ISO31000标准在档案信息系统风险管理中的应用探讨_免费.doc

ISO31000标准在档案信息系统风险管理中的应用探讨天津开发区档案馆 马爱华 李翠绵在安全风险管理领域，国际标准化组织（ISO）于2009年11月发布了一项新的国际标准，即ISO31000：风险管理原则与实施指南。ISO31000秉承了ISO9000、ISO14000等广为人知的朴素、普适、严谨的原则，有效地指导管理实践，是一项各领域通用的风险管理国际标准，体现了世界范围内的风险管理的最新理论和最佳实践。ISO31000的发布，促使许多国家及国际组织进行了对应的风险管理标准或规定的修改。中国政府于2009年发布了国家标准 GB/T 243532009风险管理原则与实施指南，作为我国各组织实施风险管理的最高级别标准，此标准正是参照ISO 31000 编制的。目前，ISO31000风险管理标准已在国内部分大型央企与上市公司中应用，包括中国海洋石油集团、中国五矿集团、中国航天科技集团及中国航天科工集团等。在当前档案业界全面推进档案安全体系建设进程中，借鉴并运用ISO31000风险管理标准的理念、原则，建立清晰的档案风险管理体系架构与过程，应是一种有益的尝试。本文仅从ISO31000标准在档案信息系统风险管理方面的应用进行初步探讨。1、 ISO31000风险管理标准简介ISO31000：风险管理原则与实施指南，以澳大利亚和新西兰风险管理标准AS/NZS 4360:2004为基础，由国际标准组织（ISO）风险管理技术委员会制订，旨在推进各种机构、组织进行高效风险管理。该标准适用于任何公共、私有或社会企业、协会、团体或个人，应用于任何类型的风险的管理。标准提供了通用的指导准则和一般性指导方针，在应用时需结合各个机构组织的具体应用环境，风险管理的设计和实施取决于各机构、组织的不同需要、特定目标、范围、组织结构、产品、服务项目、业务流程和具体操作1。ISO31000其内容主要包括原则、框架与流程三大部分，描述了风险管理的原则、框架与风险管理流程之间的关系（图1），并提供了风险确认和分析的方法。ISO31000认为，全面风险管理是以一种相容性的、机构化的、增值性的方式来处理风险，它通过风险辨识、风险分析、风险评价的全过程，来决定这些风险是否需要处理以满足风险准则2。实施这一国际标准益处在于：以预防性代替被动型进行管理风险，变被动为主动；认识到在整个机构内部环境和外部环境中识别风险和处置风险的必要性；识别造成风险的影响要素，发现薄弱环节，提高辨识各种风险隐患的水平；有助于风险应对策略的选择；改善事故管理程序，预防事故发生，在无法避免的事故发生时减少事故损失等。这些作用同样适用于档案风险管理领域。尽管过去一段时间在档案业界，为满足不同的需要，已经开展了相应的风险管理实践，但在一个综合框架内采用一致性过程进行风险管理的模式尚未形成，而此种模式更加有助于确保在组织内有效、综合性地管理风险。ISO31000国际标准中所描述的通用方法提供了在任何范围和状况下，以系统、清晰、可靠的方式管理风险的原则和指南3。档案信息系统在应用的全过程中存在多种风险，通过运用ISO31000，有利于建立安全的内部、外部运行环境，预防突发事件的发生，积极应对突发风险事件，并通过不断的改进，提高整个档案管理系统和档案管理机构应对风险的能力。采用ISO31000标准，可以改进风险管理的信息沟通，培养风险文化，建立风险偏好，增强风险意识，提高风险管理技术的水平。 图1：风险管理的原则、框架与流程的关系2、 对标ISO31000确立档案信息系统风险管理的原则风险管理是档案信息资源与档案信息系统风险管理的上位类概念，根据ISO31000中风险管理中原则的确立方法，确定对档案信息系统风险管理的原则。3.3.1 风险管理创造价值档案信息系统风险管理的目标，要服务于档案管理的总体目标，与档案安全保障体系的目标一致，即控制环境，降低风险4。档案信息系统风险管理，应该有助于建立有效的机制，实现对档案信息系统风险的识别、评价、预警与控制，提高档案信息化水平，增强核心竞争力与可持续发展能力。3.3.2 风险管理是档案管理全过程的组成部分档案信息系统的风险管理不是一个孤立存在的过程，而是融会贯穿于档案管理的各个环节，特别是档案信息系统构建、运转和档案信息管理的整个过程，涉及档案的采集、保管、利用等各个环节。从其相关的硬件设施以及制度、技术、人员等诸多支撑要素来看，必须将其作为一个有机整体的系统工程，统筹考虑和谋划，全方位地整体推进5。3.3.3 风险管理明晰解决不确定问题档案信息系统是由计算机硬件、计算机软件、网络和通讯设备、档案信息资源、档案信息用户及相关规章制度组成的，以处理信息流为目的的一种人机一体化系统。在管理流程、技术保障等方面均可能存在不同程度的潜在风险，因此，进行风险辨识，明晰不确定的问题，进而开展风险分析、风险评估，才能提出解决方案与对策，达到实质的针对档案信息、档案信息系统的安全保障体系的构建。3.3.4 风险管理是动态、迭代和应对变化的风险管理机制要对系统和信息的变化适时响应，做到具体问题具体分析。风险管理不是一个僵化教条的过程，而是随着系统的不断发展和变化而不断调整。风险管理是一个不断循环上升的过程，要做到全面参与、及时修正，并不断提高。3、 档案信息系统风险管理过程风险管理过程由风险辨识、风险分析与评价、风险处理等环节组成。3.1 风险辨识3.1.1、 归档电子文件面临的风险（1）采集过程风险 随着国家电子文件管理暂行办法的实施与实践，对电子文件的统一管理、全程管理、安全保密等的重视程度日渐增高，应归档电子文件的归档率和完整性稳步提升。但是，由于电子文件本身的特点，在应归档电子文件归档的完整性、真实性方面，还存在一定的漏洞。对于产生过程无法严格控制的部分电子文件的真实性和原始性很难保障，文件的背景信息和元数据无法完整采集，因而不能实现应归尽归。（2） 保管风险归档电子文件及其相关背景信息都存储于硬盘等磁性材料中，若发生硬盘坏道、磁头损坏情况易造成档案信息不可读。强烈的震动、温度、湿度对存储器的寿命均有影响，存储设备的电源损坏、风扇损坏都可能导致其无法运行。当前，存储设备多采用RAID5冗余存储技术，在一组硬盘中，用一块硬盘作为校验盘，当这一组盘片中出现一块损坏时，坏盘更换后还可以进行数据恢复，但在大容量存储设备恢复过程中，有可能由于访问负担的加重造成其他盘片的损毁，从而导致存储设备损坏蔓延。随着计算机技术的发展，存储技术发展也日新月异，存储阵列、网络附加存储NAS、存储区域网SAN应用日益广泛，存储管理能力和容错能力不断提升，但一旦存储系统崩溃，NAS、SAN造成的损失会比直接存取存储器更加难以恢复。（3）载体风险对于长期保存的归档电子文件，一般采用磁盘、磁带等磁性载体或者光盘等进行保存。这些载体本身具有一定的寿命，其基材、涂层存在老化、发霉、变形、氧化、污染、划伤的风险，磁性载体还面临被磁化和消磁的风险。（4） 内容风险由于计算机技术的飞速发展，归档电子文件的内容格式必须随之不断的迁移升级，否则文件变为不可读，造成重大损失。而在迁移升级过程中，还应尽量保证电子文件的内容不受损失。（5）利用风险 对于电子文件的利用普遍存在终端状态管控问题，主要表现为电子文件拷贝不受制约。针对移动硬盘、优盘等移动介质的管理尚欠严格，且跟踪管理不善，导致档案信息滥用的风险隐患。目前档案馆内网缺少“行为审计”设计，对工作人员的操作行为无法完全记录，因而可能出现档案信息被未经授权的复制等。3.1.2、 计算机系统构建面临的风险（1）网络风险 当前档案信息管理系统大多构建于计算机网络平台基础之上，由于网络设计本身的问题，导致病毒、木马泛滥，黑客攻击防不胜防。国家计算机病毒中心的数据表明，2010年全国的计算机有92.47%感染了恶意代码。存在通过网络对档案信息数据库和档案正文服务器进行攻击的问题，导致对数据库的恶意访问和破坏，对档案正文的非法访问、复制和篡改。（2） 内部攻击 内部攻击分为两大类，即非授权用户的非法访问、合法用户的误操作。非授权用户非法访问归档电子文件，恶意操作归档电子文件，故意删除、篡改、非法复制和传播归档电子文件等，是归档电子文件面临的最大风险。内部合法用户误操作，同样会对归档电子文件造成的损失，比如误删除归档电子文件的操作等。 （3）系统升级 计算机技术飞速发展，硬件设备不断升级换代，现在5寸盘已经完全退出，3寸盘很少有机器能够读出，当初存储在软盘中的数据由于没有外设的支持基本已经成为电子垃圾。归档电子文件的存储载体时刻面临系统升级换代带来的问题，在保存某种载体作为长期归档保存时，必须考虑保存期访问环境。 （4）硬件失效归档电子文件的保存和利用必须依赖于特定的硬件和软件环境。硬件环境的失效，直接会导致归档电子文件的损失。如地质灾害（地震、海啸、风暴及洪水等）可对档案信息系统造成毁灭性危害；雷电可造成计算机设备原件被击穿损毁等。3.2 风险分析及评价通过对上述风险进行具体分析，归纳为如下三类： 3.2.1、 可规避的风险通过采用一定的技术手段和预防措施，有些风险是可以有效规避。可以规避的风险主要有载体风险、内容风险、系统升级风险等。3.2.2、 可降低危险程度的风险通过提高管理水平，规范管理程序，加强人员教育和管理，有些风险的危险程度可以降低，如采集过程风险、存储过程风险、利用风险、网络风险、内部攻击等。3.2.3、 不可避免的风险计算机设备都具有一定的寿命，随着设备使用时间的延续，不可避免地会出现设备老化和设备故障，如硬件失效。3.3 档案信息系统风险管理应对策略3.3.1 完善法律法规体系 中华人民共和国档案法1987年通过，并于1996年度进行修正，没有针对电子文件管理的相关规定。随着计算机技术和电子政务的不断发展，电子文件的管理已成为档案管理不可或缺的部分，应及时修订档案法，确定归档电子文件的档案地位，从法律角度确保应归档电子文件不流失，增强电子档案的法律效力。 通过出台电子文件归档管理条例，细化电子档案管理程序，实现电子档案应归尽归，保证电子档案的保存、管理、利用有章可循，确保应归档电子文件不流失、不失真、不损毁及不泄密等。3.3.2 构建档案信息系统安全管理体系（1）严格按照机房建设规范的要求，做好防火、防水、防盗、防雷等工作。采取物理控制措施，监控对信息处理设备运行构成威胁的环境因素，防止因意外断电或供电干扰影响系统的正常运行。 （2）保证档案信息系统相关设备更新实现良性化循环，特别是存储器、服务器等关键设备升级更新制度化，从硬件角度保证档案信息系统的安全。（3）在系统构建过程中，通过网络物理隔离、防火墙、关键设备冗余、云计算等技术保证档案信息系统工作的可靠性。将同一网络划分为不同的逻辑安全域，根据安全级别定义实施有效的安全控制，如对每个域和整个网络进行物理或逻辑分区、实现网络内容过滤、逻辑访问控制、传输加密、网络监控、记录活动日志等。（4）软件系统设计实现归档采集。系统设计要具备良好的兼容性，系统构建保证实现应归尽归；能够从办公自动化系统采集其形成的应归档电子文件及其背景信息，保障档案信息不流失。在保管利用中，通过严格用户管理，防止非法访问；通过系统内部审计，及时发现问题，杜绝对归档电子文件的非法访问，并可对非授权访问者追究责任。严格最高权限用户的审查，控制对数据和系统的物理和逻辑访问，访问授权以“必需知道”和“最小授权”为原则。（5）严格档案信息分级与保护。保证档案信息不会被非授权人员访问，对档案信息的访问授权级别粒度细化到文件级。明确定义包括终端用户、系统开发人员、计算机操作人员、系统管理员和用户管理员等不同用户组的访问权限；制定最高权限系统账户的审批、验证和监控流程，并确保最高权限用户的操作日志被记录和监察。（6）加强日志管理和分析。日志划分为两大类：应用日志和系统日志。应用日志由应用软件和数据库管理系统产生，内容包括用户登录尝试、数据修改、错误信息等；系统日志由操作系统、数据库管理系统、防火墙、入侵检测系统和路由器等生成，内容包括管理登录尝试、系统事件、网络事件、错误信息等。系统日志保存期限按系统的风险等级确定，但不能少于一年。在系统日志中记录不成功的登录、重要系统文件的访问、对用户账户的修改等有关重要事项，手动或自动监控系统出现的任何异常事件，定期汇总监控情况，及时发现信息访问的风险及漏洞。（7）防范涉密信息在传输、处理、存储过程中出现泄露或被篡改的风险，并建立密码设备管理制度，以确保使用符合国家要求的加密技术和加密设备；管理、使用密码设备的员工经过专业培训和严格审查；加密强度满足信息机密性的要求；制定并落实有效的管理流程，尤其是密钥和证书生命周期管理。（8）通过脱机载体备份、手检档案全引目录导出技术等手段，保证档案信息的存储和利用环境的安全，在发生长时间断电等极端情况是保证档案利用服务全天候，保证在系统发生瘫痪时能够在最短时间内恢复和重建。3.3.3 健全管理制度 设立一个由管理层和主要业务部门组成的档案信息安全管理委员会，负责监督各项职责的落实、档案信息系统战略规划的执行、档案信息科技、档案信息系统风险管理的整体状况。确保进行独立有效的档案信息系统风险管理审计，对审计报告进行确认并落实整改。及时应对重大档案信息事故或突发事件，按相关预案快速响应。 （1）备份制度：严格备份制度，对档案系统文件和档案数据信息实现多载体差异备份和异地备份，保证档案信息的安全，保证在档案信息系统完全瘫痪甚至无法修复时可以迅速实现系统重建。（2）信息迁移制度：通过建立严格的信息迁移制度和备份载体定期检查制度，保证档案信息系统的完整备份随时处于可读状态，保证信息系统重建的成功率达到100%。（3）机房管理制度和计算机管理制度：严格机房管理制度，保证档案信息和数据不被非授权人员接触。技术人员定期检查可用的安全补丁，并检查补丁管理状态，通过规定系统更新和病毒库升级制度，保证档案信息系统不受病毒攻击的威胁。做好设备巡检和用火、用电、用水安全管理，防范机房火灾的发生。对机房中存储保密档案信息的数据服务器或放置网络设备等重要设备的区域，明确相应的职责，采取必要的预防、检测和恢复控制措施。确保所有终端用户设备的安全，并定期对所有设备进行安全检查，包括工作用台式个人计算机（PC）、用户检索用机、便携式计算机、触摸屏、个人数字助理（PDA）等。（4）涉档案移动载体管理制度：通过加强涉及档案信息的移动载体的监控和审计，防止档案信息被滥用和超范围传播。3.3.4 加强人员管理对涉及档案信息管理的部门内部管理职责进行明确的界定，各岗位人员应具有相应的专业知识和技能，重要岗位应制定详细完整的工作手册并适时更新。对相关人员应采取下列风险防范措施：验证个人信息，包括核验有效身份证件、学历证明、工作经历和专业资格证书等信息；审核档案信息管理员工的道德品行，确保其具备相应的职业操守；确保员工了解、遵守信息科技策略、指导原则、信息保密、授权使用档案信息系统的制度和流程等要求，并同员工签订相关协议。加强人员培训：通过对档案管理人员的技术培训、安全知识培训、保密法规培训，提高档案队伍的整体素质和水平。严格人员离职审