Page 114 - 电力与能源2021年第六期

7 2 2 黄 林 , 等: 档案信息化下的信息安全风险和策略研究

风险。如未按要求设置强密码, 将账号密码交给 综合以上种种, 为保障档案信息系统安全, 必
外包人员使用, 或为方便起见随意将他人权限设 须建立多重有效的信息安全防御体系, 防止档案
为最大, 都将可能造成泄密、 数据删改等风险。 系统数据丢失、 信息泄露、 无法提供服务等诸多
( 3 )档案人员对个人计算机管理不善, 如未 风险。
安装防病毒软件或未及时更新补丁库, 由于病毒
的易传染性, 极有可能感染服务器, 造成不可估量 2 多重有效的信息安全防御体系

的损失。甚至有可能成为攻击服务器的桥梁。 将我们所归纳的安全现状、 安全风险、 安全需
( 4 )档案信息化引入外部厂商和供应商, 通 求以及已有的信息安全有效控制措施, 以实现保
过外包服务或合作开 发的模式进行信息系统开 障档案信息系统保密性、 完整性和可用性为最终

发、 运维等信息化工作, 外部人员介入档案工作, 目标, 将其逐个映射到ISO27001 中 18 个控制项
为此带来了档案管理风险。 中所涉及的技术对象和被管理对象或过程的某一
1.2 技术风险 个或几个控制点的集合, 经叠加合并后形成一个
档案系统利用信息技术将档 案 人 员 从 简 单 最终并集, 形成了以安全管理控制点、 安全技术控
性、 重复性劳动中解放出来, 但同时由于信息系统 制点和安全驱动控制点所组 成的多重有效的信
技术的复杂性也为档案管理带来了新的风险。目 息安全防御体系。
前信息系统建设的大都基于 OSI七层架构( 物理 其中安全管理控制点是基础, 安全技术控制
层、 数据链路层、 网络层、 传输层、 会话层、 表示层、 点是具体的管理实践和技术实践, 而安全驱动控
应用层), 每一层本身都存在者潜藏风险, 随着系 制是保障管理控制点和技术控制点得与落实的最
统日益复杂, 业务规模不断扩大, 业务关联性和架 佳手段。分解其细节覆盖信息安全目标、 安全策
构复杂性、 数据总量爆炸式增长, 受技术发展和人 略、 人员、 组织、 运维、 建设、 网络通信、 网络边界、
为认知的局限, 档案系统软硬件的建设都难免出 主机、 终端、 应急响应、 同报机制、 事件责任追究
现技术漏洞和人为缺陷, 因而增加了风险发生的 制、 安全监管以及风险管理等全方位的安全管理。
概率。另一方面系统建设时往往满足于实现业务 根据业务需要, 按紧迫性、 可实施难易性、 同
功能, 对系统安全防护功能投入不足, 系统安全配 时还要考虑安全的成本与效益, 分阶段分步骤开
置简单, 专业信息安全人员配置不足, 无法应对日 展档案信息安全防御体系建设, 同时随着组织环
益复杂的信息安全形势。 境的变化、 业务发展和信息技术提高而不断改进,
1.3 环境风险 不能一劳永逸, 一成不变, 需要不断完善来保证安
随着智慧城市建设要求及企业经营模式的变 全的持续改善。档案信息安全防御体系架构具体
化, 计算机应用已渗透到社会的各个角落, 工作人 分解细节如下:
员的日常办公也高度依赖计算机网络。档案信息 2.1 体系安全管理控制点
化大环境发生了很大的变化。网络安全攻击不断 2.1.1 安全管理制度
加剧, 数据泄露风险日益突出, 新型渠道网络边界 安全管理制度是对信息安全目标和工作原则
风险加大, 档案系统面临着更多的安全风险。随 的规定, 其表现形式是一序列为实现安全策略形
着网络环境的开放, 面临的网络威胁边界不断扩 成的制度文件。是信息安全保障系统的核心, 是
大, 暴露的信息越来越多, 档案信息被访问、 被篡 信息安全管理工作、 技术工作和运维工作的目标
改、 被盗窃的可能性加大, 安全防护难度也随之增 和依据。
加。安全漏洞攻击、 木马攻击、 DDOS 攻击等外部 各类安全管 理 规 定、 管 理 办 法 和 暂 行 规 定。
攻击, 特别是伴随着信息技术的进步以及计算机 从安全策略主文档中规定的安全各个方面所应遵
网络的深度运用, 操作系统、 数据库、 应用软件的 守的原则方法和 指导性策略引出的具体管理规
漏洞不断被发现、 破解, 如果不能做到安全隐患及 定、 管理办法和实施办法, 是必须具有可操作性,
时消除或者降低以及安全整改闭环管理, 更是会 而且必须得到有效推行和实施的。与其它部分的
造成档案系统瘫痪、 数据被篡改、 秘密被泄露等严 关系为向上遵照公司安全目标。向下延伸到用户

重问题。 签署的文档和协议。用户协议必须遵照管理规定