档案信息安全保护研究

档案信息安全保护研究（精选12篇）

档案信息安全保护研究 篇1

随着我国信息化建设步伐的加快,高校传统的档案管理模式已不能适应新形势发展的需要,数字档案馆建设问题已提上议事日程,有的已实现了档案数字化管理和利用。信息技术给我们带来方便的同时,也带来了安全隐患。据统计,全国计算机网络泄密案件呈逐年增长趋势。面对如此严峻的形势,高校档案工作者应如何应对,笔者认为,做好以下几方面工作是关键。

一、抓好两个管理

1.文档一体化管理。文档一体化管理是保障档案信息安全的重要举措。因为,它不仅使电子文件归档过程变得简单、快捷、自动化程度高,而且,由于电子文件与档案目录数据库同步管理,减少了人工干预,大大增强了归档安全性和规范性。工作中,高校要从档案管理实际出发,逐步实现从文件生成到档案归档全过程管理,保证文件内容的完整性、元数据数据结构的一致性。包括文档实体生成一体化、文档管理一体化、文档信息利用一体化、文档规范一体化等。使工作中文件的收发、登记、运转、承办、催办以及文件的收集、整理、立卷和归档、利用、统计形成一个有序的整体,从而达到文件处理精炼化、完成案卷系统化、查找利用标准化。

2.档案数字化管理。档案数字化管理,是信息时代背景下档案工作面临的一大挑战,需要建立强大的安全保障体系作支撑。安全保障体系建设是一项复杂而庞大的系统工程,主要由五个要素组成:法制标准保障建设、基础设施保障建设、组织管理保障建设、安全技术保障建设和灾难恢复机制保障建设等。高校在档案数字化管理过程中,要以法制标准为重要手段,以安全设施为基础,在整体安全策略和安全组织管理之下,采用国内外先进成熟的安全技术,制定统一的备份恢复策略,建立完备的综合防范机制,保障档案信息安全、可靠、有序、高效地运行。目前,高校档案数字化管理仍处于初级阶段,面临大量馆藏纸质档案数字化问题,由于人员少,一般都采取外包形式,这也是造成档案信息安全隐患不可忽视的因素。外包时,一要签订保密协议,要求承包方因工作原因接触档案,必须保守秘密,不得将任何扫描载体带出场外或泄露。同时,承包方要填写个人简历表,提供身份证复印件,并保证永久保守秘密,如违约,追究相关法律责任。

二、做好容灾备份工作

1. 实践证明,做好容灾备份工作是确保档案信息安全的有效措施。容灾备份是通过在异地建立和维护一个备份存储系统,利用地理上的分离来保证系统和数据对灾难性事件的抵御能力。根据容灾系统对灾难的抵抗程度,可分为数据容灾和应用容灾。数据容灾是指建立一个异地数据系统,该系统是对本地系统关键应用数据实时复制。当出现灾难时,可由异地系统迅速接替本地系统而保证业务的连续性。应用容灾比数据容灾层次更高,即在异地建立一套完整的、与本地数据系统相当的备份应用系统,可以同本地应用系统互为备份,也可与本地应用系统共同工作。在灾难发生后,远程应用系统能迅速接管或承担本地应用系统的业务运行。设计一个容灾备份系统,需要考虑多方面的因素,如备份 / 恢复数据量大小、应用数据中心和备援数据中心之间的距离和数据传输方式、灾难发生时所要求的恢复速度、备援中心的管理及投入资金等。根据这些因素和不同的应用场合,通常可将容灾备份分为四个等级:(1)0级:没有备援中。这一级容灾备份,实际上没有灾难恢复能力,它只在本地进行数据备份,并且被备份的数据只在本地保存,没有送往异地。(2)1级:本地磁带备份,异地保。在本地将关键数据备份,然后送到异地保存。灾难发生后,按预定数据恢复程序恢复系统和数据。这种方案成本低、易于配置。但当数据量增大时,存在存储介质难管理的问题,并且当灾难发生时存在大量数据难以及时恢复的问题。为了解决此问题,灾难发生时,先恢复关键数据,后恢复非关键数据。(3)2级:热备份站点备。在异地建立一个热备份点,通过网络进行数据备份。也就是通过网络以同步或异步方式,把主站点的数据备份到备份站点,备份站点一般只备份数据,不承担业务。当出现灾难时,备份站点接替主站点的业务,从而维护业务运行的连续性。(4)3级:活动备援中。在相隔较远的地方分别建立两个数据中心,它们都处于工作状态,并进行相互数据备份。当某个数据中心发生灾难时,另一个数据中心接替其工作任务。这种级别的备份根据实际要求和投入资金的多少,又可分为两种:1两个数据中心之间只限于关键数据的相互备份;2两个数据中心间互为镜像,即零数据丢失等。零数据丢失是目前要求最高的一种容灾备份方式,它要求不管什么灾难发生,系统都能保证数据的安全。所以,它需要配置复杂的管理软件和专用的硬件设备,投资相对而言是最大的,但恢复速度是最快的。

2.虽然容灾备份一直备受人们关注,但是,目前我国大多数档案部门并没有做好充分的容灾准备。根据IDG研究服务对企业的调查显示,42%仍没有部署现代化的容灾恢复解决方案。高校情况更不容乐观,或者说,目前还没有真正开展此项工作。这是与当今档案事业发展不相适应的,也是高校档案工作相对滞后的具体表现,应该引起足够的重视。笔者认为,当前高校档案部门应根据2007年我国颁布的《信息系统灾难恢复规范》标准,结合实际,认真做好容灾备份工作。以下两种容灾备份新技术,可考虑选择:(1)介质备份。阶段备份:可将备份数据划分为两个阶段,近期的备份数据保存在磁盘介质上,为近线备份;访问频率不高但仍具有保留价值的历史备份数据保存在磁带介质上,为离线备份。备份存储柜可通过循环备份将数据复制到磁带设备,提供双份备份和双重保护。远程容灾:可将备份数据周期性地保存到磁带设备上,然后取出磁带介质,运输到异地机房保管,实现数据的远程容灾。当发生灾难需要远程恢复时,只需取出磁带在异地直接读取恢复。(2)集中式数据级备份。采用高性能、一体化和节能的备份设备,可支持异构平台环境的集中备份和恢复管理,内置的虚拟介质池功能,使设备具有容量与处理性能呈线性增长的特性,可满足大规模的备份需求。统一保护:针对Windows服务器环境、Linux服务器环境、Unix服务器环境以及PC桌面环境,可提供集中统一的备份和恢复管理。全面保护:提供操作系统、应用系统和文件数据三层全面保护,应用系统支持SQL Server、Oracle、Sybase、Exchange Server、Lotus Domino、DB2、My SQL、Active Directory等几乎所有主流应用,无论是数据破坏,还是业务系统损坏,都可得到完整的恢复。

容灾备份是一项看起来重要,落实起来较难的工作,牵扯方方面面的因素比较多。国家档案局局长杨冬权说“:也许,人们可以有一千条、一万条理由不造成目前对电子文件进行异质备份,但我们却有一条根本的理由造成和坚持这样做,这条根本理由就是:确保电子文件的绝对安全是档案工作者的首要职责和根本使命。”

三、构筑多层防护体系

1.在人防方面。要建立健全和不断完善档案信息安全工作制度。如电子文件与电子档案的保管利用制度、档案异地备份制度、档案信息系统网络应急预案制度、档案信息安全培训制度等。档案信息安全,是档案工作的永恒主题,也是国家信息安全工作的一项重要内容,高校档案工作者要通过学习培训,提高对档案信息安全重要性的认识。

2.在物防方面。档案库房应配备安全监控系统、消防系统、温湿度自动监测系统及空调设备,采取防辐射、防火以及安装不间断电源等措施,最大限度地保护档案信息安全。

3.在技防方面。除上述谈到的方法外,还要采取数据加密、网络隔离等技术,保证档案信息系统软、硬件升级、数据迁移的安全。

档案信息安全保护研究 篇2

数字档案馆是一种建立在现代信息技术的普遍应用基础上、利用数字化手段、以高度有序的`综合档案信息资源为处理核心、以高速宽带通信网络为技术设施的超大规模、分布式数字化信息系统.数字档案信息是档案信息的一种重要类型,研究数字档案信息安全保障体系问题,对于促进档案信息化建设和档案事业发展,完善国家信息安全保障体系具有十分重要的意义.

作 者：孙碧燕  作者单位：浙江师范大学教师教育学院,浙江,金华,321004;温州大学档案馆,浙江,温州,3250351 刊 名：南昌高专学报 英文刊名：JOURNAL OF NANCHANG JUNIOR COLLEGE 年，卷(期)：2009 24(3) 分类号：G271 关键词：数字档案馆   数字档案信息   安全保障   体系  

档案信息安全保护研究 篇3

关键词：档案信息化；安全问题；安全措施

随着我国信息化进程的高速发展，档案管理的信息化进程也加快了脚步，对档案进行信息化管理也成为现代化社会发展对档案工作的新要求。档案信息化是指档案管理要使用信息化技术，以此来提高档案管理的归类、收纳、开发工作的效率，最终实现档案管理的现代化、数字化、网络化，从而实现档案资源的高效利用与网络共享。信息化的主要目标是：用数字化方式来存储资料，用标准化手段管理档案，通过互联网对信息资源进行共享，实现远程查阅档案信息。

但档案信息化的发展也存在一定利弊，在其提高档案使用效率、检索速度等诸多优势的背后，档案信息化也带来了一些潜在的安全隐患。安全隐患存在于档案资料查询过程中的安全性问题，比如电子个人信息被篡改、密码丢失，造成用户的信息泄露与遗失；档案信息化也会受到外界因素的制约，例如服务器的存储空间与安全性，一旦服务器出现问题会导致信息无法提取，影响档案工作的开展。

所以，我们在积极促进档案信息化进程的同时，也需要建设档案资源的安全与保密工作，以此来保障档案信息化的可靠性与保密性，各级档案管理工作人员都应该考虑档案信息化建设过程中的安全性问题。

一、档案信息化建设过程中的安全性问题

1.关于档案管理员的整体素质有待提升

随着科技的进步，使用现代化科技对档案进行管理的方法与传统档案管理法相去甚远，传统档案管理工作中所采用的档案保密技术已经不能运用于现代化的档案管理，管理人员的保密知识已经不能够适应现代化档案技术的安全管理工作。因此这就要求档案管理人员需要具备一定档案安全观念、及时掌握新的信息安全理念、及时更新信息安全管理技术。目前我国的档案管理人员队伍更新换代慢，档案管理人员的信息安全保密意识不高，安全知识更新的速度也赶不上信息化建设的步伐。因此如果未及时增加相应的档案信息安全管理技术人员，档案管理的信息安全性很难得到有效实现和发展，更无法满足档案信息管理的现代化建设。

2.档案信息的防火墙技术更新换代慢

档案信息的防火墙保护是以保护信息不泄露的防守为主技术，但随者破坏信息安全性技术的不断更新换代，防火墙保护技术也需要随之不断进行更新，虽然信息安全保护技术以防守为主，但仍然能满足大部分档案管理工作的安全性需要。目前档案管理面临的主要问题有如何承受黑客对档案系统的非法攻击。黑客通过网络非法进入档案系统以获取所需的档案资料是档案信息化的重要安全威胁，因此我们所使用的档案系统与防火墙要能够经受一定的非法网络攻击强度，对于重要的档案信息要如何加密保存也是值得考量的问题。

3.档案信息化法律法规不够完善

我国法律建设的起步较晚、发展较慢，在部分领域法律建设还存在空缺。档案管理领域也是我国法律法规的盲点之一，我国目前只颁布了《档案法》，其他法律法规亟待完善。《档案法》的立法早于我国档案信息化工作的开展，因此不能对档案信息化建设进行规范化管理，档案信息化建设也缺乏有效的法律保障，导致无法可依的现象出现。一旦档案信息出现泄漏，一方面无法追究信息窃取黑客的法律责任，一方面也无法追究档案管理人员的工作疏忽。因此，档案信息化管理必须要有相应的法律法规给予约束，相关部门需要马上建立健全档案管理法律法规，以加强档案管理人员的档案安全意识与档案窃取者的法律责任。

二、保护档案信息化发展的安全措施

1.建立健全档案法律法规

档案管理安全法律法规的基本要求是要符合我国社会主义现代化经济发展条件下，依照社会主义现代化建设规范档案管理工作，保障档案信息管理的安全性、保密性、有序性等。同时也需要进一步增强档案管理的行政部门执法建设，加强行政部门对于档案的行政执法水平。也需要进一步普及档案信息化建设的安全知识，在社区生活区普及信息化安全知识，宣传我国的档案管理法律法规，增强社会各个阶层、档案管理人员与有关行政部门的安全保密意识。

2.建设档案资源的信息安全技术

档案信息的信息安全技术不包含传统的防守技术，并且已经涉及到密码技术、访问控制技术、标记与鉴别技术、防火墙技术、系统漏洞修复技术等多种现代化安全保密技术。档案资源的信息安全技术在不断进行更新换代，我国需加快档案信息的安全技术研发、应用与推广进程，在不断吸收科研领域最新的安全保护技术的同时，要坚持自主创新，开发具有核心知识产权的信息安全技术与使用设备。建立档案安全技术的科研专项基金，鼓励对信息安全技术的开发与创新，激发广大档案管理技术人员的工作积极性与创造性。

3.建立档案技术人员保障

档案部门要具有现代化的人才理念，坚持有规划、有策略、有层次、有方法、有途径地展开档案管理信息技术人员的职前培训与职后教育。增强档案管理人员的信息安全意识是有效预防与保护档案资源安全的重要方法。通过社区宣传、职位培训、广告传播与法律法规等方法，宣传与提倡对档案资源进行保护。此外，通过以上分析，还需要重视职位培训，加强对在职档案管理人员的安全意识培养与安全技术实操，颁发执业证书与职位教育活动，大力吸收引进档案管理技术开发人员，重视专门人才引进。

三、结语

综上所述，在档案信息化过程中的安全问题是档案管理工作的所需关注的主要问题主义，档案部门必须成立有关的安全工作机构与组织人员，建设处良好的信息安全保障体系，最终实现档案信息化建设的安全有序发展。因此，本文在分析档案信息化建设安全性问题的同时，提出了对于信息化建设的安全措施，以供后者参考。

参考文献：

[1]邱影.探析档案数字信息安全的有效管理[J].卷宗，2012（10）.

[2]冯瑞清.档案信息化建设中信息环境安全问题探析[J].黑龙江档案，2012（3）.

[3]孟世恩，王颖，何芳.对我国档案信息化建设实施的理论思考[J].档案学研究，2004（05）.

[4]王美琴.我国档案信息化过程中的主要问题及对策[J].档案学研究，2011（01）.

[5]王美琴.我国档案信息化过程中的主要问题及对策[J].档案学研究，2011（01）.

档案数字化过程中的信息安全保护 篇4

一、档案数字化前的保密管理

(一) 加强保密知识的宣传教育增强保密意识。

档案是过去和现在的国家机关、社会团体以及个人直接形成的对国家和社会有保存价值的各种文字、图表、声像等不同形式的历史记录, 在《中华人民共和国档案法》、《中华人民共和国保守国家秘密法》等法律法规中对档案管理已有了明确规定。档案安全事关国家和广大人民群众的根本利益, 一旦泄露对于国家、单位、个人都有着难以弥补的损失。因此, 要提高人们特别是档案人的安全意识, 树立安全问题人人有责无所不在的思想。在数字化的过程中, 会涉及大量数字化生产加工人员, 在进行工作前, 首先要加强对生产加工人员的安全保密教育, 强化保密意识, 使工作人员掌握保密工作的应知应会, 不断提高做好保密工作的自觉性。同时根据数字化的各个环节, 严格设立审查环节, 以确保档案信息安全万无一失。

(二) 审查档案数字化承建单位资质及其人员保密素质。

档案数字化建设时, 会涉及到大量的工作人员, 如信息录入人员、应用程序的编程者等。非本机构工作者通常难以进行监管, 在此类状况下, 应首先对承办单位资质认真审查, 并调查该单位的背景, 是否出现过信息泄露等问题, 在建设前与其签订保密协议, 除保障信息安全外, 也要对工作者的作业流程有所规范。从事于档案信息建设的企业, 通常具有较强的保密意识和信息保护的责任意识, 但为了防止信息外漏以及其员工的违规操作等问题的出现, 以保密协议进行管理, 明确保密责任、义务和赔偿标准, 只有这样才能够形成真正的约束力。

(三) 建立独立、安全的工作场所。

为了更加彻底地实现档案信息监管, 档案数字化生产加工场所必须设在委托单位指定的安全场所内, 在其中安放“无死角”摄像监控设备, 让工作者的一举一动都在监控之下。在工作场所内, 禁止个人随意使用互联网、手机通信以及一切信息传输手段。在进入工作场所前, 要求工作者将与工作无关的设备全部放置在门外, 由专人进行统一监管, 并在其周围放置磁干扰设备, 禁止内部的信号外传。在非工作时间, 磁干扰设备仍旧开启, 以防止工作者将信息传送设备留于房间内, 同时开设防盗装置, 条件较好的单位可采用自动监控报警, 出现任何移动物体则会进行报警, 另外要求每天对安全监控设备进行检查。

(四) 软硬件尽量国产化。

为了防止信息由硬件或软件上的移植程序自动上传或定点传输, 要求尽可能使用国产设备, 特别是调试解调器、工作站和应用程序三个方面, 由于硬件的部分核心原件在我国并没有相应的制造专利, 可进行原件组装的形式匹配设备, 再将其送至相关部门进行安全检测, 而软件则必须采用国产, 同时与软件的提供单位签订信息保密合同, 为档案信息安放最后一把安全锁。

二、数字化中的保密流程

(一) 规范建设流程。

一是将数字化建设工作进行分拆, 以工作需求为节点, 建立阶段性工作要求;二是设立各阶段工作流程, 同样以工作需求为核心, 规范每项工作步骤;三是规范保密措施, 严格实施各个环节中的监控和监管, 将信息安全控制在监管之下。档案数字化通常分为程序编写、程序调试、安全调试、信息生产加工四个环节, 根据每个环节的工作方式规范流程, 同时在流程的基础上设立监控设施。如在入门前要求填写相应环节的工作表, 再采用密码和指纹登记入门的门禁, 将密码和指纹配套个人信息进行管理, 进而控制每个进出人员。

(二) 加强硬件设施管理。

1. 硬件组成。

在独立工作场所建设完成之后, 首先应该明确所需要的硬件设施, 并由专人放置到工作场所中, 一般档案管理的硬件包括计算机、服务器、调试解调器等, 还包括硬件配套的输入输出设备, 不能使用具有无线互联功能的硬件模块和无线鼠标、键盘等无线互联设备。除必要硬件外, 根据需求可购置其他软硬件, 如档案扫描工作所需要的高频扫描仪、图像处理和数据处理软件。使用的计算机等硬件设施应加装封条, 禁止接入互联网。

2. 网络构成。

网络是数字化所需要的重要载体, 但是也是档案信息泄露的根源。在网络的管理方面, 应组成专用网络, 并与其他网络特别是互联网实行物理隔离, 进而有效地保障信息安全。为防止调试解调器密码外泄而导致TCP/IP协议被更改, 可采取64位的16进制密码进行防护。

3. 存储介质。

在建设中严禁出现任何个人储存工具, 如U盘、移动硬盘、光盘等, 一些工作者可能会通过储存工具外带资料, 同时也可能通过此类工具将病毒木马植入到工作站中, 对数据进行破坏或上传, 因此必须进行严格的控制。使用的硬盘、移动硬盘、U盘、光盘等存储介质要严格管理。

三、档案数字化后的信息保密

(一) 数字化信息移交的安全管理。

为了提高档案信息系统总数据库的安全, 档案数字化后的信息必须先通过技术检验, 确定无病毒, 数据真实有效后, 才能进入档案信息系统接收模块的数据处理, 合格数据才能并入档案信息系统的总库。在交接过程中各种介质、临时处理数据库必须及时安全妥善处置, 避免数据信息扩散。

(二) 数字化后的档案数据库的管理。

在数字化建设过程中已经进行了数据的安全防护, 在信息添加完成后, 需要二次数据防护, 一是针对数据库进行系统的加密, 进行全方位的防护工作, 不断进行漏洞检测, 除登入所必需的“后门”外, 将所有漏洞修复;二是对后门进行防护, 除指定登入IP外, 任何关联页面都不能够登入程序;三是设定安全管理密码, 将安全管理和数据管理进行区分, 即两者没有任何权限参与对方工作和获取对方工作平台的任何信息。

(三) 存储介质的管理。

在信息生产加工工作完成后, 由档案管理人员统一收取所有涉及档案数字化建设的移动设备, 并将移动储存设备统一销毁, 以防止在移动设备中所留有的细小隐藏分区将重要信息外带。所使用的计算机应当继续按涉密计算机使用或者拆除硬盘。

(四) 信息管理分级。

要有效控制信息安全, 必须从信息的使用者入手, 无论进行了何种严密的防护, 信息使用者能够任意抽取, 也是徒劳无功。所以要进行信息阅览分级制度, 根据信息的重要性设立不同的层级, 由信息使用者身份的高低决定信息使用权。通常在等级制度之下, 最低层级信息即使外泄也难以对单位造成伤害, 而等级越高, 拥有权力的人也就越少, 相应的责任意识也会越高, 另外在保密协议的约束下, 核心信息遭到外泄的可能性也就越小。而级别的设立, 对于系统的修改权限也会有所差别, 由于信息防护者并没有权限阅览档案信息, 因此设立级别能够控制安全防护人员的工作, 以免出现在工作者修复漏洞的过程中, 将信息以互联网或电磁的方式传输出去。

四、结语

档案信息对于任何的单位和个人都有着至关重要的作用, 信息外泄会给国家利益、单位利益和个人利益造成重大损失。各类信息系统的广泛应用, 促使国家、单位、个人必须正确认识信息安全, 让档案信息的安全控制在自己手中, 使其更好地为国家、单位的中心工作服务。

参考文献

[1] .李翠艳.档案数字化过程中的信息保密[J].黑龙江科技信息, 2011 (5)

个人信息安全保护的法律研究论文 篇5

在当前大数据时代的背景下，人们对数据信息安全的要求达到了前所未有的高度。而现在，通过各种各样的渠道都可能会导致个人信息的泄露，例如银行、购房购车、实名买票等。3月13日中国消费者协会发布《消费者个人信息网络安全报告》(以下简称《网络安全报告》)，报告显示 度消费者个人信息保护现状满意度低，非常不满意和不满意的受访者占比多达56.58%，约有三分之二受访者20个人信息被泄露。近年来，随着个人信息泄露引发的纠纷案件的增多，如何对个人信息加以保护，在互联网大数据时代就显得尤为重要。

1 个人信息安全基本概述

1.1 个人信息的定义

关于个人信息的定义，目前理论界尚未有统一的规定，主要存在“关联型”、“隐私型”和“识别型”三种定义。关联型是将与个人有关的所有信息都归入个人信息的范畴内;隐私型则仅指涉及个人隐私的信息;而识别型是指能够通过识别将个人与他人区别开来的个人信息。

的《信息安全技术公共及商用服务信息系统个人信息保护指南》将个人信息定义为可为信息系统所处理、与特定自然人相关、能够单独或通过与其他信息结合识别该特定自然人的计算机数据，个人信息可分为个人敏感信息和个人一般信息。

工信部7月公布的《电信和互联网用户个人信息保护规定》在第四条中对“个人信息”做了如下的定义：“本规定所称用户个人信息，是指电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间、地点等信息。”

笔者认为，个人信息应当是指包括姓名、出生日期、身份证件号码等身份信息，不动产、机动车、银行账户等财产信息，以及包括健康等其他信息在内的，能够直接或间接识别公民个人的一切信息。

1.2 个人信息安全面临的风险

由于个人信息具有巨大的价值性，才导致近年来越来越多的窃取公民个人信息以此获利案件的发生，个人信息贩卖的产业链也慢慢进入人们的视野内。据消协《2014网络安全报告》显示，一条价值较高的用户信心甚至可以被卖至数千元。

目前个人信息安全面临的风险主要有以下两种：

1)非法收集个人信息。人们在进行网络消费或者使用网络其它功能时，都会被要求填写一些个人信息，这些信息有的是需要实名认证的，有的则不需要;有的是使用时必需的信息，有的则不是。通常网络后台会对这些信息进行储存以便于用户再次使用，但这其中也包括一部分非必需信息就是为了服务商提供后续服务或商品而在用户无意识的状况下被收集了起来。如果服务商的系统存在漏洞，极有可能再次发生类似携程网的事件。

档案信息安全保护研究 篇6

关键词：大数据；数字档案信息资源；传统档案数字化副本；存储备份；信息安全；数据安全

1 数字档案信息资源数据风险概述

我们已经进入了大数据时代，2013年中国产生的数据总量超过了8亿TB，并且每天以倍数递增，大数据相关的技术蓬勃发展，技术应用随处可见，我们经常上网使用的百度搜索就是用Hadoop大数据技术管理数据的。与此同时，每年全球数据安全问题损失已经达到万亿美元数量级，我国也有数百亿美元的经济损失，对于档案行业，大量的档案数字化副本、电子文件、音视频文件组成巨量的数字档案信息资源，档案馆虽然安全意识越来越高，但远远没有满足现实要求。

1.1 风险的原因。风险的原因来自多方面，忽视硬件故障、忽视软件崩溃、人为失误造成数据丢失、缺乏管理措施造成恶意被盗、对电脑病毒熟视无睹、面对潜在危险抱有侥幸心理、自然灾害直接导致数据丢失、在恢复工作中不能定期对恢复机制进行测试、想当然认为能写入磁带就代表能随时读取、想当然认为管理面板显示成功就能顺利从备份文件中恢复资料。

1.2 风险的危害。不要认为数据存储已经非常安全了，就规避了数据风险，风险的危害是多方面的。目前，数据泄露的问题非常突出，人们一般对黑客攻击总能引起高度重视，人们也不能容忍IT人员的恶意违规行为，但实际上，人们经常忽略的最有可能泄露数据的却往往是那些没有丝毫恶意的员工。对数据库没有非正常访问的监督，没有为不同用户的当前可用访问权设定限制，这样系统就很容易出现特定工作的员工访问超出了工作范围的数据；没有使用防数据丢失工具，个人数据在通过电子邮件、打印或者复制到笔记本电脑及其他外部存储设备时很容易发生数据泄露。

1.3 风险的种类

1.3.1 自然环境风险。计算机机房不符合规范要求，存在环境风险因素。

1.3.2 硬件系统风险。网络、服务器、客户端、存储设备等损坏、故障、老化风险。

1.3.3 应用系统风险。应用系统架构、应用系统功能、应用系统性能等方面，不完备、设计存在缺陷。

1.3.4 网络信息安全风险。计算机网络缺乏安全设施防护，没有防火墙、防病毒、IDS、PKI、攻防技术等。

1.3.5 人为管理风险。人为因素带来风险，缺乏制度管理。

2 构建数字档案信息资源安全保障体系

2.1 构建可靠数据中心为核心的数字档案信息资源安全管理体系。现阶段，大多数的数据中心并不是规划好而建设起来，通常是随着数据积累、设备增多而逐步装备起来。这样做出现很多问题：办公室改成机房，空间狭小，电力不足，承重不够，民用空调24小时超负荷运转，消防措施不到位，监控手段缺乏等。以往对数据中心机房的建设往往只注重利用计算机技术、网络技术来实现网络层的可靠性，而忽略了基建、供电、消防、环保、制冷等方面的影响，其中任何一个环节都有可能会导致系统瘫痪甚至数据丢失。

因此，数据中心是数字档案信息资源安全管理体系的核心，数据中心建设应以实现技术标准化、能力服务化、提供快速化、资源弹性化、管理自动化、管控集中化为目标，从管理、技术、运维多层面保障系统安全、数据安全。

数据中心从规划、设计、建设到设备的安装、调试、运维都必须遵守行业的规范标准，应该按照三级等保要求，把数据中心建设达到科学、安全、经济、绿色、环保的标准。

2.1.1 构建数字档案信息资源安全管理体系

2.1.1.1 安全策略与管理制度。总体安全方针及安全策略必须包含安全管理策略、安全技术策略、安全运维策略。

2.1.1.2 系统建设管理。系统建设包含：系统定级、方案设计、系统交付、系统备案、软件开发、工程验收、产品采购和使用、安全服务商选择。

2.1.1.3 安全管理组织机构及人员安全管理。安全管理组织机构和人员安全管理分为三个层级：信息安全决策层、信息安全管理层、信息安全执行层，内容包含：人员录用、人员离岗、人员考核、人员培训、访问管理。

2.1.2 构建数字档案信息资源安全技术体系。体系划分为安全计算环境、安全区域边界、安全通信网络三部分。第一部分指用户身份鉴别、自主访问控制；第二部分指安全区域、结构安全、区域边界强制访问、区域边界包过滤、区域边界安全审计、区域边界完整性保护；第三部分指通信网络安全审计、通信网络数据传输完整性保护、通信网络数据传输保密性保护、通信网络可信接入保护。

2.1.3 构建数字档案信息资源安全运维体系。体系内容涉及安全规划、安全控制、安全监控、事件响应、灾难恢复、信息安全事件管理、信息安全问题管理、信息安全配置管理、信息安全变更管理、信息系统配置管理。

2.2 数字档案信息资源在业务流转中的风险控制。数据流转过程中的风险控制就是对数字档案信息资源安全的日常防护，一般毁灭性的灾害百年不遇，而数据流转中的风险，就隐含在日常工作中，时有发生，却往往被忽视。先从数据流转规律加以分析，在馆藏数字加工、系统内调用、常规利用、档案接收、移动介质拷贝、整体存备环节之中数据流转规律：移动设备→系统；系统→移动设备；移动设备→移动设备；系统中调用即系统→系统。再观察数据存储状态它们有逐层包含关系：网络与系统包含数据中心、库房，数据中心、库房包含硬件设备、移动介质，硬件设备、移动介质包含数据。表1、表2、表3、表4分别对四种存储状态列举了风险与控制情况。

2.3 数字档案信息资源的容灾备份。数字档案信息资源的容灾备份是档案信息系统抵御灾害的能力，是保证数字档案信息资源安全的重要举措，是对信息安全的底线防备，是构建数字档案信息资源安全保障体系中重要一环。当档案馆受到毁灭性灾害时，馆藏档案信息或历史记录得以保存下来，并能够用异地保存的数字档案信息资源，以数字形式恢复档案馆运行。以对全部馆藏数字档案信息资源进行容灾为原则。

针对局部出现故障、本地发生事故、本地域受到灾害，分别选择本地、同城、异地备份。目前这三种备份所用的介质主要选择硬盘、磁带和光盘，这三种介质在存取速度、存储容量、保存时间、备份成本、管理难易程度等方面的性能，各有所长，基于条件，不可取代。可根据存备的内容、不同的用途和客观条件选择介质，通常用磁带和光盘为主备份介质，硬盘作为应急备份介质，三种介质配合使用，使不同介质的优势可以互补，最大可能地保证数字档案信息资源的安全。国家档案局《档案馆防治灾害工作指南》中，将档案信息系统的容灾等级划分为七级，其中，0级为无异地备份；1级为实现异地备份；2级为热备份站点备份；3级为在线数据手动恢复；4级为定时数据自动备份；5级为实时数据远程异步备份；6级为零数据丢失数据远程同步。档案馆通常采取1级容灾并参照2级容灾管理为最基础策略。即：将数字档案信息资源数据、备份数据处理系统及系统环境参数数据备份到选定介质上，送往异地保存，制订有相应的灾难恢复计划，灾难发生后，利用通用的硬件设备，调用异地备份的数据，按照预定的恢复计划实施业务恢复。根据数据量、载体类型，选择数据运送的交通工具，应尽量避免托运，推荐采用汽车方式运输。可根据备份介质不同，选择不同的更新周期，光盘介质可采取每年抽检并增量备份，五年做一次全备方式。

2.3.1 本地备份。以北京市档案馆为例，依托档案馆设施，对馆藏电子文件采用磁带介质备份，对其中重要内容进行缩微化异质备份，两种备份介质分区域保存。

2.3.2 同城备份。北京市档案馆依托城市应急备份机构，北京市容灾备份中心设施，选用“介质备份业务”服务模式，对全部电子文件采用磁带介质备份。

2.3.3 异地备份。北京市档案馆依托异地备份合作伙伴，陕西省档案馆的设施，对电子文件重要内容，采用磁带介质备份。

3 研究意义

3.1 构建数字档案信息资源安全保障体系必须服从和服务于档案信息化的发展。随着档案信息化的发展，档案馆已经成为档案数据存储与利用、发挥档案社会服务效应的重要部门，不再仅仅是提供服务支持保障的角色。数字档案信息资源安全体系的建设要站在业务发展的角度来研究，以档案业务的连续可用性为出发点，以给业务提供7×24服务支持为目标。

3.2 健全的安全管理体系是数字档案馆稳定运营的保障。数字档案信息资源安全体系的建立对于档案信息化的发展起到了很大的促进作用，数字档案馆的安全运营关系到档案馆全部业务的顺利进行，关系到社会各界是否能及时获得档案咨询服务，关系到档案部门的形象及保存城市记忆，服务社会发展的重要功能，为了规避数据集中带来的生产运行风险，数字档案馆不仅要在技术层面通过基础设施的建设来化解集中的风险，还要从管理角度通过分析和细化风险，建立以安全防范、安全制度管理和安全控制管理为核心的安全管理体系，为业务的稳定运营提供可靠的保证。

3.3 数字档案信息资源安全保障体系是档案资源开发利用的保证。优质的档案馆数字资源是政府管理的基础、决策的前提和为社会服务的依据。电子文件具有纸质文件难以比拟的优越性，理应成为现代社会的优质战略资源。加强电子文件的科学管理，数字档案信息资源安全体系就能为信息资源的开发利用创造条件，由此带来可观的经济和社会效益。它是数字档案信息资源开发利用的保证。

4 结语

总之，数字档案信息资源的长期保存是我们的终极目标。采用技术、管理两种手段，实施对信息网络、业务系统、档案数据、中心机房设备、终端设备等的安全防护；从应急、日常维护两方面，加强容灾和数据流转过程的保护措施，筑牢数字档案信息资源安全的防护体系。

档案信息安全保护研究 篇7

一、相关概念

1.大数据与档案用户信息 。 大数据是对传统程序及工具完成处理与分析数据工作的一种挑战,对云计算、物联网技术等具有颠覆性。 大数据展现出4V特征:Volume( 容量) ,Variety( 种类) , Velocity( 速度) 和最重要的Value( 价值)[1]104。 大数据讨论规模数据、智能管理与智能服务等。 关联档案事业是指档案信息资源更加丰富、档案信息服务更加完善的讨论。

笔者按档案用户的影响将其分为两种,一是档案用户直接信息及查档时的行为信息,如姓名年龄、家庭住址与检索日期、检索主题与内容等;二是大数据对档案用户信息挖掘分析后的间接信息,这是大数据对零散、偶发的档案用户信息( 行为信息) 进行挖掘分析后衍生出的更多隐私信息,如特长爱好、薪酬待遇等。 档案用户信息与其他个人信息主要区别在“ 档案”这个客体上,档案记载了最真实的历史,具备其他材料所缺的凭证与情报价值,反映档案用户与档案之间的关系,即用户如何使用档案、在哪种情况下使用、使用目的等,此隐私特征才是档案用户信息与其他个人信息的关键区别。

2.档案用户信息隐私权。 隐私权是自然人就自己个人私事 、个人信息等个人生活领域内的事情不为他人知悉,禁止他人干涉的权利[2]51。 而信息隐私权是指自然人享有的个人信息依法受到保护,不被他人非法知悉、搜集、利用、公开等的一种人格权,是传统隐私权的组成部分[3]68。 从内容和结果上看,间接信息有较多档案用户隐私信息,而有的档案需重点保密,用户利用时记录了档案内容,一旦用户隐私信息泄露不仅给自身带来损失,也给国家安全造成危害。 大数据时代档案用户信息被信息系统抓取、挖掘分析,使得档案用户信息隐私权受到侵害。 如今档案服务逐渐走向智能化,满足用户档案需求的同时,应做好档案用户信息隐私权的保护措施。

二、大数据时代对档案用户信息隐私带来的挑战

1.法律制定与大数据技术发展的协调性不足 。 在传统档案利用服务中,我国档案用户信息隐私权保护的法律有《 宪法》 、《 中华人民共和国档案法》 、《 未成年人保护法》 、《 中华人民共和国身份证法》 等,上述法律只起着间接作用,如《 宪法》 中第38条:公民的人格尊严不受侵犯。《 中华人民共和国档案法》 第21条规定,向档案馆移交、捐赠、寄存档案的单位和个人,对其档案享有优先利用权,并可对其档案中不宜向社会开放的部分提出限制利用的意见, 档案馆应当维护他们的合法权益;《 中华人民共和国档案法实施办法》 第24条规“: 属于集体所有、个人所有以及其他不属于国家所有的对国家和社会具有保存价值的档案,其所有者向社会公布时,应当遵守国家有关保密的规定,不得损害国家的、社会的、集体的和其他公民的利益。 ”国内保护档案用户信息隐私权的法律, 没有专门针对性的保护,保护手段采取“ 刑事处罚”或“ 行政管理” 等措施,且在“ 民事确定权利”与“ 民事归属责任”方面较为欠缺; 其次缺乏可操作性;最后未成法律体系,很难对档案用户隐私信息保护起到实质性保障。

2.数据采集 ———档案用户隐私信息更易被获取 。 大数据收集保留并预测信息,此类现象缺乏有效监管,只依赖于行业内部自律。 理论界提出网络环境下用户信息隐私安全遭到侵害的各种形式,如档案馆过度收集档案用户信息、制度不健全造成用户个人信息公开、故意传播用户信息等[3]69。 档案馆对档案用户直接信息进行采集过程中, 根据档案馆保密制度对用户信息进行全面采集,其中包括用户网络行为信息、现实动态信息等,上述信息档案用户在虚拟情况频繁接触,较易被获取。 大数据精确度要求低,只需相关数据就能全局获知档案用户的隐私信息。 大数据时代全面采集数据,直接侵犯档案用户信息隐私权。

3.数据挖掘———档案用户信息隐私权更易被侵犯 。 基于大数据时代,个性化、人性化、智能化、知识化服务等构建出智慧档案服务的蓝图[4]65。 网络时代,档案利用服务依然是对用户具体数据进行分析,对某一个特定数据进行关联服务;大数据时代,对档案用户直接信息挖掘分析,了解数据各因素之间的关联性,最终得出精准预测。 大数据的经济潜力使得档案用户信息更易被采集、 存储、分析、利用,其中包含档案用户隐私信息,从数据分析到数据利用阶段,档案用户信息隐私权被严重侵害。

三、大数据时代档案用户信息隐私保护的策略

1.加强法律在档案用户信息隐私权保护中的基础作用。

( 1) 在适用广泛的个人信息隐私保护法中体现 。 档案用户信息隐私权属于个人信息隐私权的一部分,可将其纳入网络与公共机构服务过程中的信息安全管理两个范畴。 档案馆作为公共知识和信息资源管理中心,馆藏以及在提供档案利用服务中涉及到大量用户隐私信息,随着大数据的发展,其受侵害会继续扩大,因此法律的完善对档案用户信息隐私权保护具有非常重要的作用 。 2013年3月1日我国颁布《 信息安全技术 、公共及商用服务信息系统个人信息保护指南》( 下文称《 指南》) ,《 指南》 界定大数据时代合理利用个人信息的方式,用来指导和规范利用任何信息系统处理个人信息的行为。 公民个人信息安全需要完整的法律体系, 出台国家标准以及行业规范,彼此之间应配套协调,才能实现公民信息隐私权的保护以及个人信息控制权[5]66。

( 2) 在专门适用的档案法中体现 。 前文将档案用户信息隐私权纳入个人信息隐私权保护法中,是因为档案用户信息属于个人信息,大数据环境下个人信息隐私保护法的制定与技术发展相协调,且具有前瞻性。 但个人信息隐私保护法涵盖范围较广,档案法的专门适用性决定了急需制定档案用户信息隐私权保护的条款, 这里将档案用户信息隐私权保护归入到社会公共信息安全管理的范畴。 大数据时代档案用户信息隐私权遭受到前所未见的侵害,技术进步同时促进规范制度的发展。 档案法是我国档案事业的根本大法,因此应完善和制定档案用户信息隐私权保护的配套条款,一旦发生档案用户信息隐私权受到侵害,能真正惩治不法行为,起到保护档案用户信息隐私权的作用。

2.大数据时代档案用户信息隐私等级划分制度。

( 1) 权衡个人利益与公共利益 。 国家内部公民隐私权是其享有的最基本人格权。 档案是最原始的资料,记载着最真实的历史信息,具有极高凭证与情报价值[6]65。 因此档案中涉及国家、企业机密信息,档案用户信息隐私权遭受侵害,这涉及公共利益,所谓公共利益是在需求冲突情况下国家以牺牲冲突一方的合法权利为代价而予以保障的另一方需求,或者说是在利益冲突情况下国家以牺牲一方的合法权利为代价而予以维护的另一方利益[7]63。 也就是说个人隐私权只有在符合公共利益的范围内才能得到保护。 这从根本上也是符合隐私权主体的长远利益[2]53。

( 2) 信息隐私等级划分制度 。 档案馆提供档案服务过程中采集了大量档案用户隐私信息,大数据时代档案馆很容易回答“ 提供何种档案信息”、“ 提供给哪些人利用”等问题,有强针对性与客观性。 但服务大众的档案工作,必须要做好对档案用户信息隐私权的保护,尽量减少档案用户损失,就必须做好档案用户信息隐私划分等级。 因此档案用户基本信息:年龄住址、职业职位等关系档案用户隐私信息的限制程度要高;档案用户行为信息如爱好特长、活动范围等可放松对其控制;其他控制性更弱。 对于行业来说隐私等级保护制度也是很重要的,应该按照不同行业制定不同隐私保护标准对隐私加以保护[8]112。 大数据预测的档案用户隐私信息须接受高强度控制,不仅是保护档案用户隐私权,也是维护档案馆自身形象。

3.大数据时代提升档案用户信息隐私安全的保护技术 。 人是数据的生产和使用者,无论大数据技术发展到何种程度,也摆脱不了人对它的控制。

( 1) 树立数字化节制意识 。 大数据时代让“ 遗忘”成为过去,伴随的是挥之不去的记忆。 数字化节制是人作为信息社会的主体, 要积极发挥能动性,在洞察到放弃“ 遗忘”的潜在影响后,审慎控制过多的个人信息对外发布。 当然,这需要就此做出一种艰难的权衡抉择。 积极分享个人信息毫无疑问可以为我们带来诸多便利,控制信息分享会减少部分便利[9]110。 如档案用户查询利用档案之后,针对档案信息以及个人信息应尽可能少地对外发布,这就要求个人做出审慎抉择,权衡利害得失,尽量保持个人可控的范围,避免不必要的损失。

( 2) 大数据技术与信息安全技术的对接 。 当今信息安全领域广泛应用的匿名技术,随着大数据预测技术的发展,要不断更新维护,且研究更精确的计算方法完善匿名技术,才能解决大数据时代档案用户信息隐私问题;大数据技术要与信息安全技术实现无缝对接,利用大数据技术的优势发现各种信息系统中存在的信息风险与漏洞,尽早查杀恶意病毒软件,防止档案用户隐私信息因为系统安全问题遭到泄露;最后政府应该加大对数字隐私权基础设施建设的投入,相应立法也应同步跟进,这样才能形成良好的信息环境。

( 3) 档案馆技术人员不断提升个体数据素养 。 大数据时代档案用户信息隐私权依赖法律和技术的保障很不可靠,唯有具备数字化节制意识,才可减少信息隐私权的侵害,其次档案馆管理人员要提升自身数据素养。 数据素养是指研究者在科学数据采集、 组织和管理、处理和分析、共享与协同创新等方面的能力,以及研究者在数据生产、管理和发布过程中的道德与行为规范[10]31。 大数据的生命是数据,脱离了数据就丧失效力,因此档案馆管理人员要适应大数据时代“ 数据爆炸”的冲击,加强自身数据素养,在大数据环境下提升研发档案用户信息隐私保护技术能力。

摘要：大数据时代技术革新促进档案事业发展,同时档案用户信息隐私权保护也成为热点问题。本文在对档案用户隐私信息与信息隐私权进行分析的基础上,根据大数据技术的特征,总结大数据时代对档案用户信息隐私权带来的挑战,提出大数据时代针对档案用户信息隐私权保护的法律制定、信息隐私等级划分制度、信息隐私保护技术研究等措施。

档案信息安全保护研究 篇8

一、区域化民间美术产生与发展

1. 区域民间美术的产生。

张道一先生1988年在“中国民艺学理论研讨会”上发表了《中国民间艺学发想》一文, 这篇对于民艺理论具有建设性的文章, 第一次较全面地提出民间美术的研究对象, 研究宗旨以及民艺的分类、成就、比较研究和研究方法等六个方面的内容, 较明确了它的学科构成。

2. 区域化民间美术的内涵。

民间美术是我们民族文化的重要组成部分, 在中国的传统艺术中, 民间美术是一个相对宽泛的概念。它广义上指观赏性和实用性的民间工艺美术, 狭义上仅指造型性强的民间美术。民间美术是劳动人民的艺术, 是劳动人民对美的追求和创造, 是一切其他美术如宫廷美术、文人艺术、宗教美术及各种专美术的渊源和基础。

3. 区域化民间美术的分类。

民间美术资源丰富, 种类繁多, 由于分类方法和角度的不同, 产生了很多分类, 张道一先生从艺术的角度强调了造型艺术的特点, 采用综合分类方式, 依据作品的性质将民间美术作了如下分类: (1) 年画花纸; (2) 门神、纸马 (3) 剪纸皮影 (4) 陶瓷器皿 (5) 雕刻彩塑 (6) 印染织绣 (7) 编结扎制 (8) 儿童玩具 (9) 其他 (以上八种所不能概括而很有艺术特色者) 。而从生活的角度张道一将其分为如下几类: (一) 衣饰器用; (二) 环境特点; (三) 节令风物; (四) 人生礼仪; (五) 抒情纪念; (六) 儿童玩具; (七) 文体用品; (八) 劳动工具等。把艺术风格和民俗事像当作综合分类的依据, 着重强调民艺的人文特征, 从民间美术各门类入手, 注重民艺的理念, 艺术的样式和民俗的用途等多种成分, 使其分类更具有综合类学科的特点。以上两大分类, 可以看出张道一把民间美术分为三大属类, 第一类为欣赏装饰和点缀生活。第二类兼容了岁时节令和民间传统礼仪。第三类是以日常生活为主。可见, 对民间美术的分类, 要求实事求是地从实际出发, 必须从内容到形式, 从材料到制作, 从构想到应用, 从形态到样式, 从风格到审美, 分别归类探讨其合理的结构。

4. 区域化民间美术的特性。

美化环境、丰富民间风俗活动是民间美术的目的。民间美术也是在日常生活中应用流行的美术。它表达了人民群众的心理、愿望、信仰和道德观念, 因为世代相沿且又不断创新发展, 故成为民族乡土特色的优美艺术形式。中国悠久的文化根源、思维方式和创造力等一整套的生活方式和文化形态决定了民间美术具有以下特性: (1) 真善美的审美特性。民间美术通常把现实生活中的生活需求和生命需要作为自己的审美理想, 以自身的功利意愿和要求作为一个标准的审美判断和审美选择, 将征服客观世界、改造世界和向往美好生活的愿望和理想称之为审美形式。更为重要的是民间美术包含着精英艺术家创立的评判艺术标准的真、善、美, 且达到至高无上的统一。《国语·楚语》中石:“大美也者, 上下, 内外, 大小, 远近皆无害焉, 故曰美。”可知美即是无害, 这不仅体现了劳动人民向往美好的心愿, 也是民间美术中“美”的另一层含义。民间创作的尽美意识是非常鲜明的、强烈的。通过悠久的文化积淀和民族审美心理的调试, 真、善、美自然而然地统一于民间美术之中。民间美术对于至善的追求开始于人们对生命生存的渴求与对和谐社会的热切向往之中。民间社会所有的美好祝愿, 所有的期盼, 所有的幸福都寄托于其中。同时, “真”与“善”为民间美术的“美”提供了更为有力的保证。 (2) 清新、质朴的原发性。从现有的民间美术的艺术形态来看, 其具有与现实生活相似的性质, 张道一称其为“原发性”。民间美术的创作者大多是处于社会底层的劳动人民, 他们在生活实践中对生活的态度和感受, 决定了民间美术始终保持着中华民族原始艺术的基本品质。独特的、自然的、质朴的是民间美术的一般特征, 带有较强的原发性。民间美术的原发性不仅仅在于它的生产是自发的, 更重要的是, 它显示了多数人民群众对生活的直接需要, 而不是一种纯粹的艺术的审美创造性活动。民间艺术家在创作民间美术时, 既不炫耀自己的技巧, 也不矫揉造作, 凭着自己的智慧和生产技能进行创作, 使作品带有很大成分的生活原型特色, 它远比其他艺术更贴近现实生活。 (3) 充满浓厚乡土气息的地域性。具有独特的造型语言和艺术形式的民间美术, 反映了各族人民的生活追求和情感生活追求, 蕴含着各民族的丰富内涵, 包括社会生活、风俗习惯、历史文化、宗教信仰和审美观念等方面。不同的地域、不同的民族都会产生其独特的艺术文化, 这种区域性的艺术文化传统在塑造着区域民族的文化性格的同时, 也影响制约着人们的生活习惯, 因此构成了民间艺术形式的丰富多彩。例如陕北剪纸, 东北皮影, 河南朱仙镇年画, 西藏唐卡等。通过不同形式的民间美术, 人们可以探究到不同民族、不同地区的民族文化民俗礼仪。在内容上, 它往往更贴近于日常生产和生活, 任凭它的感情的自然流露, 用直观的艺术语言来表达自己的感情;在形式上, 一般不会做过多的修饰, 保持其质朴清新的随意性, 具有一种超越时空的审美价值和艺术魅力。

二、我国区域化民间美术的研究现状

自改革开放以来, 随着经济、社会环境的不断变化, 人们的思想在经济和生产的不断冲击下, 不断地开放, 传统民间美术赖以生存的小农经济迅速被瓦解, 人们的生活方式、审美价值观念发生了翻天覆地的变化。许多民间艺术品被认为是过时的东西而被很多人摒弃了。一些民间艺人也由于受到商品化经济的浪潮的冲击被迫改变自己的创作作品的原汁原味的特色。在商品经济和旅游业的刺激下, 人们逐渐增强了商品意识, 在经济利益的驱使下, 从事民间美术艺术品生产的民间艺人和经营的商人只会考虑如何提高生产效率和增加经济效益, 并不会考虑这些文化遗产保护的问题。由此可见, 民间美术的发展现状呈现出如下三个特点:第一, 民间美术在时代发展的冲击下, 实用性减少, 观赏性提高, 作品批量生产, 工业化现象严重, 使其失去了其最根本的性质。第二, 地区特色不鲜明, 差异减少, 互相借鉴, 风格趋同。第三, 对区域民间美术需要有保护继承和发扬, 创造新的民间美术。

三、区域化民间美术保护的意义

近年来, 社会各界对民间美术保护表现出了相当的热情, 越来越多的民间文化珍品被收进博物馆, 但与此同时, 另一个问题接踵而来:凝聚着中华民族聪明才智的民间美术珍品, 其实并没有在博物馆找到它们真正的归宿———一些被收进博物馆的民间美术藏品, 却在这个最应该保护它们的地方, 仍面临着继续“消失”的危险。那些被送进博物馆的民间美术品在大博物馆里得不到与高价文物同等的待遇, 根本没有展出机会。而更让人忧虑的是, 目前一些地方对民间文化的保护尚停留在只“抢”不“救”的初级层面。认为把这些遗产“抢”进博物馆便万事大吉。许多民间美术藏品被堆放在没有恒温、恒湿条件的房子里, 任凭纸张在霉变、银饰在变黑、木器在生虫腐朽。要想使其在人的生活中继续保持生命活力并且传承下去, 上述保护方式显然是不够的。

四、区域化民间美术资源收集及保护措施

浩如烟海的民间美术, 随着时代的发展变化, 却有消失的趋势。今后如何抢救保护和继承发展, 那将是全民族的任务。对于我国区域民间美术资源收集及保护, 主要通过以下几个方面进行收集和保护: (1) 通过相关的法律法规手段, 将“区域化民间美术”纳入到专利法、商标法等法律法规的范围中, 加强对“民间艺术”的保护力度。 (2) 建立“区域化民间美术”作品申报登记制度, 建立全国性的“区域化民间美术”数据库。也就是说利用现代的表现手段, 通过语言、文字描述、录音、录像、样本、模型以及它们的结合等方式将各种民间文学作品确定下来, 建立相关的档案和文献记录。 (3) 各区域政府要把“区域化民间美术”的保护工作纳入当地的经济和社会发展、城乡建设规划, 实施保护专项资金, 并致力于建立“区域化民间美术”的保护的工作领导小组及委员会, 制订相应的工作方案和“区域化民间美术”的保护规划, 建立以政府为主体、社会各界广泛参与的“区域化民间美术”保护机制。 (4) 广泛开展宣传。利用报纸、电视台等新闻媒体和大型海报等多种形式, 宣传对“区域化民间美术”保护的重要意义、艰巨任务和作用, 通过举办“区域化民间美术”展览等方式, 鼓励社会各界踊跃参与“民间艺术”保护工作, 营造良好的“民间艺术”保护氛围。

参考文献

[1]张道一.张道一文集[M].安徽:安徽教育出版社, 1999.

[2]崔锦, 王鹤.民间艺术[M].北京:人民出版社, 2008.

[3]代江涛.从青岛民间剪纸艺术看民间剪纸艺术的传承和保护研究[D].山东大学硕士学位论文, 2008 (4) .

[4]钟福民, 张艳.论民闻美术研究[J].青海民族大学学报, 2010 (6) .

[5]白亮.民间美术的传承及发展[D], 武汉理工大学硕士学位文, 2003 (5) .

[6]董春雷.民间美术与学校教育[J], 文艺研究.2005 (5) .

[7]钟福民.论民间美术研究范式的当代转向[J].南京艺术学院学报, 2011 (3) .

[8]王毅.中国民间艺术论[M].山西:山西教育出版社, 2000.

关于数字档案信息安全技术的研究 篇9

1.1 访问控制技术

访问控制是网络安全防范和保护的主要策略, 它的主要任务是保证网络资源不被非法使用和非法访问。根据访问控制的内容可分为入网访问控制和网络的权限控制两种。

入网访问控制是控制哪些用户能够登录到服务器并获取网络资源, 同时也控制准许用户入网的时间和准许他们从哪台工作站入网。用户入网访问控制有两道防线, 第一道防线就是防火墙。但防火墙只能防止外部的攻击, 而不提供内部的保护, 当非法用户绕过防火墙进行入侵时, 防火墙的便无法起到保护的作用, 因此, 还必须有第二道防线, 那就是对访问者进行身份鉴别, 主要是用户名的识别与验证、用户口令的识别与验证、用户账号的缺省限制检查。

网络的权限控制是针对网络非法操作提出的一种安全保护措施。用户和用户组被赋予一定的权限, 它指定用户和用户组只可以访问哪些目录、子目录、文件和其他资源, 限制用户可以执行的操作, 防止用户越权操作。

1.2 安全检测技术

安全检测技术是近年出现的新型网络安全技术, 目的是实时地入侵检测及采取相应的防护手段。网络安全检测系统可分为两类。基于主机的入侵检测系统用于保护关键应用的服务器, 实时监视可疑的连接, 系统日志检查, 并且提供对典型应用的监视, 如服务器应用。

1.3 加密技术

加密是实现信息保密的重要手段, 它把有关的原始数据作为明文P, 经加密算法E的变换, 成为所谓的密文C, 使无关人员几乎无法读懂、无法应用, 其函数式为:E (P) =C。加密原理可以用图1来表示。

到目前为止, 己经公开发表的各种加密算法多达数百种。按照收发双方的密钥是否相同来分类, 可以将这些加密算法分为私钥加密算法和公钥加密算法。

在公钥加密算法中, 加密方和解密方使用相同的密钥, 即加密密钥和解密密钥是相同或等价的, 即从其中一个容易推出另一个。这种算法的主要缺点在于密钥的安全性容易受到攻击。在私钥加密算法中, 加密方和解密方使用的密钥互不相同, 而且不能从其中一个推导出另一个。

1.4 安全漏洞检测技术

安全漏洞检测技术是指利用已知的攻击手段对系统进行主动弱点扫描, 以求及时发现系统漏洞, 同时给出漏洞报告, 指导系统管理员采用系统软件升级或关闭相关服务等手段避免受到这些攻击。

1.5 安全审计技术

安全审计主要是针对与安全有关活动的相关信息进行识别、记录、存储和分析。审计的记录用于检查网络上发生了哪些与安全有关的活动, 哪个用户对这个活动负责。

1.6 虚拟专用网络技术

虚拟专用网络 (Virtual Private Network, VPN) 是利用不可靠的公用互联网作为信息传输媒介, 通过附加的安全隧道、用户认证和访问控制等技术实现与专用网络相类似的安全性能, 从而实现对重要档案信息的安全传输。

2 技术保障方案体系框架

以现在流行的B/S电子档案管理系统为研究对象, 它采用基于的三层体系结构, 如图2。因此, 其安全性涉及到数据层、网络层和应用层三个层次, 涉及数据库管理服务器安全性和数据传输安全性应用程序安全性和客户端用户权限五个方面的问题。其中数据库管理属于数据层的问题, 服务器安全性和数据传输安全性属于网络层的问题, 而应用程序安全性和客户端用户权限则属于应用层的问题。

2.1数据层安全措施

数据层的安全性实际上就是数据库的安全性。数据库系统的安全保护措施是否有效是数据库系统主要的性能指标之一。数据库管理系统主要采取用户标识和鉴定、存取控制和密码存储等安全性措施。

2.1.1用户标识和鉴定

用户标识和鉴定是系统提供的最外层安全保护措施。其方法是由系统提供一定的方式让用户标识自己的名字或身份。

2.1.2存取控制

在数据库系统中, 为了保证用户只能访问他有权存取的数据, 必须预先对每个用户定义存取权限。

2.1.3定义视图

在关系系统中, 可以为不同的用户定义不同的视图, 通过视图机制把要保密的数据对无权存取这些数据的用户隐藏起来, 从而自动地对数据提供一定程度的安全保护。

2.1.4审计

用户识别和鉴定、存取控制、视图等安全性措施均为强制性机制, 将用户操作限制在规定的范围内。

2.1.5数据加密

加密技术是用于构建安全Web应用程序的重要技术。非对称加密使用公钥/私钥。对于使用私钥加密的数据, 只能使用相应的公钥进行解密, 反之亦然。顾名思义, 公钥是指可以提供给很多人的密钥。相反, 私钥是特定个人所独有的。向用户传送公钥使用的分发机制是证书。通常, 证书颁发机构 (CA) 对证书进行签名, 以便确认公钥来自声称发送公钥的主体。CA是一个相互信任的实体。数字认证的典型实现包含证书签名过程。图3中显示了此过程。

2.2网络层安全措施

网络层的安全性体现在两个方面, 其一是WEB服务器的安全性, 其二是数据在传输过程中的安全性。在网络层, 对于外网用户, 采用防火墙设备进行安全防范。在应用服务器上安装部署入侵检测系统和和网络防病毒系统。

2.3 应用层安全措施

应用层的安全性则取决于系统开发过程当中的安全措施, 这种安全措施的得当与否直接关乎到WEB服务器的安全性和数据库的安全性, 因此, 应用层的安全性实质是为数据库和WEB服务器的安全性服务的。

2.3.1 应用程序安全性

应用程序安全性主要是要防止恶意脚本注入和SQL注入。为了防范, 可采用如下安全策略:

(l) 验证用户输入:使用NCT内置验证控件控件进行验证, 特别是对于各种可能输入的脚本关键字、SQL关键字进行监控。

(2) 在涉及到数据库操作中, 尽量使用数据库存储过程, 这样既利于保证数据库的连接方式的安全, 也利于防止用户通过恶意的SQL对数据库进行攻击。

2.3.2 用户权限和操作对象

档案信息安全保障体系的建设研究 篇10

关键词：档案,影响因素,技术体系,管理体系

档案信息资源是国家和企业的宝贵财富和重要战略资源, 具有信息量大、保密性强的特点, 是其他工作开展的重要信息来源和基础工作保障。随着档案信息资源作用的增强, 档案信息安全保障体系经历了时代性的创新和改革, 已形成了档案信息搜集、整理、管理、查阅的完整体系。这大大提高了档案管理的有效性和安全性, 从根本上保证了档案信息的安全性, 提升了档案的管理水平, 有助于实现国家和企业档案 (信息) 安全保障工作的长远战略目标。

1 档案信息安全的主要影响因素

1.1 环境因素

档案信息安全工作所涉及的环境因素包括自然环境和特定的档案安全工作环境, 具体包括自然灾害的影响 (地震、泥石流、火灾等) 和特定物理环境的打造 (网络安全系统、计算机硬件设施、辐射、污染、空气湿度、防盗设施等) 。

1.2 硬件因素

作为档案信息安全的基础, 硬件因素以物质的形式决定着档案信息安全工作的有效性。调查发现, 大多数档案信息安全防御系统失效是由于硬件设备发生故障或遭到损坏引起的。硬件设施是档案信息的存放单位, 其质量要求和管理工作相当重要。硬件设施在保管和运输过程中容易发生损坏或丢失, 并且易受到环境因素的影响, 导致档案信息安全受到威胁, 致使重要信息资料损坏和丢失。所以, 档案信息安全的硬件因素是最重要的影响因素。

1.3 技术因素

技术是决定档案信息安全的核心要素。在互联网信息时代, 档案安全技术是保证档案信息安全的关键。黑客入侵、木马病毒等恶意侵犯使档案信息安全受到威胁。对此, 只有不断升级、更新档案信息安全技术, 防止病毒传播、黑客入侵, 修复程序漏洞, 才能真正保证档案信息的安全。

1.4 管理因素

管理工作是档案信息安全的重要组成部分, 是档案信息安全技术发挥作用的基础。管理人员承担着档案信息安全的政策制订、安全风险评估、人员培训、后勤供应等责任。

1.5 人为因素

人是档案信息安全工作的主体和实施对象, 是档案信息安全工作体系维护的重要作用因素。因此, 人员的安全意识、工作技能和责任心等都会对档案信息安全工作产生重要的影响。

1.6 社会因素

社会因素属于抽象的概念, 具体包括组织管理环境、法律环境、人们的思想认识等。积极的社会氛围和人们的认识有助于塑造良好的档案信息安全保障环境。而提高人们对档案信息安全的责任意识和安全维护意识, 对打造良好的档案信息安全保障环境具有重要意义。

2 档案信息安全保障体系的建设与思考

档案信息安全保障体系是保障档案信息安全的根本, 具有周期长、信息量大、复杂等特点, 包括信息资源、安全保障技术、工作人员和工作环境等主要因素。其中, 信息资源是根本, 安全保障技术是核心, 工作人员是重要因素, 环境是必需要素。所以, 构建长期、有效的档案信息安全保障体系应当从大局着眼, 战略性地规划、实施。具体可以从以下几方面开展。

2.1 技术体系

作为档案信息安全保障体系的核心组成部分, 技术体系有着举足轻重的作用。应当将其看作有机的技术连接合作, 而不是简单的技术组合, 并牢牢把握技术体系的组成部分, 即计算机环境、网络基础实施、技术支持等, 科学、严谨地把握技术体系的有效性。从技术体系层面保障档案信息安全应当注意以下几个方面: (1) 物理环境安全。保护好档案信息安全的物理环境和硬件设施, 制订科学、规范的环境保护制度, 配备最先进的视频监控、灾害防御系统和档案信息资源备份系统。 (2) 网络基础设施。根据网络风险系数, 结合实际情况, 针对档案信息安全管理的目标和任务, 构建分级防御防护体系。 (3) 系统安全。依据有效的系统风险评估, 有针对性地分析各类风险和安全隐患, 构建主动防御系统, 变被动为主动, 及时发现和消除安全隐患。 (4) 系统数据安全。系统的安全运行仅仅保护了系统服务的可用性, 即提供了档案数据存储、处理和传输的必要条件, 要确保档案数据的安全、可靠, 必须保证合法用户的权益, 以授权形式操作信息。

2.2 管理体系

依托档案信息安全技术体系, 构建科学、规范的档案管理体系。以技术为指导, 根据档案信息安全精神, 充分发挥工作人员的工作积极性, 使管理体系的效用最大化;建立流程可追溯机制, 开发日志记录功能, 加强过程控制, 避免出现档案信息安全漏洞;重点实施保密要害部门、部位的安全监管;制订相应的特别管理制度和多层次的监管措施, 档案信息安全考核是岗位考核的重点;定期组织工作人员学习档案信息安全法律法规和政策, 营造良好的工作环境氛围, 强化档案信息安全的法制防线;形成定期的档案信息安全评估机制, 开展风险分析工作, 适应环境与技术的变化, 建立动态的防御体系, 积极应对可能发生的各种危及档案信息安全的状况。

2.3 人才体系

人才是档案信息安全体系的关键性因素。虽然档案信息的来源更加广泛, 搜集整理方式也越来越多样化, 查阅、利用方式更加多样和便捷, 但是这一切都离不开档案管理人才的实施。随着档案信息安全管理工作的网络化、技术化, 其涉及的知识越来越多, 对工作人员的技能要求也更加严格, 因此, 档案信息安全专业人才的吸收和现有工作人员工作技能的提升也成为了档案信息安全工作的重要课题。笔者认为, 档案信息安全体系工作人员管理水平的提升应当从安全意识入手, 然后通过专业技术的学习、责任心的提升和团队意识的加强等方面来不断提升工作人员的水平。

3 结束语

快速发展的社会经济和信息化发展要求档案管理系统更加完善, 档案资源信息化的重要性也因此凸显, 而人们对档案的认识, 获取、查阅、利用信息的方式也发生着时代性的变化。面对外部环境和人们对档案信息需求的变化, 档案管理服务部门的相关工作也应当与时俱进, 走信息化管理道路, 重视档案信息资源的静态安全与服务质量的动态稳步提升, 构建并加强档案信息安全保障体系防御技术, 提升管理水平, 实现功能强大、服务完善的档案信息资源安全服务。

参考文献

档案信息安全保护研究 篇11

关键词：信息安全；等级保护；定级；备案

中图分类号：G203 文献标志码：A 文章编号：1673-8454（2015）21-0012-05

一、背景

近些年来，随着互联网和信息通信技术的发展，信息系统在各行业、各领域快速拓展。随着大数据时代的到来，伪造基站、BIOS后门、高斯病毒、短信僵尸等各类网络攻击层出不穷、日新月异，保障网络与信息系统安全，已经成为信息化发展中迫切需要解决的重大问题。教育部、北京市教委等部门为保障教育信息系统的安全，逐步推出了相关政策和工作办法。

二、信息安全等级保护概述

信息安全等级保护（以下简称等保）是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实施安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置的综合性工作。[1]

系统定级备案的实施是信息安全监督、检查和问责的需要。通过备案可以使信息化主管部门知道在哪里、由什么人运行着何等重要程度的信息系统，为信息安全管理提供基础数据。本文着重论述高等院校信息系统信息安全等级保护定级备案工作的实施，所指信息系统是指由计算机及其相关和配套的设备、网络构成的对教育行业相关业务信息进行采集、加工、存储、传输、检索和处理，不涉及国家秘密的系统。[2]

1.信息系统定级备案基本分类

信息系统定级是等级保护的第一步，需分析系统的业务信息类型和系统服务类型，确定信息安全受到破坏时所侵害的客体，确定对客体的侵害程度。信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，以及系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。[3]高等院校信息系统中，招生管理类、数据集成类、校务管理类、基础网络服务类等信息系统的业务信息安全或系统服务安全受到破坏，可能影响学校正常秩序，影响高校正常行使工作职能，侵害学校、教师、学生及部分社会公众合法权益，可能在一定范围内对社会秩序造成影响，可能侵害公共利益，引起法律纠纷等；教学支持类、科研管理类、公共服务类、信息发布类等信息系统业务信息安全或系统服务安全受到破坏，可能影响学校正常秩序，影响高校正常行使工作职能，侵害学校、教师、学生合法权益，引起法律纠纷等。[4]

2.高等院校信息系统定级备案的基本原则

为了保护信息安全等级保护工作的科学性、合理性，高等院校的信息系统在实施过程中应遵循以下原则：

（1）自主保护原则。在高等院校的信息安全等级保护工作中，学校各二级单位按照相关标准对管辖范围内的信息系统进行自主定级、自主保护，并接受信息化主管部门的监督、管理。

（2）重点保护原则。将学校有限的财力、物力、人力投入到招生、教务、科研等重要信息系统安全保护中，依据相关标准建设安全保护体系，建立安全保护制度，落实安全责任，优化信息安全资源配置。

（3）同步建设原则。按照等保要求，在学校新建和改建的信息化项目中，将信息安全建设与系统建设同步规划、实施。

（4）动态调整原则。高等院校信息系统的应用功能、服务对象、范围等会根据政策、管理办法、新业务需求而发生变更、扩展。当发生较大变化时，应根据等级保护管理规范和技术标准的要求重新定级、备案，实施安全保护。

三、高等院校等保定级备案管理办法的研究

1.高校信息安全管理存在的主要问题

目前高等院校在信息安全等级保护备案方面存在着以下问题：

（1）二级单位难以按照信息安全等级保护基本要求结合自身情况制定切实可行的信息安全管理制度和技术标准规范。

（2）系统、网站的建设注重业务应用的实现，缺少安全设计和部署，开发环境与生产环境混淆，没有足够的测试急于上线，缺少安全防护意识。

（3）系统的不断改造升级，增加了网络安全的脆弱性，降低了系统的安全状态。

（4）部分二级单位对本单位的信息系统及网站底数不清，依然存在各自为政开设网站的情况，安全防护不统一。且存在科研教学机构替其他用户单位在校内开发、运营系统的情况。

（5）由于学校人员组织、编制等限制，无法严格按照等保要求组建专门的、专业的安全运维管理组织，配备岗责明确的职能人员。二级单位的系统管理员、网站管理员计算机知识与技能相对欠缺、安全意识相对薄弱，不足以开展安全自查、安全防范和风险分析排查。

针对上述问题，本文研究信息安全保障机构的建立、校内定级备案工作流程、自查监察管理办法等，以改进高校等保定级备案工作。

2.高校信息安全保障机构的建立

以高校现有校院两级管理实体为基础，确定信息安全领导小组、专家组以及信息安全主管部门和责任人，统一管理与协调。按照“谁主管、谁负责”的原则实行信息工作责任制和责任追究制，保证全校的信息安全建设与运维的管理职责得到落实。

本文建立的信息安全保障机构实质上是一个三级机构，如图1所示：

（1）信息化主管部门

信息安全领导小组领导下的信息化主管部门通常包括两类：

一类是宣传部、信息办等内容主管部门。负责学校各级网站的内容管理，包括网站审批、舆情监控；负责信息安全组织机构的人员信息登记等工作。

另一类是信息中心、网络中心等技术主管部门。负责全校信息安全等级保护的管理工作；负责校级系统的物理安全、网络安全、主机安全以及应用和数据安全；根据等级保护相应等级的技术要求对二级单位的系统网站进行安全监测、整改等工作。

（2）信息安全第一责任人

二级单位信息安全第一责任人原则上为本部门一把手，对本部门各业务系统及管辖下的网站在形式、内容、运行方面承担监督和管理的责任，负责建立和完善本部门网络安全和信息安全组织，统筹本单位的信息系统建设，建立健全本部门信息化管理制度，审批确定本部门信息系统的安全运维方案和应急预案。

信息系统和网站的申请建设、改造升级以及撤销，信息安全第一责任人负责依法进行信息安全等级保护备案和定级工作，报信息化主管部门备案。

（3）二级单位信息安全工作实施小组

二级单位信息安全工作实施小组主要包括四类人员。

①信息安全员

各二级单位须指定信息安全管理员，负责本单位网络与信息系统的管理和运维工作。接受本部门第一责任人、信息化主管部门的领导，协调本部门的系统管理员、网站管理员以及信息发布员实现信息系统等级保护的管理要求、技术要求。主要有以下工作：

协助信息安全第一责任人统筹本单位的网络建设和信息系统建设，管理本单位的二级网站和三级网站，包括信息系统安全等级保护定级备案以及自查等实施工作。

负责本单位局域网管理，学校固定IP、域名等网络资源的申请、配置、管理工作。

负责本单位的信息收集与维护工作，保证数据的准确性、及时性，支持校内外信息交流和交换、数据上报。

负责本单位网络安全、信息安全与保密工作，对系统安全策略、系统备份、日志管理和操作流程等方面制订管理办法。

②系统管理员和网站管理员

系统管理员和网站管理员应是在职教职工，根据所负责的计算机信息系统对应的信息安全等保等级进行相应技术和管理工作，从服务器、数据库、应用服务等多层面进行系统的补丁升级、定期备份、巡检、应急响应、故障解决等工作，保障系统正常、稳定运行。

③信息发布员

信息发布员是网页具体内容的审核发布人员，应保证信息的及时有效性，能根据上级领导或主管部门的要求更新、撤销、归档网页信息。

④资产管理员

通常高等院校各二级单位都有固定资产管理员，虽然这些管理者不是信息化专业人员，但是负责软硬件各类设备的管理，因此也应纳入等保安全保障体系范畴。

3.校内定级备案工作

高等院校，特别是理工类高等院校内的系统/网站繁多，且教学、科研、服务等应用目标不同，管辖等级不同（校级、院部处级、实验室以及群团组织等），但无论系统大小都应按照有关法律法规进行等级保护定级备案。

各系统主管单位根据信息系统分类、系统重要程度及实际的安全需求，参照《计算机信息系统安全保护等级划分准则》、《信息系统安全等级保护基本要求》和《教育行政部门及高等院校信息系统安全等级保护定级指南》进行定级（高校一般不涉及四、五级系统），实施安全保护。原则上安全等级应不低于建议级别；对于承载复杂功能的信息系统，安全等级可高于建议级别；对于承载多个业务功能的信息系统，应以建议的最高安全等级进行定级。其中电子公文与信息交换、信息门户系统、招生管理系统等为重要保护对象。[4]

本文设计的高等院校内部定级备案工作流程如图2所示。

本工作流程中，等级保护定级备案的关键节点在于二级单位在新建系统或网站时，需要申请服务器、固定IP以及二级域名等网络资源。信息化工作主管部门通常可以在此节点要求二级单位完成系统的定级备案工作，以防疏漏。

如果是校级系统、二级单位重要业务管理系统，通常需要经过经信委等上级主管部门的审批，因此可以在立项之时就进行相应的定级备案、安全规划，落实信息安全等级保护相关控制，以确保在系统的规划设计、建设实施、运行维护整个安全生命周期中贯彻信息安全等级保护要求。

4.自查监察管理办法

（1）等保自查

学校信息化工作主管部门以及各二级单位每年都应参照等保的要求项和控制点，对管辖范围内的信息系统依据保护级别制定安全策略，规范管理和技术实施，并定期检查。包括网络与信息系统安全基本情况、技术防护情况、信息安全产品使用和信息技术服务外包安全管理情况、应急处置及容灾备份情况以及等级保护工作落实情况等。并填报自查结果，上报主管部门备案。

（2）安全监控

信息化工作技术主管部门负责利用可利用的安全技术、产品以及工具了解和评估系统的安全状态；从物理环境、网络、系统、应用、数据，到最终的用户终端汇集安全监控审计信息（详见图3），并进行分析及时发现安全隐患，提供可能的解决方案和技术支持。

信息化工作技术主管部门还应配合教委、公安局等上级部门进行信息安全的抽查、整改工作，完成每年度的信息安全等级保护工作汇报，保障敏感时期的信息安全保障工作。

（3）整改管理办法

对于自行发现的安全隐患以及上级下达的整改通知，信息化主管部门通知二级单位，落实人员限期实施整改，并配合系统主管单位将系统调整到“最安全”和“风险最低”状态。整改完成后，二级单位以书面形式上交整改报告，说明安全问题描述、原因、整改措施等。对于影响严重的系统或不能按期整改完成的系统，信息化技术主管部门有权停止网络服务，经核准整改效果后方可销案，同时加入重点安全监控名单。对于不能解决的安全问题和重大安全问题应及时告知信息安全领导小组和专家组，寻求领导层和校外专业团队的指导。

四、高等院校等保定级备案管理系统探究

信息安全等级保护定级备案以及自查整改的实施，大多是信息采集、录入和管理工作。然而又不同于一般的行政管理，需要结合技术的和非技术的手段保证全校等级保护工作的系统性、可行性、有效性和可扩展性。

目前已经有公司推出了信息安全等级保护综合管理系统，通过应用软件实现各种备案信息的录入、批量导入/导出、审核，从而进行备案信息的查询、检索和统计，以及为上级主管部门提供本单位的信息系统备案状况。但是，这些系统大都缺乏分层管理、数据关联、约束检查，使等保信息还是处于分散的状态中，也不便于校内日常信息安全工作管理。本文从信息化人员管理、资产管理以及制度管理的角度出发，讨论此类系统的设计思想，以实现定级备案工作在高校实施中的有效落地。

1.数据关联与约束（见图4）

建立信息安全保障体系对照表，通过Dept_code、Administrator、Assets_Manager、Assets_code、Rules_code关键字实现系统与部门、系统与管理员、系统与资产、系统与制度的关系。可以知道一个二级单位有哪些系统，分别是几级系统；可以知道每个系统使用了哪些固定资产，管理员是谁；可以知道每个系统建立或使用了哪些制度，是校级的还是二级单位内部的，等等。例如，通过上述关联可以很容易得到如表1所示的查询统计表。

而从表2不仅可以获得二级单位各系统的资产信息（软硬件），而且可按系统、部门进行汇总计算，获得国外产品百分比统计等信息。

通过资产编码Assets_code关联资产信息和资产检查表，按照资产类型编码对应的技术要求-Technology_checkcode、Technology_Description检查项填写资产检查表的检查结果，并记录日期，可以用作后续的变更记录和跟踪。

通过系统编码System_code从系统定级信息获取系统安全等级G_level，对应到管理要求表得到相应的检查项信息，再根据“制度-管理检查项对照”自动获取校级制度，便于二级单位的管理制度检查信息的填报。

这些关系的建立，不但可以获得更多的级联信息，而且可以进行约束。例如，通过制度的“共享标志”约束其他部门是否能使用二级单位自定义的制度；通过在系统备案基本备案信息中录入的资产数量Assets_number来验证资产信息是否填报完备，等等。

2.数图关联

资产管理涉及机器设备、软件系统等方面。梳理资产是实施等级保护的过程中重要的一步，以确定学校各系统的资产，明确责任人、物理位置、使用情况以及数据信息交互情况。

高校信息系统的资产管理大多还处于手工管理的离散状态，即便有固定资产管理系统，也只是从财产角度对各类资产进行注册在案（其分类与信息化角度不同），没有按照信息安全等级保护的管理要求、技术要求记录更为详尽的管理信息、运维信息。

本文建议建立基于拓扑结构图的信息系统资产管理，便于基础信息的录入、等保检查项检查和直观展示。因为，如果只是通过二维表或者树状结构图的形式输入资产信息，难以直观地了解到哪些网络设备、哪些服务器、哪个数据库以及哪个Web应用是一个系统的。但是基于拓扑图资产信息管理，可以通过图形符号的方式建立资产之间的关联，便于掌握一个系统的整体资产情况。例如，一台服务器的符号可以连接服务器、中间件、数据库、应用等多层资产，逐一录入（包括没有固定资产的免费资源）。如果少了哪一层资产没有填报（没有需说明理由），即当前备案信息尚不完备，则该系统应该是不允许访问的状态。从等保管理要求，信息化主管部门就可以停止其运行服务。

五、结束语

每个高等院校都会有自己的信息化组织机构、管理制度和办法，信息化建设进程也不尽相同，在具体应用《信息安全等级保护基本要求》时，不应一味追求所有的安全项，而是要根据学校自身信息化建设情况、特点，兼顾可操作性设计和实施信息安全体系建设，稳步渐进地落实等级保护工作。

参考文献：

[1]中华人民共和国国家质量监督检验检疫总局，中国国家标准化管理委员会.GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求[S].中国标准出版社，2008.

[2]中国教育信息化网.北京市市属教育行业信息安全等级保护定级评审工作办法[EB/OL]. http：//www.ict.edu.cn/laws/difang/n20140623_14386.shtml，2014-06-23.

[3]沈昌祥，信息安全保障建设中的等级保护[J].信息技术与标准化，2007（11）.

[4]教育部办公厅.教育行业信息系统安全等级保护定级工作指南（试行）[Z].2014.10.

高校信息系统安全等级保护研究 篇12

关键词：高校,信息系统,安全等级,保护

随着信息技术的迅猛发展和计算机网络的快速普及,信息系统在各行业、各领域得到广泛应用。高校作为学术研究的重要阵地,信息化建设高速开展。校园网、信息系统的建立,为学校教学、科研和管理提供资源共享、信息交流和协同工作的网络平台,并且已成为高校信息化建设的重要组成部分,同时也是衡量一个高校教育信息化、现代化的重要标志。大数据、云计算、“互联网+”等新技术出现的同时,伪基站、BIOS(基本输入输出系统)后门、木马僵尸、SQL(结构化查询语言)注入、DDOS(分布式拒绝服务)攻击等各类网络攻击层出不穷、攻击方式变异频繁,因此,保障网络与信息系统安全,已成为高校信息化发展中迫切需要解决的重大问题。

1 信息系统等级保护

信息网络的全球化使信息网络的安全问题日益严峻,任何与互联网相连接的信息系统都必须面对世界范围内的网络攻击、数据窃取、身份假冒等安全问题。信息系统安全最重要的3 个属性是机密性、完整性与可用性。

信息系统等级保护的核心是对信息系统分等级、按标准进行建设、管理和监督。根据信息系统在国家安全、经济建设、社会生活中的重要程度,遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织合法权益的危害程度,针对信息的机密性、完整性和可用性要求及信息系统必须要达到的基本安全保护水平等因素,信息系统的安全保护等级分为以下五级:第一级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害国家安全、社会秩序和公共利益;第二级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益产生严重损害,或者对社会秩序和公共利益造成损害,但不损害国家安全;第三级,信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或者对国家安全造成损害;第四级,信息系统受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造成严重损害;第五级,信息系统受到破坏后,会对国家安全造成特别严重损害。

2 高校信息系统安全现状

为保证高校信息系统安全性,对信息系统按重要程度、数据的机密性等进行不同等级的划分并按级别进行保护是必要的。目前,高校信息系统的安全等级保护主要存在以下几个问题。

第一,思想认识不到位。部分高校对信息系统安全等级保护工作认识不足,认为信息系统定级过高会提高管理成本,造成不必要的麻烦。

第二,在信息安全方面的资金投入不足,等级保护工作整改不到位。部分高校学校经费紧张,信息化建设主要投资在校园网络的基础设施,针对网络安全方面的专项投入不足。

第三,未建立相应的安全管理机构和安全管理制度,一些必要的管理制度没有制定。此外一些管理制度修订不及时,已经不能满足当前系统安全管理的需求。

第四,专业技术力量较弱,技术防护与制度落实不彻底。部分高校网管人员专业技术力量较弱,一些不属于网络中心的网络处于无人监管的状态。

第五,部分二级单位对本单位的信息系统及网站底数不清,依然存在各自为政开设网站的情况,安全防护也不统一。此外,还存在科研教学机构替其他用户单位在校内开发、运营系统的情况。

第六,在建设网络安全体系时,存在重技术、轻管理的现象。许多安全设备处于系统默认配置,安全设备不能起到应有的作用,部分系统没有配备安全管理员。

3 高校信息系统等级保护

3.1 实施流程

高校信息系统安全等级保护的实施应按照公安部门及教育主管部门的相关文件要求严格执行,其主要包含明确责任主体、自主定级、专家评审、主管部门审核批准、公安机关备案、差距测评、安全整改建设、验收测评等流程。

第一,明确责任主体。按照“谁主管谁负责、谁运维谁负责、谁使用谁负责”的原则,信息系统的主管单位为定级工作的责任主体,负责组织运维单位、使用单位开展信息系统定级工作。

第二,自主定级。首先要确定本单位有哪些符合定义的信息系统需要做等级保护工作。在定级时要坚持自主定级、自主保护的原则。参照《信息系统安全等级保护定级指南》,根据本单位实际情况,对本单位的信息系统作自我评估,完成自主定级。

第三,专家评审。主管单位完成信息系统自主定级后,聘请有关信息安全等级保护专家对信息系统自主定级情况进行评审,形成评审意见,以求准确对信息系统进行定级。

第四,主管部门审核批准。主管单位完成信息系统专家评审后,填写《信息系统安全等级保护定级报告》《信息系统安全等级保护备案表》和信息系统安全等级保护专家评审意见等材料报送至所属教育主管部部门进行审批,并出具行业定级意见。

第五,公安机关备案。高校定级为二级及以上的信息系统需要到当地公安局网监部门备案审核。

第六,差距测评。完成定级、备案后,高校应委托具备信息安全等级保护测评资质的且熟悉教育行业的第三方测评机构,按照相关要求和标准,对信息系统安全保护状况开展差距测评,并编写差距测评报告及整改建议。

第七,安全整改建设。高校根据差距测评报告和整改建议,针对存在安全问题的信息系统,有针对性地进行整改建设,提高信息系统的安全性。

第八,验收测评。完成安全整改建设后,高校应委托具备信息安全等级保护测评资质的且熟悉教育行业的第三方测评机构,按照相关要求和标准,对信息系统开展验收测评,编写验收测评报告,并送至公安机关备案,以完成安全等级保护工作。

3.2 保障策略

高校信息系统的等级保护存在各种各样的问题,以至于等级保护工作落实不到位,为保证安全等级保护工作顺利进行,应采取如下保障策略。

第一,提高安全意识。信息安全等级保护管理部门应加大信息系统安全等级保护工作的宣传力度,定期召开由各高校有关信息系统部门负责人参加的信息安全等级保护相关会议,宣传信息安全等级保护工作的重要性和意义,促使高校加强对信息系统的安全意识。

第二,增强技术能力。高校信息系统安全,需要强大的技术团队作支撑。在开展安全等级保护工作中,专业的技术能力是保证测评工作和整改工作顺利高效进行的基础。因而,应注重技术能力的培养和提高。

第三,建立安全管理机构、健全安全管理制度,保证信息系统安全的专项预算。针对高校信息系统,应及时建立及更新各项管理制度,以达到安全等级保护的要求,并满足系统安全管理的需求,同时在制度中规划高校信息系统安全建设的整体方针,并保证网络安全方面的专项投入。

4 结语

高校信息系统的安全至关重要,信息系统安全等级保护是保障信息安全的重要屏障。充分了解高校信息系统安全的现状和存在的问题,并严格按照等级保护的要求、实施流程对高校信息系统进行等级保护,建立高校信息系统安全等级保护完整体系,有利于高校信息系统的安全保护。

参考文献

[1]冼伟铨,王厚奎.等级保护要求下的高校Web安全[J].信息安全与技术,2012(2).

[2]高朝勤.信息系统等级保护中的多级安全技术研究[D].北京:北京工业大学,2012.

[3]路萍,翟跃.信息安全等级保护备案在高等院校中的研究与实践[J].中国教育信息化:高教职教,2015(21).

[4]刘玉燕.高校信息安全等级保护评测[J].信息技术,2011(2).