理面臨的各類風(fēng)險要素中，每種要素都處于不斷變化之中，某一要素的變化會引起其他要素的聯(lián)動變化。[9]因此企業(yè)應(yīng)對檔案信息安全實施動態(tài)管理，即隨著新的風(fēng)險點的產(chǎn)生，相應(yīng)的保護(hù)方案、制度也應(yīng)隨之保持動態(tài)發(fā)展。此外，動態(tài)管理還體現(xiàn)在與外界的動態(tài)關(guān)聯(lián)上，企業(yè)要與外部社會環(huán)境保持良好溝通聯(lián)系，及時掌握檔案信息風(fēng)險變化的新動態(tài)。

（三）從技術(shù)層面進(jìn)行控制

1.檔案信息安全技術(shù)的應(yīng)用。信息安全技術(shù)指用于保障信息、信息系統(tǒng)和網(wǎng)絡(luò)安全的技術(shù)。[10]檔案信息安全技術(shù)是電子檔案信息安全的有力保障，企業(yè)可針對不同安全屬性的檔案信息采用不同的信息安全技術(shù)。在數(shù)據(jù)安全技術(shù)、網(wǎng)絡(luò)安全技術(shù)和檔案管理系統(tǒng)用戶安全技術(shù)等方面強(qiáng)化保護(hù)措施，運用信息技術(shù)提高企業(yè)檔案工作效率的同時，也保證企業(yè)檔案信息的安全。

2.檔案信息安全技術(shù)的更新。檔案信息安全建設(shè)是基礎(chǔ)性的長期工作，構(gòu)建全面、能力可持續(xù)增長的安全防御體系才能保證檔案信息系統(tǒng)的長期安全穩(wěn)定運行。[11]檔案信息安全技術(shù)是不斷發(fā)展的，企業(yè)應(yīng)及時了解和掌握最新的計算機(jī)病毒、黑客技術(shù)等檔案信息存在的潛在風(fēng)險，關(guān)注信息技術(shù)的更新動態(tài)，確保企業(yè)應(yīng)用的檔案信息安全技術(shù)與時俱進(jìn)，為企業(yè)檔案信息安全保駕護(hù)航。

四、結(jié)論

企業(yè)檔案信息安全是企業(yè)生產(chǎn)經(jīng)營安全的重要組成部分，伴隨企業(yè)生存發(fā)展的始終。人員風(fēng)險要素、組織風(fēng)險要素與技術(shù)風(fēng)險要素三者綜合構(gòu)成威脅企業(yè)檔案信息安全的風(fēng)險要素，為保障企業(yè)檔案信息安全必須從管理、制度、技術(shù)三個層面三管齊下對這些風(fēng)險要素進(jìn)行有效控制，深入貫徹“預(yù)防為主，防治結(jié)合”的方針，保障企業(yè)檔案信息安全無虞，讓企業(yè)檔案信息更好地服務(wù)于企業(yè)的發(fā)展。

參考文獻(xiàn)：

[1]DA/T 42—2009.企業(yè)檔案工作規(guī)范[S].

[2]中國—馬來西亞欽州產(chǎn)業(yè)園區(qū)工管委辦公室.中國—馬來西亞欽州產(chǎn)業(yè)園區(qū)簡介[EB/OL].[2017-11-01].http：//www.qip.gov.cn/News/Detail/d3ad5db6- 9c0e- 435aa290-9f91a75beecc.

[3]張霞.檔案安全風(fēng)險評價指標(biāo)的建立及其實現(xiàn)[J].青海師范大學(xué)學(xué)報（哲學(xué)社會科學(xué)版），2014（2）：165-167.

[4]馮惠玲，張輯哲.檔案學(xué)概論[M].北京：中國人民大學(xué)出版社，2006：107-108.

[5]康旭冉.企業(yè)檔案安全保障體系建設(shè)研究[D].河北大學(xué)，2014：6.

[6]宗文萍.基于價值鏈理論的檔案信息安全管理[J].檔案學(xué)研究，2015（1）：34-36.

[7][9]張錦云，秦壘.基于動態(tài)風(fēng)險評估視角的檔案安全管理研究[J].浙江檔案，2017（2）：11-13.

[8]吳緒成.企業(yè)檔案信息安全策略簡論[J].中國檔案， 2012（4）：62.

[10]聶云霞，張加欣，甘敏.信息生態(tài)視域下數(shù)字檔案用戶信息安全保障系統(tǒng)構(gòu)建研究[J].檔案學(xué)研究，2017（1）： 66-72.

[11]朱瑜，王冉，程喜.“互聯(lián)網(wǎng)+”下檔案信息化安全建設(shè)研究[J].檔案學(xué)研究，2017（1）： 73-76.

作者單位：廣西民族大學(xué)管理學(xué)院endprint