引言
企业档案信息是企业在各项生产、经营活动中形成的对国家、社会和本企业具有保存价值的各种文字、图表、声像等不同形式的历史记录,它是企业宝贵的无形资产。其所包含价值的重要程度之高对任何一个仓业而言毋庸置疑。随着计算机技术日新月异的进步和档案信息资源数字化、网络化进程的快速发展,大量产生的电子文件和照片、音频、视频等以数字为载体的声像档案已经不仅仅是企业档案馆馆藏的补充,而成为档案馆馆藏十分重要的组成部分。
以电子文件为代表的数字化档案信息的出现是文件记录方式的重大改变。从而引起了文档管理传统模式的变革。这场变革中,信息技术被高度应用,信息资源被高度共享,变革的影响充分反映在管理理念、管理技术、管理方法及管理体制等各个层面。不同层面间相互联系、相互作用,任何一方面的滞后都有可能对数字化档案信息的有效、安全运转带来不良影响。因此。面对数量日益增长的数字化档案信息,如何保障信息载体的可靠性和信息的安全性,已经成了企业信息管理者必须解决的重要课题。
1 威胁数字化档案信息安全的因素
大量的数字化档案信息都是以数据信息形式存储在计算机系统中,因此,档案信息与普通的计算机数据一样,其安全性会受到各种危险因素的影响和挑战。根据美国UC Berkeley和斯坦福大学联合进行的ROC研究报告中指出,下面几种情况常常给系统中的数据带来破坏。
(1)计算机硬件故障:计算机硬件由大量的电子元器件组成,尽管现代计算机的各个部件已经采用了多种可靠性保护机制,但仍然无法避免硬件故障的发生,而严重的硬件故障如硬盘磁道损坏将可能造成数据的破坏或丢失。在企业中,计算机设备数量庞大,硬件故障出现的概率也会随之增加。
(2)计算机软件故障:计算机系统需要操作系统、数据处理软件等的支持才能完成各项数据处理任务,因此软件的正确性和健壮性直接关系到数据的完整性和安全性。随着操作系统的不断完善和数字化档案系统的成熟应用,软件故障相对硬件故障而言出现的概率要小一些。
(3)病毒和黑客攻击:随着互联网的大量使用。病毒入侵和黑客攻击成为经常性事件。虽然我们可以在网络系统中安装防病毒软件和防火墙,但是。这并不能绝对保证网络系统不受新病毒和高级黑客的攻击。
(4)人为操作故障:对于那些管理较松、人员培训不足的企业,人为操作故障如误删除数据会经常发生:即使那些管理较严、人员素质较高的企业,这种故障也会偶尔发生而不能完全杜绝之。
(5)资源不足引起的计划性停机:对于某一企业来讲,随着业务的快速增长,几乎每年都会发生诸如软硬件升级和系统资源扩充等事件,而且业务增长越快的企业,发生也越频繁。在这个过程中常常出现停机和系统更换操作,不可避免地带来数据丢失的可能。
世界上最大的数据恢复企业Kroll Ontrack对于造成数据丢失的原因做了调查和统计,有趣的是,调查结果与人们的直觉有所偏差。这项调查使人们对数据丢失的原因有了更明确的认识,如表1所示:实际导致数据丢失的原因并非人们所感觉的那样绝大部分仅由硬件或系统故障造成,而实际上这部分原因大约占56%即一半左右,而人为错误则成为了超过1/4的数据丢失的主因,软件故障及计算机病毒等原因分担了另16%的影响,而损失影响最大、程度最高的自然灾害影响仅占到2%不到。
表1 导致数据丢失的原因所占比例
2 保障数字化档案信息安全的措施
2.1选择可靠的硬件设备
鉴于硬件故障的频发性。组建数字化档案信息系统时,对硬件安全可靠性的要求引起足够的重视。
(1)服务器和主机。在选型时,如果预算允许,应尽量避免选择兼容机。而重点考虑品牌服务器和客户机,因为后者的平均无故障时间(MTTF)比前者长很多;使用过程中,需要加强设备运行环境(温度、湿度)的监测,确保硬件设备的正常运行;更新换代时,要充分考虑硬件的可扩展性和兼容性,避免硬件升级带来的数据丢失风险。
(2)存储设备。数据信息应存放在具有容错机制的网络存储设备上,可以避免由于单一硬盘损坏造成的数据丢失,保障了档案信息的完整性。同时,采用NAS或SAN架构的网络存储设备。既可以提高数据访问的性能和效率,还能够保证数据的可靠性和可恢复性。
2.2应用信息安全保障技术
(1)身份认证与访问控制。任何安全产品或计算机系统都离不开人——计算机的使用者和网络的访问者,要能够识别、认证一个合法的系统用户,系统需要采用可靠的身份认证方法进行强制性确认用户身份。通过网络访问控制系统设置网络访问规则,能有效保护内部网络资源,防止内部信息泄露和外部入侵,建立访问日志审计系统,对网络活动进行审计和监测。
(2)防范系统漏洞。系统漏洞是指应用软件或操作系统软件在逻辑设计上的缺陷或在编写时产生的错误,这个缺陷或错误可以被不法者或者电脑黑客利用,通过植入木马、病毒等方式来攻击或控制计算机,从而窃取系统中重要资料和信息,甚至破坏整个计算机系统。因此需要采用漏洞扫描系统自动检测本地主机或远程系统安全漏洞的程序,发现不安全隐患后及时打上相应补丁,它能够有效地预先评估和分析档案信息系统中的安全问题,尽早地发现档案信息系统存在的潜在安全威胁。
(3)防病毒体系。在网络环境下,计算机病毒和木马程序无孔不入,为了使档案数据免受病毒侵害,保证网络中信息的可用性,必须构建一个从主机到服务器到网络设备的完善的防病毒体系。首先,服务器作为网络的核心,为资源共享和信息交换提供了便利条件,但同时也给病毒的传播和扩散以可乘之机。所以应重点加强对服务器的保护,安装服务器端口防病毒系统。以提供对病毒的检测、清除、免疫和对抗能力。其次,在客户端的主机安装单机防病毒软件,将病毒在本地清除而不至于扩散到其它主机或服务器。最后,利用网络设备的监测软件,及时发现并分析网络中异常的流量,有助于病毒载体的定位并进行有效防范。
(4)数据加密。由于内部用户可以方便地访问档案数据,无论是主动违反安全政策还是无意造成的信息丢失(如丢失了笔记本或U盘),造成信息泄密的风险都极高。因此档案数据的安全性除了要防范软硬件的故障和外部病毒、木马的入侵,还有一个重要方面就是要防止档案信息的外泄,必须采用文档安全系统对原始数据进行加密。文档安全系统对内部的PC及其他存储设备实施认证,所有端口迸行物理、逻辑或技术封锁,用户解读这些数据之前,要用相应的解密算法对数据进行解密,这样就可以避免数据在传输过程中被非法窃取,从而保证档案信息的安全。
(5)数据备份。定期对档案数据进行备份,可以避免由于病毒、木马、黑客程序造成的文件损毁。更进一步。可以采取容灾机制,将数据同步复制到不同办公区,甚至不同地域的分支机构,进一步避免较大范围的灾害造成的损失。
2.3应用科学的管理策略
(1)制定完善的安全管理制度。安全管理包括管理组织、管理规范、技术管理、日常管理等。管理的规范化、制度化能极大地影响整个网络的安全性,严密的管理组织、严格的管理制度、明确的部门安全职责划分、合理的人员配置都可以在很大程度上降低其它层次的安全漏洞。
目前国家档案馆和信息部都已相继出台了档案信息安全管理的文件。但这还不能完全满足档案管理部门的需要。因此除了国家和地方对档案信息安全制定的法律法规外,档案部门应结合档案管理的实际情况。制定确保档案信息安全的法规标准并不断完善,使得档案信息安全具有法规保障。
(2)加强档案管理人员安全培训。档案信息的管理和利用都离不开人的参与,因此人才队伍建设是档案信息化成功之本,是保证档案信息化建设持续发展的关键。
3中冶南方数字化档案管理实践
中冶南方工程技术有限公司(简称中冶南方,其前身是冶金工业部武汉钢铁设计研究总院)。目前从业人员3000余人,设有8个专业设计室,10个事业部(所),5家分公司,12家控股子公司。中冶南方信息网络中心(即中冶南方工程技术有限公司档案馆)保存、管理着涉及工艺、设备、自动化、能源动力、规划、土建、经济等24个专业的技术图纸(包括玻璃图和蓝图)和技术资料,以及人事档案、文书档案、会计档案、声像档案等其它相关档案资料。近几年来,中冶南方信息网络中心的档案信息化过程发展得非常迅速。除了引进了相关的图档管理系统之外,还包括IC卡借阅系统、人事档案管理系统等多个信息化管理系统。除了精心管理大量产生的玻璃图、蓝图等纸质版本的档案资料外,每份生成图纸的电子文件(以dwg格式保存的CAD文件或三维文件)也是信息网络中心收集、整理及保管、利用的重点。对于年代久远的手绘图纸,信息网络中心也以扫描的方式将其转化为电子文件进行归档。对于这些大量的数字化档案信息,我们进行了如下的管理实践:
(1)选用可靠的硬件架构。公司在进行信息平台建设时,信息化基础架构经过了严密的设计和构建,从网络接人设备、网络存储系统、服务器到工作终端的选型全部采用知名品牌产品,并与产品商签署了长期的售后支持协议,最大程度地降低了硬件设备出现故障的频率。
(2)确保软件系统安全:全公司的所有客户机安装统一的操作系统平台及工作所需软件,并通过NAC安全准入系统强制要求安装系统最新补丁和最新的防病毒软件病毒库,禁用guest帐号,确保帐号安全。
(3)引入身份验证机制:每台计算机终端均采用基于动态令牌的RSA双因素身份认证系统登录,实现了与微软活动目录的集成,并与NAC终端安全准入系统结合,杜绝r非授权用户非法登录的可能。
(4)采用访问控制机制:在交换机网络层通过NAC基于用户的动态VLAN,将用户根据部门划人同一VLAN,并对该VLAN授予相应的访问控制权限。各业务应用系统需要能提供细粒度的访问控制。细化到个人和单个信息类别。访问互联网的权限由上网行为管理系统根据用户lD来控制能否上网。
(5)数据库安全管理:数据库服务器由数据库管理员管理,按要求安装操作系统补丁和数据库系统补丁,定期备份数据库文件,修复不安全的默认配置。
(6)保障核心文档安全:核心文档是指在企业运营过程中产生或应用的、涉及到企业知识产权的数字化文档,包括且不限于设计文本、图纸、技术资料等,核心文档代表了企业的核心竞争力,因此必须应用专门的文档安全系统来进行管理和掌控。中冶南方现已建立起完整的文档安全管理系统。该系统完成了与企业协同作业(设计管理)系统及图档管理系统的无缝集成,并结合文档安全系统的分级管理、电子审批流程、离线应用等功能制定了详细的文档安全管理规范及文档涉外的管理策略,使文档安全系统与现有的管理制度紧密的结合在了一起,达到了企业要求的使用合理化、安全保密化、审核规范化的要求。
4 结束语
数字化信息管理模式的出现为传统的档案工作注入一剂强心剂,促使新时代的信息管理者不能仅仅局限于考虑传统的档案管理的内容,而要更加重视如数字化档案信息的安全问题等新产生的课题。我们必须结合企业信息系统的运行特点,从多方面、多角度考虑数字化档案信息的安全问题,加强安全意识。增强知识管理技能,以适应企业各项业务的高速发展对数字化档案信息的采集、保管、利用的迫切需求。
核心关注:拓步ERP系统平台是覆盖了众多的业务领域、行业应用,蕴涵了丰富的ERP管理思想,集成了ERP软件业务管理理念,功能涉及供应链、成本、制造、CRM、HR等众多业务领域的管理,全面涵盖了企业关注ERP管理系统的核心领域,是众多中小企业信息化建设首选的ERP管理软件信赖品牌。
转载请注明出处:拓步ERP资讯网http://www.toberp.com/
本文标题:企业信息资源数字化档案信息安全管理研究
本文网址:http://www.toberp.com/html/consultation/1083953741.html