導(dǎo)語：數(shù)字信息檔案安全防控研究論文一文來源于網(wǎng)友上傳，不代表本站觀點(diǎn)，若需要原創(chuàng)文章可咨詢客服老師，歡迎參考。

摘要：合理地確定和適當(dāng)?shù)卣{(diào)整指標(biāo)權(quán)重，體現(xiàn)了系統(tǒng)評價(jià)指標(biāo)中各因素之間的輕重有度、主次有別，更能增加評價(jià)因素的可比性。在安全評價(jià)中，具體確定權(quán)重的方法很多，如德爾菲法、主成分分析法、層次分析法、環(huán)比法等。其中，層次分析法比較適用于電子檔案信息安全的評價(jià)。

一、建立電子檔案信息安全評價(jià)指標(biāo)體系的必要性

信息技術(shù)在檔案管理中的廣泛應(yīng)用，一方面提高了檔案工作的效率，擴(kuò)大了檔案的社會(huì)影響力；另一方面也對檔案工作提出了新的要求，例如存儲(chǔ)介質(zhì)的不穩(wěn)定、技術(shù)過時(shí)、黑客入侵、電腦病毒破壞等都使得電子檔案信息的安全保護(hù)面臨著前所未有的挑戰(zhàn)。

在2002年國家檔案局頒發(fā)的《全國檔案信息化建設(shè)實(shí)施綱要》和近期各省市的“十一五檔案信息化建設(shè)綱要”中都提出了“檔案信息安全保障體系建設(shè)”，但仍缺乏深入、系統(tǒng)的探討。電子檔案信息的安全管理是一個(gè)過程，而不是一個(gè)產(chǎn)品，我們不能期望通過一個(gè)安全產(chǎn)品就能把所有的安全問題都解決。對各檔案管理系統(tǒng)來說，解決電子檔案信息安全的首要問題就是要識(shí)別自身信息系統(tǒng)所面臨的風(fēng)險(xiǎn)，包括這些風(fēng)險(xiǎn)可能帶來的安全威脅與影響的程度，然后進(jìn)行最充分的分析與評價(jià)。只有采用科學(xué)有效的模型和方法進(jìn)行全面的安全評價(jià)，才能真正掌握內(nèi)部信息系統(tǒng)的整體安全狀況，分析各種存在的威脅，以便針對高風(fēng)險(xiǎn)的威脅采取有效的安全措施，提高整體安全水平，逐步建成堅(jiān)固的電子檔案信息安全管理體系。

二、電子檔案信息安全評價(jià)指標(biāo)體系的組成

電子檔案信息系統(tǒng)是一個(gè)復(fù)雜的系統(tǒng)工程，既有硬件，又有軟件，既有外部影響，又有內(nèi)部因素，而且許多方面是相互制約的。因此，必須有一個(gè)規(guī)范的、統(tǒng)一的、客觀的標(biāo)準(zhǔn)。根據(jù)國內(nèi)外的電子檔案信息安全評估標(biāo)準(zhǔn)，國家對電子檔案信息和網(wǎng)絡(luò)信息系統(tǒng)安全性的基本要求，結(jié)合電子檔案管理和網(wǎng)絡(luò)管理經(jīng)驗(yàn)，綜合考慮影響電子檔案信息安全的各種因素，建立電子檔案信息安全評價(jià)指標(biāo)體系。該體系主要包括五個(gè)大項(xiàng)二十個(gè)小項(xiàng)的評價(jià)指標(biāo)。

1、物理安全評價(jià)指標(biāo)

物理安全是指存儲(chǔ)檔案信息的庫房、計(jì)算機(jī)設(shè)備及管理人員工作場所內(nèi)外的環(huán)境條件必須滿足檔案信息安全、計(jì)算機(jī)設(shè)備和管理人員的要求。對于各種災(zāi)害、故障要采取充分的預(yù)防措施，萬一發(fā)生災(zāi)害或故障，應(yīng)能采取應(yīng)急措施，將損失降到最低。物理安全包括環(huán)境安全、設(shè)備安全和載體安全三個(gè)方面。

(1)環(huán)境安全：主要指存儲(chǔ)檔案信息的庫房、計(jì)算機(jī)機(jī)房周圍環(huán)境是否符合管理要求和是否具備抵抗自然災(zāi)害的能力，如庫房是否建在電力、水源充足，自然環(huán)境清潔，通訊、交通運(yùn)輸方便的地方；有無防火、防水措施；有無監(jiān)控系統(tǒng)；有無防雷措施等。

(2)設(shè)備安全：主要是指對電子檔案信息系統(tǒng)設(shè)備的安全保護(hù)，包括設(shè)備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護(hù)等。

(3)載體安全：保證設(shè)備安全的同時(shí)，也要保證載體安全，要對載體采取物理上的防盜、防毀、防霉等措施。

2、管理安全評價(jià)指標(biāo)

安全管理在電子檔案信息安全保障中起著規(guī)范和制約的作用，科學(xué)的管理理念加上嚴(yán)格的管理制度才能最終保證電子檔案信息的安全。電子檔案信息的管理安全評價(jià)指標(biāo)具體包括：

(1)專門的檔案信息安全組織機(jī)構(gòu)和專職的檔案信息安全管理人員：檔案信息安全組織機(jī)構(gòu)的成立與檔案信息安全管理人員的任命必須有相關(guān)單位的正式文件。

(2)規(guī)章制度：包括有無健全的電子檔案信息安全管理規(guī)章制度；檔案信息安全人員的配備、調(diào)離是否有嚴(yán)格的管理制度；設(shè)備與數(shù)據(jù)管理制度是否完備；是否有登記建檔制度；是否有完整的電子檔案信息安全培訓(xùn)計(jì)劃和培訓(xùn)制度；各類人員的安全職責(zé)是否明確，能否保障電子檔案信息的安全管理。

(3)是否有緊急事故處理預(yù)案：為減少電子檔案信息系統(tǒng)故障的影響，盡快恢復(fù)系統(tǒng)，應(yīng)制定故障的應(yīng)急措施和恢復(fù)規(guī)程以及自然災(zāi)害發(fā)生時(shí)的應(yīng)急預(yù)案，制成手冊，以備及時(shí)恢復(fù)系統(tǒng)運(yùn)行。

3、網(wǎng)絡(luò)安全評價(jià)指標(biāo)

越來越多的電子檔案在網(wǎng)絡(luò)上傳輸，而網(wǎng)絡(luò)作為一種構(gòu)建在開放性技術(shù)協(xié)議基礎(chǔ)上的信息流通渠道，它的防衛(wèi)能力和抗攻擊能力較弱，可能會(huì)遭受到病毒、黑客的襲擊。為了保證電子檔案的安全必須保證其傳輸?shù)拿浇椤W(wǎng)絡(luò)的安全，網(wǎng)絡(luò)安全評價(jià)指標(biāo)包括以下幾個(gè)方面：

(1)是否有計(jì)算機(jī)病毒防范措施

(2)是否有防黑客入侵設(shè)施：主要是設(shè)置防火墻和入侵檢測等設(shè)施。

(3)是否有訪問控制措施：訪問控制是指控制訪問網(wǎng)絡(luò)信息系統(tǒng)的用戶，當(dāng)用戶之間建立鏈接時(shí)，為了防止非法鏈接或被欺騙，就可實(shí)施身份確認(rèn)，以確保只有合法身份的用戶才能與之建立鏈接。

(4)是否有審計(jì)與監(jiān)控：審計(jì)與監(jiān)控是指應(yīng)使用網(wǎng)絡(luò)監(jiān)控設(shè)備或?qū)崟r(shí)入侵檢測設(shè)備，以便對進(jìn)出各級局域網(wǎng)的常見操作進(jìn)行實(shí)時(shí)檢查、監(jiān)控、報(bào)警和阻斷，從而防止針對網(wǎng)絡(luò)的攻擊與犯罪行為。

4、信息安全評價(jià)指標(biāo)

在網(wǎng)絡(luò)能夠正常運(yùn)行的基礎(chǔ)上，我們要保證在系統(tǒng)中傳輸、存貯的電子檔案信息是安全的，不被截取、篡改或盜用。

(1)是否采取加密措施：檔案的本質(zhì)屬性是原始記錄性，而計(jì)算機(jī)和網(wǎng)絡(luò)的不穩(wěn)定性使得電子檔案信息的這一特性難以保證，而且有些電子檔案信息有密級限制，不能公開在網(wǎng)絡(luò)上傳輸，所以電子檔案信息在網(wǎng)絡(luò)傳輸時(shí)必須通過加密來保證其安全。

(2)是否有數(shù)據(jù)完整性鑒別技術(shù)：網(wǎng)絡(luò)上的傳輸使得電子檔案信息的完整性無法保證，黑客的攻擊可以改變信息包內(nèi)部的內(nèi)容，所以應(yīng)采取有效的措施來進(jìn)行完整性控制，這對于電子檔案信息來說至關(guān)重要。

(3)是否確保信息數(shù)據(jù)庫的安全：一個(gè)組織最核心的信息通常以數(shù)據(jù)庫的形式保存和使用，保證數(shù)據(jù)庫安全對于電子檔案信息來說有重要的作用。

(4)是否有信息防泄漏措施：信息防泄漏包括信息審計(jì)系統(tǒng)和密級控制兩方面。信息審計(jì)系統(tǒng)能實(shí)時(shí)對進(jìn)出內(nèi)部網(wǎng)絡(luò)的信息進(jìn)行內(nèi)容審計(jì)，以防止或追查可能的泄密行為；另外，可以根據(jù)信息保密級別的高低劃分公開范圍，并對用戶劃分訪問權(quán)限，進(jìn)行分組管理。

(5)是否有防抵賴技術(shù)：防抵賴技術(shù)確保用戶不能否認(rèn)自己所做的行為，同時(shí)提供公證的手段來解決可能出現(xiàn)的爭議，它包括對數(shù)據(jù)源和目的地雙方的證明，常用方法是數(shù)字簽名。

5、系統(tǒng)安全評價(jià)指標(biāo)

這里的系統(tǒng)安全是指計(jì)算機(jī)整個(gè)運(yùn)行體系的安全。在計(jì)算機(jī)上處理信息時(shí)，硬件、軟件出現(xiàn)故障或誤操作、突然斷電等都會(huì)使正在處理的信息丟失，造成無法彌補(bǔ)的損失。所以我們需要采取一系列措施保證系統(tǒng)的穩(wěn)定，確保信息的安全。計(jì)算機(jī)系統(tǒng)安全評價(jià)指標(biāo)有：

(1)是否有系統(tǒng)操作日志：系統(tǒng)操作日志詳細(xì)記錄了系統(tǒng)的操作狀況，以便事后分析和追查系統(tǒng)損壞的原因，為系統(tǒng)提供進(jìn)一步的安全保障。

(2)是否進(jìn)行系統(tǒng)安全檢測：運(yùn)用系統(tǒng)安全檢測工具對計(jì)算機(jī)和網(wǎng)絡(luò)進(jìn)行安全檢測，可及時(shí)發(fā)現(xiàn)系統(tǒng)中存在的漏洞或惡意的攻擊，進(jìn)而采取有效的補(bǔ)救措施和安全策略，達(dá)到增強(qiáng)網(wǎng)絡(luò)安全性的目的。

(3)是否有操作系統(tǒng)防破壞措施：操作系統(tǒng)集中管理系統(tǒng)的資源，是計(jì)算機(jī)系統(tǒng)賴以正常運(yùn)轉(zhuǎn)的中樞，它的安全性將直接影響到整個(gè)計(jì)算機(jī)系統(tǒng)的安全。操作系統(tǒng)應(yīng)當(dāng)建立某些相對的鑒別標(biāo)準(zhǔn)，保護(hù)操作系統(tǒng)本身在內(nèi)的各個(gè)用戶，阻止有害功能的運(yùn)行。

(4)是否進(jìn)行系統(tǒng)信息備份：日常備份制度是系統(tǒng)備份方案的具體實(shí)施細(xì)則，應(yīng)嚴(yán)格按照制度進(jìn)行日常備份，否則將無法達(dá)到備份方案的目標(biāo)。

(5)是否有災(zāi)難恢復(fù)系統(tǒng)：當(dāng)系統(tǒng)因人為或自然因素受到破壞時(shí)，我們應(yīng)保證能夠盡快地恢復(fù)正常工作，把損失控制在最小范圍內(nèi)。

三、電子檔案信息安全評價(jià)指標(biāo)體系權(quán)重確定方法

用若干個(gè)指標(biāo)進(jìn)行綜合評價(jià)時(shí)，其對評價(jià)對象的作用，從評價(jià)目的來看，并不是同等重要的。指標(biāo)越重要，權(quán)的數(shù)值就越大；反之，數(shù)值小則可以說明其重要程度相對較低。

合理地確定和適當(dāng)?shù)卣{(diào)整指標(biāo)權(quán)重，體現(xiàn)了系統(tǒng)評價(jià)指標(biāo)中各因素之間的輕重有度、主次有別，更能增加評價(jià)因素的可比性。在安全評價(jià)中，具體確定權(quán)重的方法很多，如德爾菲法、主成分分析法、層次分析法、環(huán)比法等。其中，層次分析法比較適用于電子檔案信息安全的評價(jià)。

層次分析法的核心是對決策對象進(jìn)行評價(jià)和選擇，并對它們進(jìn)行優(yōu)劣排序，從而為決策者提供定量形式的決策依據(jù)。它充分利用人的分析、判斷和綜合能力，適用于結(jié)構(gòu)較為復(fù)雜、決策準(zhǔn)則較多且不易量化的決策問題。它將定性分析和定量分析相結(jié)合，具有高度的簡明性、有效性、可靠性和廣泛的適用性。而電子檔案信息安全指標(biāo)體系因素多、主觀性強(qiáng)且決策結(jié)果難以直接準(zhǔn)確計(jì)量，因而可以用層次分析法來確定指標(biāo)體系的權(quán)重。層次分析法的基本步驟是：公務(wù)員之家

1、將復(fù)雜問題概念化，找出研究對象所涉及的主要因素；2、分析各因素的關(guān)聯(lián)、隸屬關(guān)系，構(gòu)建有序的階梯層次結(jié)構(gòu)模型；3、對同一層次的各因素根據(jù)上一層次中某一準(zhǔn)則的相對重要性進(jìn)行兩兩比較，建立判斷矩陣；4、由判斷矩陣計(jì)算被比較因素對上一層準(zhǔn)則的相對權(quán)重，并進(jìn)行一致性檢驗(yàn)；5、計(jì)算各層次相對于系統(tǒng)總目標(biāo)的合成權(quán)重，進(jìn)行層次總排序。

四、電子檔案信息安全評價(jià)指標(biāo)體系綜合評價(jià)方法

綜合評價(jià)是指對被評價(jià)對象進(jìn)行客觀、公正、合理的全局性、整體性評價(jià)?？梢杂米骶C合評價(jià)的數(shù)學(xué)方法很多，但是每種方法考慮問題的側(cè)重點(diǎn)各有不同。鑒于所選擇的方法不同，有可能導(dǎo)致評價(jià)結(jié)果的不同，因而在進(jìn)行多目標(biāo)綜合評價(jià)時(shí)，應(yīng)具體問題具體分析。根據(jù)被評價(jià)對象本身的特性，在遵循客觀性、可操作性和有效性原則的基礎(chǔ)上選擇合適的評價(jià)方法。在信息安全領(lǐng)域，目前存在的綜合評價(jià)方法有信息系統(tǒng)安全風(fēng)險(xiǎn)的屬性評估方法、模糊綜合評價(jià)方法、基于灰色理論的評價(jià)方法、基于粗糙集理論的評價(jià)方法等。對于這些方法，目前還沒有評論認(rèn)為哪一種方法更適用于信息安全領(lǐng)域的綜合評價(jià)。鑒于此種情況，本指標(biāo)體系采用模糊綜合評價(jià)方法。

模糊綜合評價(jià)就是以模糊數(shù)學(xué)為基礎(chǔ)，應(yīng)用模糊關(guān)系合成的原理，將一些邊界不清、不易定量的因素定量化，進(jìn)行綜合評價(jià)的一種方法。從評價(jià)對象來看，用模糊綜合評價(jià)方法來評價(jià)信息安全系統(tǒng)是可行的。首先，對于信息的安全管理而言，“安全”與“危險(xiǎn)”之間沒有明顯的分界線，即安全與危險(xiǎn)之間存在著一種中間過渡的狀態(tài)，這種中間狀態(tài)具有亦此亦彼的性質(zhì)，也就是通常所說的模糊性。因此在安全的刻畫與描述上大多采用自然語言來表達(dá)，而自然語言最大的特點(diǎn)是它的模糊性。另外，電子檔案信息安全評價(jià)中，對一些評價(jià)要素的評價(jià)是具有模糊性的。如組織管理中的評價(jià)很難量化，一般只能用“好”、“一般”、“差”等等級概念來描述，具有較強(qiáng)的模糊性。而且一些評價(jià)要素受外界環(huán)境的影響較大，具有不確定性，如網(wǎng)絡(luò)攻擊、安全設(shè)施失效、人為失誤等偶然性較大，難以準(zhǔn)確評價(jià)。對于這些模糊的、不確定性的問題通常采用模糊數(shù)學(xué)來研究。模糊綜合評價(jià)方法就是在對多種因素影響的事物或現(xiàn)象進(jìn)行總的評價(jià)過程中涉及到模糊因素或模糊概念的一種評估方式，它通過運(yùn)用模糊集合中隸屬度和隸屬度函數(shù)的理論來刻畫這種模糊性，以達(dá)到定量精確的目的。

總之，模糊綜合評價(jià)方法是一種適用于在信息安全管理方面進(jìn)行系統(tǒng)評價(jià)的可行方法，其基本步驟為⑦：

1、確定評價(jià)集。評價(jià)集是以評判者對被評價(jià)對象可能做出的各種總的評判結(jié)果為元素組成的集合，例如我們可以對電子檔案信息安全評價(jià)采用五個(gè)等級的評語集合(很好，好，較好，一般，差)。

2、建立因素集。因素集是以影響評判對象的各種因素為元素組成的集合，在本文的電子檔案信息安全評價(jià)體系中，主因素層的因素集有物理安全、管理安全、網(wǎng)絡(luò)安全、信息安全和系統(tǒng)安全五個(gè)指標(biāo)，其下層又有各自的影響因素集，由各自的具體影響指標(biāo)組成。

3、建立權(quán)重集。由于各評價(jià)要素在評價(jià)中的重要程度不同，因而必須對各要素按其重要程度給出不同的權(quán)重，權(quán)重集通過層次分析法確定。

4、進(jìn)行單因素評價(jià)，建立單因素模糊評價(jià)矩陣。即確定評價(jià)因素集中每一個(gè)因素指標(biāo)在評語集中的隸屬度。

5、模糊矩陣的復(fù)合運(yùn)算。當(dāng)評價(jià)集、因素集、權(quán)重集和單因素評價(jià)矩陣確定后，便可按照一定的模糊運(yùn)算規(guī)則進(jìn)行模糊綜合評價(jià)，以求得各層次中各因素的評價(jià)結(jié)果和最終的綜合評價(jià)結(jié)果。