基于風險評估的電子文件安全管理體系

陳奭琛

隨著信息技術的發展，電子政務建設不斷深入，電子文件的數量日益龐大。根據《中國電子文件管理現狀調查與分析報告》，“目前，我國機構生成的電子文件數量占全部文件數量的72.7%。”由于自身的特點，電子文件從產生的那一天開始就時刻面臨隨時可能發生的風險。風險評估是風險管理的一個重要環節，我國信息安全管理國家標準《信息安全風險評估規范》（GB/T20984-2007）、《信息安全風險管理指南》（GB/Z24364-2009）將風險評估作為信息安全領域的一個技術手段。

電子文件風險評估是電子文件安全管理的重要前提和基礎，也是檔案信息化建設的重要課題。基于風險評估的電子文件安全管理體系能夠對電子文件信息安全狀況進行“把脈”，提出針對性的“診療”手段，而不是傳統管理被動的“頭痛醫頭腳痛醫腳”。

一、電子文件風險評估的意義

（一）風險評估是電子文件安全管理的前提和基礎。由于自身的特點，電子文件的風險始終客觀存在。檔案工作者的努力目標就是利用一切先進的技術和方法，把風險降到最低，把損失控制在最小的范圍內。運用風險管理的理念和方法，對電子文件進行風險評估，能夠對電子文件進行科學、全面的分析，查找可能威脅電子文件的風險，在風險發生之前作出判斷，采取措施，及時應對。因此，風險評估對檔案工作具有重大意義，是傳統檔案管理方法的有益補充。

（二）風險評估是進一步完善電子文件安全管理的關鍵環節。它能夠利用科學的量化標準，對風險發生的概率及其可能造成的損失進行預測和分析，并在此基礎上對存在風險的環節進行改進和完善。電子文件安全管理實行風險評估能夠使管理者全面、清晰地把握電子文件存在的危險和不足，有利于進一步改進管理方法，理清管理思路，完善管理制度，全面提升電子文件管理水平。

（三）風險評估是實施電子文件安全等級保護的必然要求。要對各類電子文件實施安全等級保護，就要在電子文件安全管理中開展風險評估，對電子文件安全管理體系中存在的風險進行安全預測，科學定級，分級管理。

（四）風險評估是實現電子文件管理國際化的重要途徑。隨著信息安全工作的發展，風險管理在電子文件管理中的作用越來越得到人們的認可，信息安全風險評估也從單一的技術手段發展成為一種科學的管理體系，科學統一的技術規范和評定依據逐漸成為風險評估的必需。由于信息安全事關國家利益，大部分發達國家都制訂了電子文件風險評估標準，并將之作為行業的技術性法規。電子文件管理廣泛開展風險評估，有利于推廣信息技術安全保護標準化，有利于促進國際間技術交流合作，是實現電子文件管理國際化的重要途徑。

二、電子文件風險評估工作的困境

（一）風險認識存在偏差。電子文件已經成為檔案產生、保存和管理的主要形式，由于其自身特點，各種各樣的危險始終緊隨著電子文件，但許多人對電子文件風險的認識卻存在不同偏差。有的風險意識薄弱，認為傳統紙質檔案對保存環境要求條件高，需要預防微生物、蟲害、嚙齒動物等的損害，還要時刻注意光照、溫度、濕度、灰塵等因素，而電子文件只需要一臺計算機就能解決所有問題，而且保存簡單、利用方便，一勞永逸。也有的認為電子文件作為信息技術的產物，必然面臨不可讀、失真、黑客等威脅，且一旦造成損失，往往是蕩然無存又無法挽救，其風險無可避免。也有的認為現代信息技術十分先進，只要建立科學的管理體系，采納先進的管理技術，絕對能夠避免電子文件的風險。正是因為存在對風險認識的各種偏差，導致管理者和利用者沒有科學、正確地認識電子文件的風險，或者麻痹大意，或者失去信心，或者陷入一味追求絕對安全的誤區。正是因為存在各種對風險認識的偏差，目前我國電子文件風險管理水平較低，尤其缺乏必要的風險評估活動。

（二）安全風險評估工作滯后。一是沒有一支專業的風險評估隊伍。電子文件風險評估是一項專業化非常強的工作，我國有一些風險意識較強的已經嘗試開展風險管理，但仍然沒有一支專業的風險評估隊伍。二是評估標準亟待完善。根據國家信息安全等級保護“自主定級，自主保護”的原則，應該根據自身情況制訂科學的定級標準，嚴格執行，確保電子文件安全管理。但我國大部分目前尚未制訂信息安全保護等級標準，沒有真正執行電子文件等級保護的規定。三是風險管理缺乏系統性。電子文件風險管理是一個系統工作，包括風險管理規劃、風險評估、風險應對和風險監控等四個基本環節。風險評估是整個風險管理的基礎性工作，但評估的結果必須與風險管理的其他環節緊密結合，特別是要具體指導風險應對和風險監控活動。由于電子文件風險管理剛剛起步，還沒有建立系統的風險管理機制，無法真正實現風險評估“有理可依，有據可循”。

（三）電子文件管理停留在傳統安全保護階段。電子文件是檔案管理的特殊對象，一些檔案工作者沒有認識到電子文件既是“檔案”又是“電子信息”的特點，管理停留在傳統安全保護階段，沒有采取先進的風險管理方法，給電子文件管理遺留下不少安全隱患。一是管理過程缺乏全程性，認為保護是電子文件歸檔后的任務，沒有意識到電子文件形成和利用中存在的風險。二是安全管理停留在靜態、被動階段，沒有根據電子文件的發展和單位管理體系內部情況的變化實施動態的風險評估和風險應對。三是大多數沒有積極引入遠程技術、異地備份、云計算等先進的技術加強電子文件安全管理。

（四）信息資產安全形勢嚴峻。信息資產的安全保護和開發利用是提高辦學效益、提升影響力的重要途徑。電子文件已經逐步取代紙質文件成為主要的檔案載體，儲存著數量龐大的數據資產、軟件資產、師生信息、科研資料等。由于電子文件的特點，信息資產存在著高風險性，往往一被泄漏就失去資產包含的價值。許多資產管理者和檔案工作者低估信息資產的價值，忽視電子文件信息保護，導致信息資產安全面臨著嚴峻的形勢。

三、基于風險評估的電子文件安全管理體系

（一）以風險管理規劃完善安全管理體系。風險管理規劃能夠對電子文件管理工作進行統籌規劃，有利于今后電子文件管理的持續、有序、順利開展。應根據電子文件管理的需要，制訂電子文件風險規劃，將電子文件安全管理的實施目標、構建原則、構建方法、工作內容建成一個基本框架，進而確立和完善電子文件安全管理體系。

（二）以風險評估標準規范安全管理策略。電子文件安全管理策略就是針對電子文件安全管理的全局性、基礎性、系統性問題所制定的政策和措施，是對電子文件安全管理的總體思路和指導方針。電子文件安全管理策略是否科學、合理、適宜，關系著電子文件管理目標和任務能否順利實現。風險評估標準是電子文件風險評估的工具，直接決定了安全評估的結果，為風險管理的具體工作提供了操作性指導，因此也影響著電子文件安全管理策略的制定。電子文件風險評估標準的制定既要建立在國際組織和國家政府頒布的信息安全管理標準的基礎上，又要結合電子文件信息安全的具體情況，兼顧定性分析和定量分析的方法，從而達到對電子文件安全管理策略的戰略指導和操作規范。

（三）以風險評估結果引導安全管理工作。電子文件風險評估之所以能夠發揮作用，最主要是評估的結果對整個風險管理工作的指導意義。風險評估能夠初步識別出電子文件安全管理工作中的存在風險及造成因素，并根據風險因素的危害程度確定風險等級，提出應對措施，引導今后的管理工作。

（四）以風險應對策略提升安全管理水平。電子文件風險評估的根本目的是預測文件管理的危險因素并采取有效的應對策略，最大限度地減少各種風險因素造成的損失。為了保證電子文件信息的保密性、完整性、真實性和可用性，電子文件風險應對策略必須對信息資產管理、文件管理和業務管理進行統籌規劃，根據風險因素選擇采用風險預防、風險規避、風險轉移、風險減輕或風險接受等五種基本策略應對風險。一個優秀的電子文件安全管理體系能夠根據電子文件管理的需要采取風險應對措施，并在此基礎上改進文件管理的方法，通過風險應對在實際上不斷提高文件管理體系的科學水平。

電子文件的風險是客觀存在的，開展風險評估活動是尋求一種適度的安全。開展風險評估活動，能夠較為科學地對電子文件存在風險的大小、等級、嚴重程度以及可能造成的損失進行預測，采取風險應對措施，以達到規避風險、控制風險或者降低風險損失的目的。

（作者單位：泉州師范學院檔案館）endprint