电子文件信息安全管理研究(图)

电子文件信息安全管理研究

南京政治学院上海分院军事信息管理系     杨安莲

信息时代，电子文件作为机构核心信息资源，是机构正常运行的信息支持和保障，也是国家信息资源的重要组成部分。但是，由于人们对电子文件认识的不尽全面和管理措施的不尽完善，使得现有电子文件管理模式中隐含着诸多贻患无穷的文件管理风险，信息安全成为电子文件管理过程中难以逾越的鸿沟。本文拟从系统和全局的角度，对电子文件信息安全管理进行全程分析和整体设计，以最大限度地规避风险、减少损失。

一、电子文件信息安全管理的内涵

根据国际标准化组织2005年发布的《ISO/IEC 17799: 2005 信息安全管理实践准则》，结合电子文件的自身特点，电子文件信息安全的涵义主要包括以下三个方面：

安全性：确保电子文件信息仅可让获取授权的人访问；

完整性：电子文件信息的保护和处理方法的准确和完善；

可用性：确保授权人需要时可以获取电子文件信息。

管理学原理告诉我们，管理不可或缺的要素是：管理者（主体）、管理对象、管理职能的实施、管理目标。

由此，电子文件信息安全管理就是：文件的管理者通过建立信息安全保障体系，对电子文件生命流程中的风险因素进行全面控制，从而保障电子文件信息的安全性、完整性和可用性。

电子文件信息安全管理的实施是一个完整的过程，这一过程包含着电子文件信息安全管理的策划和准备、信息安全保障体系的构建、审核与监控、维护和改进四个阶段，并形成一个循环往复、逐步上升的环状结构（如图所示）。只有对四个阶段进行整体规划、科学地分步实施，才能保证电子文件信息安全管理的有效实施，确保管理状态下的电子文件信息安全状况与机构电子文件信息安全需求的一致性。以下将对这四个阶段的管理内容进行分析。

策划和准备

机构

电子文件信息安全需求

建立信息安全保障体系

维护和改进

审核与监控

机构

管理状态下的电子文件信息安全状况

二、电子文件信息安全管理的策划与准备

 电子文件信息安全管理的策划与准备阶段主要是做好建立信息安全保障体系的各种前期工作。内容包括：明确电子文件信息安全管理的指导思想、鉴别和评估电子文件面临的风险、确定信息安全管理要素和信息安全保障体系的范围，同时进行教育培训、拟定计划以及做好人力资源的配置与管理工作等。

（一）确立电子文件信息安全管理的指导思想

目前，电子文件信息安全管理基本上还是沿用传统的管理思想，采用的是静态的、局部的、少数人负责的、突击式、事后纠正式的管理方式，导致的结果是不能从根本上避免和降低电子文件面临的各类风险，也不能降低信息安全问题导致的综合损失。因此，在策划与准备阶段，必须具有前瞻的眼光、系统的思维、站在维护社会记忆和业务延续性的高度来全面地考虑电子文件信息安全问题，基于风险管理的思想，树立电子文件信息安全管理的正确指导思想。

具体而言，其指导思想是：基于系统、全面、科学的安全风险评估，体现预防控制为主的思想，强调全程管理和动态控制，本着控制费用与风险平衡的原则，合理选择安全控制方式，构建系统化、程序化和规范化的信息安全保障体系，使电子文件信息风险的发生概率和结果降低到可接受水平，从而确保信息的安全1性、完整性和可用性，保持机构业务运作的持续性。

（二）电子文件安全风险分析

国际标准化组织2004年发布的《ISO/IEC TR 13335：2004 安全管理指南》中明确指出，风险“是一个指定的威胁利用一项或多项资产的脆弱性，并由此造成损害或破坏的可能性。”风险分析就是“系统地使用信息来识别风险来源和估计风险”。

电子文件安全风险是指在电子文件整个生命周期中可能存在的安全威胁及其可能造成的损害。电子文件安全风险分析的主要内容是：以机构对电子文件信息安全的基本要求为出发点，依据有关信息安全技术与管理标准，对电子文件管理系统及由其处理、传输和存储的电子文件信息的安全性、完整性和可用性等安全属性进行调研和评价，评估电子文件信息面临的威胁以及导致安全事件发生的可能性，并结合安全事件所涉及的文件信息价值来判断安全事件一旦发生对机构造成的影响。

目前，电子文件所面临的安全风险主要来自两个方面：

一是电子文件自身特性所带来的风险。作为新一代文件形式，电子文件不仅面临着纸质文件管理的传统风险；而且其独有的特性又带来了比传统文件更多的风险，其中最根本的安全风险就是原始性和可利用性受到破坏。这些不同特质的风险相互叠加、关联和影响，导致电子文件管理的风险程度成倍增加。这是电子文件面临的主要风险。

二是电子文件管理的体制和制度风险。对于电子文件管理而言，由技术引发的管理体制和制度的变革是深层的，没有先例的，具有很大的不确定性，它与技术风险共同构成了另一种形式的风险共生与叠加。这就是电子文件管理的体制和制度风险，是电子文件面临的基本风险。

可见，各种风险都是围绕着电子文件质的规定性――真实性、可靠性、完整性和可用性所展开的。所以，保证了电子文件的质的规定性，也就保证了电子文件的安全性；防范了威胁电子文件质的规定性的各种可能性，也就规避了电子文件管理的风险侵袭的可能性。

（三）电子文件信息安全管理要素和保障体系的适用范围

结合国际标准化组织2005年发布的《ISO/IEC 17799: 2005 信息安全管理实践准则》，从不同类型组织机构的共性出发，电子文件信息安全管理要素应包括以下几个方面：

表：电子文件信息安全管理要素表

可以看出，电子文件信息安全管理的要素涉及多个方面，对这些要素既要全面考虑，又要有所侧重，在信息安全保障体系设计时保证其完整性，兼顾其重点性。

信息安全保障体系的适用范围就是需要重点进行电子文件信息安全管理的领域。各类组织机构根据自己的实际情况，可以在整个机构范围内、也可以在个别部门或领域内实施。在现阶段，应当从电子文件的管理流程出发，将组织划分成不同的文件信息安全控制领域，这样做易于组织对有不同需求的领域进行适当的信息安全管理。应将与电子文件管理相关的关键性机构和部门首先纳入信息安全保障体系的适用范围，在定义适用范围时，应重点考虑组织的适用环境、适用人员、现有技术水平、现有电子文件信息状况等。

三、电子文件信息安全保障体系的构建

构建电子文件信息安全保障体系是安全管理的核心内容，主要针对安全保障策略的选择与实施。电子文件信息安全保障体系构建的总体思路是：以信息安全理论为支撑，以电子文件管理理论为根本，以电子文件的本质特性为核心，将技术措施、管理策略和法规制度融合为一体，构建全面、系统、安全的电子文件信息安全保障体系。

具体而言，电子文件信息安全保障体系包含了法规制度、管理策略和技术措施三个模块。对电子文件信息安全而言，健全的法规制度是制度保障，完善的管理策略是环境保障，先进的技术措施则是物质保障。三者密切联系，相辅相成，从不同的角度、不同的侧重点为电子文件构筑一张安全之网。

（一） 电子文件信息安全法规标准建设

相关法律、标准和制度是文件信息安全的法规环境和制度保障。电子文件信息安全法规标准建设包括三个层面：一是国际国内信息安全法规标准，这是电子文件信息安全法规标准建设的基础；二是电子文件安全法规标准，这是法规标准建设的主体；三是机构电子文件安全管理制度，制定符合本机构实际情况、切实可行的电子文件安全管理制度，是法规标准得以落实的主要途径。

现阶段，电子文件安全法规制度建设的思路是：以国家信息安全法规为基石，以电子文件安全管理法规为主体，以文件安全管理规章制度为支撑，构建结构完整、层次合理的电子文件安全法规标准和制度体系，确保其权威性和可操作性。

首先，梳理现有信息安全法规制度，尽快解决存在问题。现有信息安全法规制度是我们进行电子文件安全保障的依据和基础，但是目前我国信息安全规章与制度还没有形成一个完整的体系，各项规章之间的分工、协调问题仍未得到有效的解决，因此应抓紧进行梳理。

其次，抓紧制定我国电子文件安全管理的相关法规。结合电子文件管理的特点、规律，将信息安全法规加以充实、展开和细化，其中围绕电子文件生命周期，重点增加有关电子文件不同流程阶段的信息安全的专门条款，使其具有较强的针对性、操作性，以便在实际工作中有法可依、有章可循。

再次，结合机构实际情况，制定切实可行的文件安全管理制度。电子文件信息安全管理是一项综合管理行为，不安全因素贯穿于其形成、处理、保管、利用的各个环节，因此，必须建立涉及全过程的一整套科学、合理、严密的管理制度并完善监督机制。一般来说，完整、有效的电子文件安全管理制度应当包括信息安全等级制度、风险评估制度、人员管理制度、操作规程管理制度、文件利用管理规定、涉密信息利用违章审计查处等。

（二）电子文件信息安全管理策略

在电子文件的安全保障问题上，仅局限于建立一般意义上的“技术防火墙”是远远不够的，保障电子文件信息安全最终将通过“技术十管理”得以实现，建立管理上的安全保障机制十分重要。电子文件信息安全管理策略主要包括四个方面：

一是树立风险管理观念。风险管理是电子文件管理不可分割的组成部分，树立风险管理观念，有助于唤起风险意识，有效地提示所有参与生成、管理和使用电子文件的人避免风险事故，承担风险责任，逐步形成与电子文件管理规律相适应的管理观念。同时建立风险管理体系，明确风险应对重点，有助于使电子文件得到全方位的、安全、有效的保护。

二是落实安全管理原则。一个完备的电子文件安全管理保障体系应当有科学的安全管理原则。安全管理的基本原则主要包括：一是专人负责原则，即针对每一项与电子文件信息安全有关的活动，都必须有专门人员负责；二是职责分离原则，不同工作职责应当由不同人员负责；三是制度保障原则，各机构根据自身的特点制定一系列的文件管理规章制度，并对违反规定的采取惩戒措施等。

三是健全信息安全管理机构。各机构都应当设立相应级别的、负责信息安全的专门管理机构，其重要职责就是保证电子文件的信息安全。安全管理机构的人员应包括行政领导和文件管理人员、技术人员，按照不同任务进行分工以确立各自的职责。

四是采取严格的安全管理规范。电子文件安全管理规范应包括：确定安全管理等级和安全管理范围、制订有关网络操作使用规程和人员出入机房管理制度、制定网络系统的维护制度和应急措施等。

（三）电子文件安全保障技术措施

电子文件是技术的产物，因此其信息安全也必然依靠一系列的技术手段。传统的以网络病毒为主要防范对象的信息安全解决方案，已难以有效地保证电子文件管理系统的信息安全，因此必须从多方面入手建立一个涵盖信息安全各个层面的立体防护体系。

电子文件安全保障技术措施主要包括以下几个方面：一是建立全面的电子文件信息安全监测系统，应当包括病毒检测、入侵检测、网络漏洞检测、网络监控等功能。二是做好电子文件管理网络系统的安全隔离工作，在自己与互联网之间建立起一道信息安全屏障，安装主流防火墙系统，保证网络系统的安全。三是结合使用多种技术确保电子文件信息的存储与传输安全，如传统的信息加密技术和新兴的信息隐藏技术、防消息泄密技术、防拷贝技术等。四是建立访问控制策略严格限制对电子文件的操作和利用，明确规定出文件的利用权限及其利用条件。五是建立电子文件备份机制应对安全领域突发事件，防止系统发生故障时文件的丢失。

四、电子文件信息安全保障体系的审核与监控

电子文件信息安全保障体系审核是指通过获得审核证据，对信息安全保障体系进行客观评价，以确定其满足审核准则的程度而进行的系统的、独立的并形成审核结果文件的检查过程。其中，审核证据是指与电子文件信息安全保障体系的功能、作用发挥、管理成效等有关的事实和信息；审核准则是指评估电子文件信息安全保障体系的对比标准或依据，通常包括信息安全管理方针、程序或要求、相关法律法规要求等。

电子文件信息安全保障体系审核就是通过访问、观察和调查等方式收集审核证据，独立地、客观地、系统地和公正地评价这些证据，并与审核准则进行比较，确定电子文件信息安全保障体系的科学性与有效性，并最终形成审核结果文件的行动过程。目的是通过定期或不定期地对电子文件信息安全保障体系进行各种审核，以确保其持续有效、获得改进，满足机构业务发展的需要。

通过电子文件信息安全保障体系审核，各机构往往可以找出电子文件信息安全保障体系的实施状态与理想状态之间的差距，以及由此而造成的管理状态下的电子文件信息安全状况与机构的电子文件信息安全需求之间的差距。通过发现两者之间的差别，确定如何填补在这两者之间的间距，就实施了对电子文件信息安全保障体系的监控。

五、电子文件信息安全保障体系的维护和改进

由于信息安全是一个动态的系统工程，各类组织机构应按照文件信息安全的控制要求，对构建的电子文件信息安全保障体系加强维护，加强运作力度，充分发挥体系本身的各项功能。同时，电子文件信息安全保障体系的建立是一个目标叠加的过程，是在不断发展变化的技术环境中进行的，因而也是一个动态的、闭环的风险管理过程。组织应及时发现体系策划和执行中存在的问题，找出问题根源，采取纠正措施，实时加以调整和改进，以适应变化了的情况，达到进一步完善信息安全保障体系的目的。

参考文献：

1.ISO/IEC 17799: 2005 Code of Practice for Information Security Management

2.ISO/IEC TR 13335：2004 Guidelines for the Management of IT Security

3.国际文件管理联合会与世界银行：《电子时代基于凭证的电子文件管理：关键政策问题概述》，“电子时代基于凭证性的电子文件管理项目”研究成果

4.北京知识安全工程中心. 《信息安全管理体系审核指南》. 中国标准出版社,2007年7月

（上海市，邮编：200433）