本文以某企業(yè)為研究對象，對企業(yè)的檔案信息面臨的風(fēng)險(xiǎn)要素展開討論，從而發(fā)現(xiàn)在組織風(fēng)險(xiǎn)要素中包含了企業(yè)重視程度低，檔案安全管理制度缺失等不足，同時(shí)也有一些人員風(fēng)險(xiǎn)和技術(shù)風(fēng)險(xiǎn)，想要有效改善這些風(fēng)險(xiǎn)，就需要從制度，管理，技術(shù)三方面對風(fēng)險(xiǎn)要素進(jìn)行有效的控制，其中包含了檔案信息安全管理制度的建立和健全，管理層和技術(shù)層也需要不斷的完善和更新。
關(guān)鍵詞：企業(yè)檔案,信息安全風(fēng)險(xiǎn),識別風(fēng)險(xiǎn)控制
企業(yè)檔案是企業(yè)知識資產(chǎn)和信息資源的重要組成部分，是企業(yè)各方面活動(dòng)的真實(shí)記錄，對企業(yè)市場活力提升、制度改革和文化建設(shè)等有至關(guān)重要作用。企業(yè)檔案信息安全管理是企業(yè)安全管理的重要組成部分，提前識別企業(yè)檔案信息管理存在的安全風(fēng)險(xiǎn)，有利于采取有效控制手段規(guī)避風(fēng)險(xiǎn)，促進(jìn)企業(yè)檔案安全管理建設(shè)，防患于未然。本文以H企業(yè)為例，在調(diào)研基礎(chǔ)上探討企業(yè)檔案信息存在的安全風(fēng)險(xiǎn)及控制手段。
一、H企業(yè)概況
H企業(yè)成立于2013年，主要經(jīng)營金融板塊、產(chǎn)業(yè)發(fā)展板塊、城市功能性設(shè)施板塊和出資人板塊等四大業(yè)務(wù)板塊，是戰(zhàn)略性投資的融資平臺和產(chǎn)業(yè)項(xiàng)目、城市功能性項(xiàng)目的先行戰(zhàn)略投資者。[2]隨著公司的發(fā)展壯大，檔案數(shù)量呈現(xiàn)指數(shù)級增長趨勢。H企業(yè)檔案工作實(shí)行二級管理制，第一級管理是指由公司綜合部負(fù)責(zé)統(tǒng)籌管理全公司的文書檔案工作，第二級管理是指各部門負(fù)責(zé)本部門的檔案資料使用管理工作。綜合部的檔案按文書、科技、財(cái)務(wù)、人事、聲像、實(shí)體6種檔案類別進(jìn)行分類整理，公司用OA系統(tǒng)對電子文件進(jìn)行日常管理，將部分重要的紙質(zhì)檔案進(jìn)行數(shù)字化掃描，加以保存。
二、企業(yè)檔案信息安全風(fēng)險(xiǎn)要素識別
企業(yè)檔案信息安全風(fēng)險(xiǎn)要素識別是對企業(yè)檔案信息安全管理工作中存在的薄弱環(huán)節(jié)進(jìn)行確認(rèn)。[3]在對H企業(yè)調(diào)研的基礎(chǔ)上，將其所面臨的企業(yè)檔案信息安全風(fēng)險(xiǎn)要素劃分為組織風(fēng)險(xiǎn)要素、人員風(fēng)險(xiǎn)要素與技術(shù)風(fēng)險(xiǎn)要素。
(一)組織風(fēng)險(xiǎn)要素
一是，企業(yè)重視程度低。企業(yè)檔案信息效益的產(chǎn)生具有隱蔽性和延遲性，隱蔽性即檔案部門投入清晰性和收益模糊性之間的矛盾，延遲性即檔案工作的效益要在很長一段時(shí)間后才可能顯現(xiàn)。[4]企業(yè)檔案信息無法快速創(chuàng)造經(jīng)濟(jì)效益的特點(diǎn)使企業(yè)對其重視程度較低，檔案信息安全管理投入的資金、人力較少。以H企業(yè)為例，文書檔案工作人員僅一人且為兼管人員，檔案管理投入資金少，專門存放檔案的檔案柜和檔案安全管理設(shè)備至今尚未配備，檔案信息安全管理專業(yè)技術(shù)人員、設(shè)施設(shè)備的缺乏給企業(yè)檔案信息安全帶來了巨大風(fēng)險(xiǎn)。
二是，檔案安全管理制度缺失。企業(yè)迫切需要的檔案安全開發(fā)、利用及電子文件長期保存等相關(guān)標(biāo)準(zhǔn)尚未制定，且存在與企業(yè)檔案工作實(shí)際相脫節(jié)的情況。[5]以H企業(yè)為例，企業(yè)成立至今已4年，但尚未建立健全的檔案安全管理制度體系。面對企業(yè)檔案數(shù)量劇增與檔案安全管理制度缺失之間的尖銳矛盾，企業(yè)檔案工作者在處理文檔工作時(shí)無章可循，業(yè)務(wù)工作缺乏規(guī)范性，企業(yè)檔案信息安全管理工作缺乏制度的監(jiān)督約束，檔案信息安全缺口隨之?dāng)U大。
(二)人員風(fēng)險(xiǎn)要素
企業(yè)檔案管理崗位人員流動(dòng)性大是造成檔案泄密的主要原因。檔案工作者的信息安全意識和素質(zhì)水平會(huì)直接影響檔案信息的安全。[6]以H企業(yè)為例，專職人員自2013年來更換了4人，企業(yè)檔案管理崗位人員可直接接觸記錄企業(yè)生產(chǎn)經(jīng)營、戰(zhàn)略發(fā)展及科研技術(shù)等重要檔案信息，隨著企業(yè)人員離職跳槽向其他公司、行業(yè)流動(dòng)，這部分涉及原企業(yè)商業(yè)機(jī)密的檔案信息極可能隨之外泄。
企業(yè)員工檔案安全管理意識弱也會(huì)帶來安全風(fēng)險(xiǎn)。譬如，各部門檔案收集移交不及時(shí)，會(huì)對企業(yè)檔案信息的完整性帶來風(fēng)險(xiǎn);各部門在檔案整理、利用中造成檔案載體損毀對企業(yè)檔案信息的可用性帶來風(fēng)險(xiǎn);企業(yè)人員出于自身利益篡改檔案信息內(nèi)容，給企業(yè)檔案信息的真實(shí)性帶來風(fēng)險(xiǎn)等。
(三)技術(shù)風(fēng)險(xiǎn)要素
一是，信息系統(tǒng)及硬件故障。信息系統(tǒng)不穩(wěn)定會(huì)導(dǎo)致檔案信息數(shù)據(jù)丟失與損壞，硬件設(shè)施故障也會(huì)給檔案信息安全帶來風(fēng)險(xiǎn)。以H企業(yè)為例，公司日常行文均通過OA系統(tǒng)實(shí)現(xiàn)，OA系統(tǒng)中流轉(zhuǎn)大量企業(yè)管理信息，H企業(yè)的OA系統(tǒng)分別于2015年8月及2016年3月出現(xiàn)異常引起系統(tǒng)崩潰，導(dǎo)致部分企業(yè)信息數(shù)據(jù)丟失且無法恢復(fù)。
二是，電子文件安全保障技術(shù)不成熟。如何保證企業(yè)檔案系統(tǒng)中電子檔案的安全，是現(xiàn)階段企業(yè)檔案安全管理的重難點(diǎn)。企業(yè)電子文件信息安全保障技術(shù)不成熟，會(huì)危及電子文件安全和正常運(yùn)用。一旦系統(tǒng)遭遇病毒、黑客侵?jǐn)_或信息載體物理損傷、外圍設(shè)備技術(shù)障礙等，都會(huì)給電子文件帶來無可挽回的損失。
三、企業(yè)檔案信息安全風(fēng)險(xiǎn)控制對策
(一)從制度層面進(jìn)行控制
1.企業(yè)檔案信息安全管理制度的建立健全。健全的企業(yè)檔案信息安全管理制度應(yīng)包括以下幾個(gè)方面：一是，企業(yè)檔案日常安全管理制度，如檔案保密制度、檔案安全檢查制度和檔案安全追責(zé)制度等，明確企業(yè)各部門、人員的職責(zé)，建立檔案信息安全管理的長效機(jī)制;二是，企業(yè)電子文件安全管理制度，確保電子檔案信息存儲、讀取、利用過程的安全可靠;三是，應(yīng)急響應(yīng)制度，建立檔案信息安全應(yīng)急預(yù)案，提高企業(yè)檔案管理部門應(yīng)對自然災(zāi)害及突發(fā)事件的能力;四是，應(yīng)急處理制度，對企業(yè)檔案信息安全風(fēng)險(xiǎn)發(fā)生后，能在第一時(shí)間采取相應(yīng)措施進(jìn)行處理，將風(fēng)險(xiǎn)損失降至最低。
2.企業(yè)檔案信息安全管理制度的適用。以企業(yè)檔案信息安全管理制度的適用來實(shí)現(xiàn)對檔案信息安全風(fēng)險(xiǎn)控制，主要從以下兩個(gè)方面著手：一方面，不同企業(yè)形成的檔案信息各有特點(diǎn)，安全保障要求各有不同，企業(yè)應(yīng)根據(jù)本單位檔案信息安全保障的實(shí)際需求，制定符合本企業(yè)特點(diǎn)與需求的檔案信息安全管理制度。另一方面，企業(yè)檔案信息安全風(fēng)險(xiǎn)要素具有動(dòng)態(tài)性，企業(yè)檔案信息安全管理制度應(yīng)隨著新技術(shù)、新風(fēng)險(xiǎn)的出現(xiàn)不斷完善和更新，保證檔案信息安全管理制度在多變的信息安全風(fēng)險(xiǎn)環(huán)境中的適用性。
3.企業(yè)檔案信息安全管理制度的執(zhí)行。檔案工作者是規(guī)章制度的執(zhí)行者，執(zhí)行力度的大小關(guān)系到檔案安全管理工作水平。[7]首先，企業(yè)應(yīng)嚴(yán)格要求檔案工作者照章管理檔案，自上而下確保檔案信息安全管理制度的執(zhí)行，將制度的執(zhí)行納入企業(yè)管理運(yùn)行程序，將公司檔案管理納入制度化軌道。其次，企業(yè)管理層要監(jiān)督企業(yè)檔案信息安全管理制度的執(zhí)行情況，將制度的執(zhí)行與員工績效考核掛鉤，定期對制度的執(zhí)行情況進(jìn)行評估并根據(jù)評估結(jié)果進(jìn)行相應(yīng)的獎(jiǎng)懲。
(二)從管理層面進(jìn)行控制
1.分級管理。分級管理即對企業(yè)檔案信息和風(fēng)險(xiǎn)控制消減等工作進(jìn)行安全等級評定，以最少的成本投入獲得最大的檔案信息安全保障效果。企業(yè)可根據(jù)檔案信息對企業(yè)生產(chǎn)發(fā)展作用價(jià)值大小、涉密與否來劃分重點(diǎn)檔案和普通檔案。企業(yè)檔案中涉及企業(yè)商業(yè)機(jī)密，記錄企業(yè)核心競爭力信息的這部分檔案是企業(yè)發(fā)展的重要戰(zhàn)略資源，如企業(yè)的項(xiàng)目檔案、科技檔案、客戶資料以及反映企業(yè)發(fā)展歷程的重大事件相關(guān)檔案等，可劃分為重點(diǎn)檔案，其余日常業(yè)務(wù)工作中形成的文書檔案等可劃分為普通檔案。在對所有檔案進(jìn)行安全管理的同時(shí)，對重點(diǎn)檔案信息的安全進(jìn)行重點(diǎn)監(jiān)控，不同重要等級的檔案進(jìn)行分級管理。
2.人員管理。通過人員管理來控制企業(yè)檔案信息安全風(fēng)險(xiǎn)的方式有：第一，倡導(dǎo)員工終身學(xué)習(xí)，針對企業(yè)檔案信息安全內(nèi)涵的拓展、風(fēng)險(xiǎn)要素的類型、應(yīng)對風(fēng)險(xiǎn)的技術(shù)等內(nèi)容定期開展檔案信息安全管理培訓(xùn)，豐富企業(yè)員工檔案信息安全保護(hù)理論知識，提高檔案信息安全保護(hù)技能水平。第二，注重對企業(yè)員工職業(yè)道德的培養(yǎng)，使守護(hù)企業(yè)檔案信息安全，嚴(yán)守企業(yè)檔案機(jī)密信息的崗位職責(zé)內(nèi)化為員工的職業(yè)道德。第三，注重企業(yè)文化的建設(shè)，培養(yǎng)員工對企業(yè)的認(rèn)同感和歸屬感，減少因員工離職或跳槽而造成企業(yè)機(jī)密檔案信息泄露。
3.動(dòng)態(tài)管理。企業(yè)檔案信息安全是企業(yè)生產(chǎn)經(jīng)營安全的重要組成部分，伴隨企業(yè)生存發(fā)展的始終。[8]檔案安全管理面臨的各類風(fēng)險(xiǎn)要素中，每種要素都處于不斷變化之中，某一要素的變化會(huì)引起其他要素的聯(lián)動(dòng)變化。[9]因此企業(yè)應(yīng)對檔案信息安全實(shí)施動(dòng)態(tài)管理，即隨著新的風(fēng)險(xiǎn)點(diǎn)的產(chǎn)生，相應(yīng)的保護(hù)方案、制度也應(yīng)隨之保持動(dòng)態(tài)發(fā)展。此外，動(dòng)態(tài)管理還體現(xiàn)在與外界的動(dòng)態(tài)關(guān)聯(lián)上，企業(yè)要與外部社會(huì)環(huán)境保持良好溝通聯(lián)系，及時(shí)掌握檔案信息風(fēng)險(xiǎn)變化的新動(dòng)態(tài)。
(三)從技術(shù)層面進(jìn)行控制
1.檔案信息安全技術(shù)的應(yīng)用。信息安全技術(shù)指用于保障信息、信息系統(tǒng)和網(wǎng)絡(luò)安全的技術(shù)。[10]檔案信息安全技術(shù)是電子檔案信息安全的有力保障，企業(yè)可針對不同安全屬性的檔案信息采用不同的信息安全技術(shù)。在數(shù)據(jù)安全技術(shù)、網(wǎng)絡(luò)安全技術(shù)和檔案管理系統(tǒng)用戶安全技術(shù)等方面強(qiáng)化保護(hù)措施，運(yùn)用信息技術(shù)提高企業(yè)檔案工作效率的同時(shí)，也保證企業(yè)檔案信息的安全。
2.檔案信息安全技術(shù)的更新。檔案信息安全建設(shè)是基礎(chǔ)性的長期工作，構(gòu)建全面、能力可持續(xù)增長的安全防御體系才能保證檔案信息系統(tǒng)的長期安全穩(wěn)定運(yùn)行。[11]檔案信息安全技術(shù)是不斷發(fā)展的，企業(yè)應(yīng)及時(shí)了解和掌握最新的計(jì)算機(jī)病毒、黑客技術(shù)等檔案信息存在的潛在風(fēng)險(xiǎn)，關(guān)注信息技術(shù)的更新動(dòng)態(tài)，確保企業(yè)應(yīng)用的檔案信息安全技術(shù)與時(shí)俱進(jìn)，為企業(yè)檔案信息安全保駕護(hù)航。
四、結(jié)論
企業(yè)檔案信息安全是企業(yè)生產(chǎn)經(jīng)營安全的重要組成部分，伴隨企業(yè)生存發(fā)展的始終。人員風(fēng)險(xiǎn)要素、組織風(fēng)險(xiǎn)要素與技術(shù)風(fēng)險(xiǎn)要素三者綜合構(gòu)成威脅企業(yè)檔案信息安全的風(fēng)險(xiǎn)要素，為保障企業(yè)檔案信息安全必須從管理、制度、技術(shù)三個(gè)層面三管齊下對這些風(fēng)險(xiǎn)要素進(jìn)行有效控制，深入貫徹“預(yù)防為主，防治結(jié)合”的方針，保障企業(yè)檔案信息安全無虞，讓企業(yè)檔案信息更好地服務(wù)于企業(yè)的發(fā)展。
推薦閱讀：檔案管理與檔案信息化建設(shè)
這篇檔案工程師論文發(fā)表了檔案管理與檔案信息化建設(shè)，檔案信息化建設(shè)優(yōu)勢明顯，有利于內(nèi)部檔案資料的長期保存，對于檔案管理至關(guān)重要，但是目前的應(yīng)用中還存在一些問題，阻礙了信息化建設(shè)的發(fā)展，論文對此提出了相應(yīng)對策。
相關(guān)閱讀
