浅谈电子文件信息安全风险管理

文/上海城投水务（集团）有限公司制水分公司 董晨颿

一、电子文件信息安全及风险管理概述

电子文件信息安全是保护电子文件信息在传输、存储和利用等过程中，不会遭到非法泄漏、更改、损坏，或被非法系统识别、控制、利用。保障电子文件信息价值不受损害、确保信息遭受最少的风险损失并获得最高的安全收益。

风险管理往往应用于金融、经济管理领域，是科学的管理理论和方法，旨在预防和降低经济损失，获取高额经济收益。正因为电子文件中具有多个安全风险因素，所以引入风险管理模式，是对保障电子文件信息安全的有利补充，能有效提升电子文件管理水平。

在本文中，电子文件信息安全的风险管理可以界定为：采取合理科学的风险管理方法和技术，以识别、评估并控制电子文件信息安全的风险，平衡风险、成本与效率之间的关系，以合理的成本尽可能减少风险事故的损失和对电子文件信息安全的不利影响，使风险最小化、损失最低化的管理活动。

从金融学、经济学的角度，建立科学的电子文件信息安全风险管理体系，可以分为风险规划、风险识别、风险评估、风险应对以及风险监控。

二、电子文件信息安全的风险因素分析

风险事故的发生受到风险因素的影响。在电子文件信息安全风险识别中，分析不同的风险原因和风险情况，从而掌握潜在风险的状况，为风险管理的后期阶段作好准备。

（一）质量要求风险因素。电子文件本身的特性使得其在管理过程中形成了特有的电子文件质量要求。“电子文件质量目标包括真实性、准确性、完整性、可读性、可用性、保密性、关联性、及时性、一致性等。”可见，如此严格的电子文件质量必然有所缺失，其风险会因要求复杂而产生变异和强化，电子文件信息安全的风险程度也会加大。

（二）技术风险因素。一是系统的安全隐患风险。计算机操作系统的设计一般着眼于增强数据处理的能力与效果，对于系统安全性要求仅仅只是一个附带的考量，导致操作系统容易产生较多的安全漏洞。而网络系统遭非法破坏更是由于互联网的安全自身缺少设防，使得木马病毒、恶意代码的入侵、用户数据被窃取、信息泄露、信息篡改、信息假冒等各种安全事件发生。二是电子文件长期存取存在风险。因为电子文件的长期保存与使用受到由硬件、软件和操作系统等组成的数字环境的严格控制。电子文件存储载体与传统纸质载体相比，对环境有更高的要求，但是载体的使用寿命却较短。目前常见的载体包括磁带、磁盘、光盘、硬盘等，易受日照、灰尘、强磁场、高温、潮湿等环境影响，发生变形、老化、霉变等情况。同时，在电子文件形成过程中，不同软件产生的大量非标准格式或是格式杂乱的文件，存储格式的不兼容也为信息共享和长期保存造成了障碍与风险。

（三）管理风险因素。一是管理上缺乏科学性和系统性。当前的电子文件信息安全管理中，面临安全认识缺失、风险意识薄弱、对安全风险认知出现偏差等问题。安全是一种动态过程，而安全风险事件则是一个随机的不确定的事件，如果机构组织人员不能从风险的视角来认识电子文件的安全，将会影响人们正确地认识安全形势和建立科学的风险观。同时，目前绝大多数管理措施只关注了电子文件载体本身的安全，或是侧重了保管和利用的过程，忽视了收集、鉴定和整理等环节中的风险研究等。电子文件信息安全管理在内容上缺乏了系统性。二是忽视了损失与成本之间的权衡。风险应对措施在实施时，不能以最小成本最低化风险，没有权衡风险、成本和效益三者之间的关系。有些档案管理部门并未对安全状况与安全要求加以仔细分析，为追求安全效果而不惜成本地引进大量新的安全产品和技术手段，但收获效果却并不大。而现有的管理措施也并不是最合理的解决办法。例如，双套制使电子文件成了纸质文档的数字化副本，其凭证性质也受到了置疑。当前的电子文件信息管理重在一个安全的状态，却忽视了通过风险评估找到风险、成本与效益之间的平衡点。

（四）人员风险因素。一方面，由于机构内部人员没有充分考虑电子文件信息的重要性与机密性对其经营活动产生的重大影响，在电子文件的流转、发布等程序中会由于个人过失而导致重要信息轻易暴露于风险当中。文件管理人员往往缺乏信息安全技术知识，在实际工作中难以发现问题或无法解决问题，而负责系统安全的技术人员对档案管理、电子文件的知识掌握不足，只有在风险成为现实后才采取相应措施进行补救，十分被动。另一方面，在快速发展的信息化网络时代，各类外部用户对电子文件的需求也逐渐增强。如果对用户需求没有进行全面分析和整体把握，便无法为公众提供服务利用。同时，也会出现不法分子蓄意破坏、黑客攻击的非法行为。对于这些防不胜防的程序高手，相关部门应该及时查处并正确引导，避免不必要的风险发生。

三、电子文件信息安全风险防范措施

风险应对是风险管理的核心，风险防范是风险应对的主动性应对措施，在风险事故发生之前尽量降低风险发生的概率。

（一）增强风险意识。增强电子文件信息安全风险意识，最重要的是机构内部的高层人员要正确认识和高度重视电子文件，主动克服对信息技术的不安与不适应心理，学习使用计算机等现代信息设备开展工作，对正确认识电子文件起到带头作用。同时，要采取各种方法传播风险管理的知识，加强风险管理意识。通过宣传让工作人员认识到，真实、完整、准确、可用的电子文件是保障信息化建设的关键性基础资源，相比传统载体类型的文件管理，作为新型载体的电子文件保存的风险更大，其形成、传输、利用越来越便利时，管理的风险也在增加。

（二）落实风险管理的实施。1.加强电子文件信息安全的风险管理原则。管理工作中，工作人员不仅应该遵守基本的电子文件全程管理原则和前端管理准则，还应该遵守风险管理的控制风险、成本与效益平衡的原则。体现在：一是电子文件信息不可能达到绝对的安全性，在采取所选择的风险控制后，总有残留的风险出现，这种残留风险要在可以承受的程度之内；二是执行和维护相关措施需要一定的经费开支，如果风险管理成本比电子文件信息安全受到威胁所带来的经济损失预估值还高，也是不可行的，要找寻其他控制风险的方法或者回避风险。2.完善电子文件信息安全的风险管理环节。首先，电子文件安全管理体系规划的制定，不是单纯依靠个人经验或是根据其他管理部门规划，而是要根据风险评估、风险监控实际状况来制定。其次，在电子文件信息安全风险评价的环节中，使用定性与定量的方式，从重要性、风险性等不同层次对所牵涉的风险与损失作出精确评估，为风险管理提供决策依据。考虑电子文件信息安全的风险应对措施时，不能只是对安全产品与技术进行堆叠，而是要从国家社会的宏观层次、上级主管的中观层级以及机构组织内部的微观层次最大限度减小风险损失。最后，应加强对电子文件系统整个生命周期的风险监控，及时监控残余风险、辨识新增风险。3.设计“电子文件信息安全风险登记表”。考虑到目前电子文件信息安全的风险管理无法推广到各个单位机构，那么可以先设计一份“电子文件信息安全风险登记表”，对电子文件信息安全的风险情况有个初步的认识。“电子文件信息安全风险登记表”可参考表1，表中有三个关键要素。一是文件重要程度。由永久、30年 （长期）、10年（短期）3种文件保管期限，对应设置高、中、低三种文件重要程度（对应数值3、2、1）。二是风险出现频率。设有一直存在、经常出现、一般出现、较少出现、不出现五种频率（对应数值5、4、3、2、1）。三是风险损失的影响等级。分为无法弥补、影响显著、影响有限、影响极小、几乎无影响（对应数值5、4、3、 2、1）。

表1 电子文件信息安全风险登记表

风险值的计算是由文件重要程度、风险出现频率、风险损失的影响等级所对应的三个数值相乘得到，计算得的数值越小，风险值越低，数值越高，风险值越高。此表的数据记录有助于风险值的计算，能让文件管理人员初步了解电子文件信息安全的情况和风险级别的高低，根据风险值的计算结果，适当施行风险应急计划或是风险应对措施。

（三）构建信息安全技术支持。信息安全技术对保障电子文件信息内容的原始性、真实性、可用性和安全性，有着至关重要的作用。除了防写只读、防火墙、身份认证和密钥加密等常规技术外，还要加大使用包括签署技术、生物识别技术、操作系统安全内核技术等更多安全技术。同时，针对不同的信息内容分别设置安全级别。例如，对于机密信息，应采用加密技术、PKI技术或者生物识别技术，保障数据的机密性、完整性；对业务信息系统可以通过防火墙、访问控制等安全措施来保护。此外，还必须加强对重要信息的数据备份工作，如果整个系统发生瘫痪，必须能够提供一个简单、高效的方法来还原整个系统中的参数、数据信息等。最后，还必须重视并选择拥有自主知识产权的安全技术，加强安全技术产品的研制工作和技术创新。

（四）加强管理体系全面建设。电子文件信息安全管理是专业性、技术性、综合性都很强的工作。一是要加强领导、统一思想，建立健全相应的管理机构，并纳入机构常规管理工作中。二是建立岗位责任制，严格划分人员责任权限。明确专门的分管领导，设置专门人员负责处理日常风险管理事务，以确保风险管理机制长效运作。并加强多部门的共同协作，包括行政部门、文件形成部门、档案管理部门、信息技术部门及具体工作人员，均须明确他们在管理活动中的职责。三是制定电子文件信息安全风险全过程管理模式，明确管理战略目标，划定风险管理的工作重点和要求，对日常操作维护、文档管理等进行统一管理，并定期分析风险管理的实施进程，及时解决问题。四是针对特殊情况应成立专项小组进行处理，比如成立专门的攻关小组对待档案信息化建设中的高难度安全问题；成立应急安全管理小组处理突发事件，健全各项应急措施和应急制度，提高系统抗攻击、抗灾害能力。

（五）重视培养专业人才队伍。电子文件信息安全管理需要配备一支高素质的复合型人才队伍。建设人才队伍，除了增强风险意识，还要加大宣传力度，可以采取以下几点措施：一是加强档案人员学习培训。负责电子文件管理的档案人员要加强学习并掌握信息技术安全的相关知识，要具备处理常见问题的能力。二是推行文件管理资格认证制度。实施职业资格认证相关制度，选拔熟悉业务、有经验懂技术、工作责任心强、保密意识强的管理人员，促进电子文件管理的进步发展。三是引进相关专业人才。为扩大人才队伍，可以招聘各高校档案专业的毕业生，招集有业务管理专业背景的人员，或者有针对性地吸收计算机专业人员，进一步提高队伍的专业水平。同时，还可以聘请档案专业的教授专家，更好地指导电子文件的各项工作。

四、结语

电子文件管理已经成为当今档案信息化建设的重要内容。尽管各专家学者都在努力抓好电子文件管理，但由于对电子文件特性的不了解、管理不科学或是技术障碍，依旧会导致安全事故频发。如果一些记录着重要历史事件的电子文件信息发生丢失、损毁或者无法证实其原始性、真实性的情况，不仅会影响国家和各级机构现行工作、活动的质量和效率，更会造成社会记忆空白，遗失历史原貌。在此，希望各级文件管理工作者、档案学者和相关机构，在日后更加重视电子文件信息安全的风险管理，促进电子文件信息安全建设能够进一步完善、科学、规范并有所突破，促进我国档案信息化建设事业可持续发展。