发布时间：2024-04-19 16:10:53
绪论：一篇引人入胜的安全保障管理策略，需要建立在充分的资料搜集和文献研究之上。搜杂志网为您汇编了三篇范文，供您参考和学习。
2010年5月12日，国家档案局杨冬权局长在全国档案安全系统建设工作会议上提出“建立确保档案安全保密的档案安全体系，全面提升档案部门的安全保障能力”的号召，把档案安全的重要性提升到一个新高度。[1]近年来，档案安全保障体系研究已引起学界的关注，成为较热的一个研究课题。我们课题组也在做档案安全保障体系的研究，笔者期望对学者以往的研究做以归纳提炼，以资研究探索。
笔者于2011年12月22日，在万方数据库中，以“档案安全保障体系”为检索词，起始年“2000”，结束年“2011”检索到论文84篇。在维普中文科技期刊数据库搜索到与“档案安全保障体系”相关内容论文20篇，笔者对其中相关度较高的文章进行了分析研究，综述如下：
1 档案安全保障体系的内涵
档案安全保障体系的建设具有持续性、多样化、可完善性等特点，是一项复杂的系统工程。构建档案安全保障体系的前提是分析档案安全保障体系的理论定位与实际应用的关系。
张美芳、王良城认为，目前，国内外关于档案安全保障体系的理解大致有三层含义：其一，控制环境，降低风险。这里的“环境”，是指档案保管环境、物理环境、社会环境、信息存储环境等，降低环境因素对档案安全的影响，最大可能降低风险。其二，建立安全保障平台，采取安全防护措施，使档案尽可能保持稳定状态。其三，对已经处于不安全环境中的档案，采取各种措施使其达到新的稳定状态，保存其信息的可读、可用和可藏。这三层含义包括档案安全保障体系中社会因素、管理体制、组织体系、策略、政策法规、安全保障技术或安全保护效果的评价等较为宏观的要素。[2]
2 档案安全保障体系的构建目标和指导思想
2.1 构建目标。彭远明认为，档案安全保障体系建设的总体目标是：针对档案的安全需求、管理现状和存在问题进行安全风险分析，提出解决方案和预期目标，制定安全保护策略，形成集预测、保管、利用、抢救一体化的保障体系。[3]杨安莲认为，档案安全保障体系的构建目标应该是：采取全面、科学、系统的安全保障策略，保证档案信息的安全性、完整性和可用性，杜绝敏感信息、秘密信息和重要数据的泄密隐患，确保档案信息的全面安全。[4]
2.2 指导思想。彭远明认为，构建档案安全保障体系的指导思想是：在体系内合理进行安全区域划分，以应用和实效为主导，管理与技术为支撑，结合法规、制度、体制、组织管理，明确等级保护实施办法，确保档案的安全。[5]张美芳、王良城认为，档案安全保障体系建设的指导思想应是：坚持严格保护、有效管理、分类指导、合理利用，以健全法律法规、提高人员素质、加强规划管理、完善基础条件、强化监管手段为重点，立足当前，着眼长远，加快体制机制创新，加强统筹协调，全面增强档案资源保护力度，推动我国档案事业持续健康发展。[6]
3 档案安全保障体系的建设原则
档案安全保障体系的构建应该根据档案安全现状及其面临的威胁与隐患，从档案安全保障工作的整体和全局的视角进行规范，在构建过程中应该遵循一定的原则。彭远明、张艳欣、杨安莲、黄昌瑛、张勇等都提出了档案安全保障体系的建设原则，笔者采用统计归纳的方法，从中提炼出以下共性原则：
3.1 标准规范原则。档案安全保障体系的建构和策略的选择必须符合我国现行法律、法规的规定要求，必须遵循国际、国家的相关标准，严格遵照相关规章制度。[7][8]
3.2 科学实用原则。档案安全保障体系应在充分调查研究的基础上，以档案安全风险分析结果为依据，探寻有针对性的特色理论，制定出科学的防范措施与方法，这些理论、措施与方法应当在实践层面上具有可操作性。[9][10][11]
3.3 全面监控原则。档案安全保障工作是一个系统工程，需要对各个环节进行统一的综合考虑、规划和构架，任何环节的安全缺陷都会造成对档案安全的威胁。[12]
3.4 适度经济原则。根据档案的等级决定建立什么水平的防范体系，根据风险评估和各单位的财力、物力决定资金投入的多少及如何分配使用资金，将资金用在最迫切的地方。既要考虑到系统的可操作性，又要保证安全保密机制的规模与性能满足需要，实现安全保护效率与经济效益兼顾。[13][14][15]
3.5 动态发展原则。档案安全保障体系的建设是一个长期的不断完善的过程，所以，该体系要能够随着安全技术的发展、外部环境的变化、安全目标的调整，不断调整安全策略，改进和完善档案安全的方法与手段，应对不断变化的档案安全环境。[16][17][18][19]
3.6 自主创新原则。加强档案安全保障方面的关键技术的研发，密切跟踪国际先进技术的发展，提高自主创新能力，努力做到扬长避短，为我所用。[20][21]
4 构建档案安全保障体系的方案设计分析
许多学者对档案安全保障体系的建设方案提出了自己的设想，他们从不同的角度切入问题，得出不同的结论，笔者根据学者的研究成果，总结出一套较为完善的档案安全保障体系方案。
4.1 安全管理理论。理论从实践中取得并能指导实践，为实践指明前进的方向。在先进理论的指导下，实践往往能取得较好的成果，理论水平的高低因此也往往预示着现实中该领域的水平高低。
4.1.1 前端控制。前端控制思想具体到安全保障活动中是：档案安全保障的标准化的建设与应用；为开展安全保障活动而制定的计划方案、普查活动；人员配置合理和技术力量的前期储备、设备的选择和环境的控制、整个预防性安全保障活动的监督、检查和评估；为妥善保管档案而选择的装具、包装等；事先制订的应急预案、抢救预案，等等。[22]
4.1.2 全程管理。全程管理是伴随着档案的生命周期而开展的一切安全保障管理活动。[23]包括日常维护、灾难备份、利用与服务、恢复与抢救、质量检查与评估、风险预测，等等。[24]
4.1.3 后期监督。后期监督包括安全保障活动的评估、人员技术水平的评估、财政结算、开展安全保障活动后的总结报告、制度、规范或标准的完善、提供参考性的开展安全保障活动的经验、方法或模式。[25]
4.1.4 风险管理。构建档案安全的风险管理机制，依次进行安全风险计划制订、风险评估、风险控制、风险报告以及风险反馈。通过评估风险，识别判定风险大小，判定每种风险相对的档案安全保护对策，并通过一定的方式方法进行风险控制，规避、转移或降低风险对档案造成的损害。[26][27]
4.1.5 人才教育培养。树立科学的人才培养观，建立科学合理的档案安全人才培养体系，建立系统的人才资源培训和贮备机制，加大人才培养的力度。[28]做到“有计划、有重点、分层次、分类型、多形式、多途径”地开展档案安全人才的教育和培养。[29]
4.2 安全基础设施
4.2.1 实体安全基础设施。档案实体安全基础设施是指维护档案安全、实施档案正常管理、保障档案开发利用，提供为全社会方便服务等工作而进行的基础建设，包括档案保管环境、档案存储设施、档案利用设备、档案维护监控设备、档案抢救与恢复设施等。[30]
4.2.2 信息安全基础设施。档案信息安全基础设施是为信息安全服务的公共设施，为档案部门的安全保障体系建设提供支撑和服务，主要包括：档案信息系统PKI（网络信任体系）、档案信息灾备中心、档案信息系统应急响应支援中心、档案信息安全测评认证中心、档案信息安全服务中心（外包服务）、档案信息安全执法中心等。[31]
4.3 安全策略
4.3.1 实体安全策略。实体安全必须具备环境安全、设备安全和介质安全等物理支撑环境，注重环境防范、设备监控、介质管理、技术维护等安全措施的完善，消除安全隐患，确保档案安全。[32]
4.3.2 管理安全策略。针对档案安全的管理需求，在完善人员管理、资源管理、利用服务、重点部位维护、灾害防范、突发事件应急处置、专业人才教育培训的基础上，建立健全安全管理机制和制度，并结合管理技术，形成一套比较完备的档案安全管理保障体系。[33][34]
4.3.3 网络系统安全策略。强化操作系统、数据库服务系统的漏洞修补和安全加固，对关键业务的服务器建立严格的审核机制；合理划分安全域及边界，建立有效的访问控制制度；通过实施数据源隐藏，结构化和纵深化区域防御消防黑客入侵、非法访问、系统缺陷、病毒等安全隐患，保证档案系统的持续、稳定、可靠运行。[35][36][37]
4.4 安全技术。技术是影响档案安全的关键因素，档案安全技术是多方面、多层次的，包含预防、保护、修复和维护等技术，可以有效保证档案安全。
4.4.1 基于实体的保护技术。主要有：①各类档案载体的管理与保护技术；②档案损坏的测试与评估技术；③受损档案的修复技术。[38]
4.4.2 基于环境的防护技术。主要有：①库房建筑标准与围护结构功能的设计、施工和实施；②档案保管的设备设施和有效装具；③档案库房和利用环境的监测技术；④温湿度调节与控制技术；⑤有害因素的控制和防护技术。[39]
4.4.3 基于信息的安全技术。主要有：①系统安全技术：操作系统安全和安全审计技术等；②数据安全技术：数据加密技术、应急响应技术、数据备份与容灾技术、基于内容的信息安全技术和数据库安全技术等；③网络安全技术：防火墙技术、防病毒技术、漏洞扫描技术、入侵检测技术、物理隔离技术、服务技术、网络监控技术和虚拟网技术等；④用户安全技术：身份认证技术、数字签名技术和访问控制技术等。[40]
4.4.4 基于灾害的保护技术。主要有：①灾害的预警与防范技术；②档案灾害的应急处置技术；③档案次生危害的防范技术；④灾后受损档案的抢救与恢复技术。[41]
4.5 安全法规制度。完善的档案安全法律法规和制度是保障档案安全的基石，只有不断制定和完善档案安全法规制度，才能做到有法可依、违法必究，才能更好地维护档案的安全。[42]
4.5.1 制定并遵循法规标准。各地方应根据国家标准，结合本地区、本系统、本单位的具体情况，制定相应的规范和标准，以使档案安全管理规范化和标准化。[43]
4.5.2 建立健全档案安全管理制度。包括：档案归档安全制度、档案整理安全制度、档案查阅利用安全制度、档案日常管理维护制度、档案保密制度、档案信息安全管理制度、档案鉴定和销毁制度、档案资料出入库管理制度以及重要档案异地、异质备份制度；[44]受损档案抢救制度、电子档案信息安全制度以及档案安全行政责任制等。
4.5.3 建立完善档案安全管理机制。包括：信息交换机制、法律保障机制、日常防范机制、灾害预警机制、应急处置机制、[45]组织建设机制、制度建设机制、风险管理机制、人员管理机制等。
4.6 安全保护效果评价。对档案安全保障体系评价的目的，是对档案安全保障体系的有效性进行评估。[46]首先，确定待评价系统的范围，选择适当的评价方法，确定适当的评价指标。然后，收集有关数据进行统计分析，得出评价结果，再进行持续改进，以不断提高档案安全保障体系及其具体过程中的有效性和效率。[47]
4.6.1 评价方法。根据被评价对象本身的特性，在遵循客观性、可操作性和有效性原则的基础上选择合适的评价方法。目前，存在的综合评价方法有：属性融为一体评价方法、模糊综合评价方法、基于灰色理论的评价方法、基于粗糙集理论的评价方法。[48]
4.6.2 评价指标。根据国内外的档案安全评估标准，国家对档案安全的基本要求，综合考虑影响档案安全的各种因素，建立档案安全评价指标体系。包括：①物理安全评价指标：环境安全评价、设备安全评价、载体安全评价；[49]②管理安全评价指标：规章制度评价、工作流程评价、管理措施评价、业务技术评价；③技术安全评价指标：保护技术评价、网络技术评价。[50]
5 结语
纵观学者对档案安全保障体系的研究，研究角度和切入点各有不同，观点纷呈，但还是缺乏深入、系统的研究，有待于我们进一步思考、探讨。
注：本文是河南省档案局科技项目《档案安全保障体系现状调查》（项目编号：2011-B-51）阶段性成果之一。
参考文献：
[1]张照余.对建设档案安全保障体系的几点认识[J]. 浙江档案，2011（1）：36～39.
[2][6][24]张美芳，王良城.档案安全保障体系建设研究[J].档案学研究，2010（1）：62～65.
[3][5][7][33][41]彭远明.档案安全保障体系构建及其实现策略研究[J].上海档案，2011（4）：14～17.
[4][12][15]杨安莲.论电子文件信息安全保障体系的构建[J].档案学研究，2010（10）：75～78.
[8] [13] [17]张艳欣.档案安全保障管理机构的构建[J].档案管理，2010（5）：7～9.
[9][14][16][29]王茹熠.数字档案信息安全防护对策分析[D].哈尔滨：黑龙江大学，2009.
[10 ][18][19]黄昌瑛.电子档案信息安全保障策略研究[D]. 福州：福建师范大学，2007.
[11][20][21]张勇.数字档案信息安全保障体系研究[D].苏州：苏州大学，2007.
[22][23][25]张美芳，董丽华，金彤.档案安全保障体系的构建[J].中国档案，2010（4）：20～21.
[26]陈国云.从风险管理的视角探讨电子文件安全管理问题[J].北京档案，2008（6）：16～18.
[27]张迎春.档案安全保障体系研究[D].安徽大学，2011
[28]方国庆.数字档案信息安全保障体系建设中的问题与策略[J].机电兵船档案，2010（5）：59～61.
[30]王良城.档案安全保障体系建设基本任务探析[J].中国档案，2010（4）：18～19.
[31] [40]项文新.档案信息安全保障体系框架研究[J].档案学研究，2010（2）：68～73.
[32][38]许桂清，李映天.档案信息安全保障体系的建设与思考[J].档案学研究，2010（3）：54～58.
[34]冉君宜.抓好“五个必须”构建档案安全保障体系[J].办公室业务，2010（9）：55～56.
[35]陈慰湧，金更达.数字档案馆系统安全策略研究[J].浙江档案，2008（7）：21～24.
[36]王凡，朱良兵.档案安全保障体系建设实践[J].贵州水力发电，2010（12）：76～78.
[37]周向阳.电子档案信息安全保障体系建设的研究[J].机电兵船档案，2010（5）：64～66.
[39]金玉兰.关于加强档案安全保障体系建设的思想[J].北京档案.2010（8）：22～23.
[42]曹书芝.网络背景下档案信息的安全保障[J].兰台世界，2006（5）：2～3.
[43]宗文萍.基于价值链理论的档案信息安全管理[J].档案学研究，2005（1）：38～42.
[44]杨冬权.以丰富馆藏、提高安全保障能力和公共服务能力为重点，实现档案馆事业跨越——在全国档案馆工作会议上讲话[J].档案学研究，2009（6）：23～29.
[45]卞咸杰.论档案信息安全保障机制的建立与完善[J].2007（6）：18～20.
[46][50]方婷，吴雁平.档案安全保障指标体系建设研究[J].档案管理，2011（6）：12~15.
中图分类号：G202 文献标志码：A 文章编号：1000-8772（2013）09-0170-03
引言
在当前的错综复杂的信息环境中，信息随着信息环境多样化的发展，变得更加的丰富与多样。在信息的传播过程中，信息异化现象的越发明显，不仅给人们获取和利用信息带来了障碍。而且也进一步地影响了人们信息活动的安全。
“异化”（alienation）源于拉丁语alienation，有转让、疏远、脱离、差异和分离之意。所谓信息异化，是指人们创造的信息在生产、传播和利用等活动过程中，因受到各种因素的干扰，而导致信息丧失原有的内涵，甚至反客为主演变成外在的支配、统治和控制人的异己力量。简单地说，信息异化就是作为主体的人与作为客体的信息之间产生关系的颠倒，从而使人丢失了自身的主体性。由此可以看出，信息异化扭曲了信息的本质，直接影响了信息的合理利用，而如何客观的认识信息异化环境，准确处理信息异化问题，是我们必须解决的核心问题。
信息安全是信息异化所涉及到的最为敏感且重要的问题之一。关于信息异化在信息安全方面的研究，其采用的处理手段主要集中在信息导航、信息过滤控制以及信息安全保密角度三个方面。信息导航作为展示信息资源内容与结构的基本手段，以有序化的方式体现无序化的信息，为用户提供方便快捷的信息指引；网络信息过滤作为筛选信息、满足用户需求的有效方法，通过运用一定的标准和工具，从大量的动态网络信息流中根据用户的信息需求选取相关的信息或剔除不相关信息；信息安全保密控制的核心在于融合管理、技术、执法几种手段综合加以治理，通过内部网的安全保密技术以及内部网与外部网的防火墙技术隔离技术确保内部网的安全，同时细化电子文件密集，完善身份验证、存取控制、数据完整性、数据机密性、防火墙技术、安全协议等手段，实现信息安全技术的应用。
现阶段对于信息异化中信息安全的研究大多都处于强针对性条件下的研究现状，单一的目的性导致了信息异化影响无法完全消失，信息污染无法被彻底地清除，信息安全依旧得不到完善的保障。因此，本文旨在参照目前信息异化的现状处理的不足，在分析现有的安全保障系统缺陷的条件下，提出一套系统性的安全保障模式。
一、现有的企业信息安全保障系统
目前，国内外与信息异化环境下的信息安全保障相关的系统结构主要为OPSEC安全保障策略和网络信息创新平台。
（一）安全保障策略（OPSEC）系统
OPSEC安全保障策略（Operation Seeurity），是美国国家安全局依照企业反竞争情报的理念设计的一套以分析信息的价值人手，针对信息的价值来确定所要采取的保护策略的安全保障系统。OPSEC的运行机制是通过鉴别和分析竞争对手想要获得的决定竞争成败的关键信息，确定关键信息的危害程度，采取措施进行补救减少威胁，同时对自身信息系统的所有过程进行检验和分析。找到直接危害信息安全的弱点并采取弥补措施，通过对自身弱点的分析，找到弥补措施的平衡点，并最终综合上述所有的环节进行研究，制定出综合应对策略嘲。
OPSEC在通过运用过程中通过全面分析信息找出存在的漏洞，通过分析这些漏洞是否值得保护而进行的筛选信息保护。OPSEC的应用偏重于针对一定信息的异化处理和安全保障，有利于在低投入的条件下从根本上清除相关的信息污染，但降低了针对信息自身的多变性和时效性的异化分析。
（二）网络信息创新平台模式
网络信息创新平台即建立在技术进步基础之上，利用信息科学的基本原理和方法实现人类信息处理扩展的技术模式。网络创新平台的着重点在于虚实与创新有机结合的信息技术模式，从提高信息技术的综合水平上加强安全保密措施。虚实与创新有机结合的信息技术模式，在于针对现代信息技术发展造成信息生产者创新能力的丢失以及虚假信息扩散的现状，发展出的一种将虚实和创新有机结合的信息技术模式，通过信息的时效性、开放性等特征，将各种现实信息紧密联系，实现不同媒介信息的融合，提升信息的创新价值，在信息生产的阶段，由于信息技术的促使信息量逐步提升使得信息在急剧增加的同时质量下降，而提高信息技术的信息加工传递的速率以及信息的辨别处理能力。当今的技术漏洞使信息安全受到了威胁，成为威胁信息安全的隐患。信息系统安全保密技术是防止信息污染发生的一项关键性技术系统，保障信息活动逐步规范化。
网络信息创新平台在理论上建立起了针对信息异化环境的信息安全保障系统，通过从信息的生产源人手，进一步体现信息的本质并兼顾自身的安全保障，对信息的处理和安全保障更加规范化。但目前信息安全的发展缺乏在信息安全应用上的创新研究，研究与应用发展不平衡性，没有覆盖信息安全的主要方向。
二、企业信息安全保障系统构建与分析
（一）核心目标
信息安全保障系统是指在信息环境下由信息安全的各个组成部分相互联系且相辅相成所建立的总体结构。在信息异化的环境下，信息污染将成为信息安全的首要威胁之一，因此对于信息异化的处理将成为信息安全保障的首要工作。
信息安全保障系统能否具有可行性的关键，在于系统自身能否解决异化环境中信息污染的处理问题，以及能否适应当前所面对的各种客观的信息安全保障环境和日益加剧的安全系统漏洞。
（二）企业信息安全保障系统结构构建
信息异化环境下的企业信息安全保障系统（如图1所示），该系统的关键在于将异化后的信息通过信息清理模块的初步处理，使信息的核心价值得以体现，再通过安全保障模块的核心进行分析处理与安全保护模块的信息加密，防止信息受到二次异化，从而使得信息价值得到充分的利用。
（三）企业信息安全保障系统的运行机制
信息异化环境下企业信息安全保障系统的运行机制（如图2所示）：将信息异化环境中被异化的信息提取并选择与自身安全有关联的信息进行关键词挖掘，通过对异化信息中的核心词汇进行提取用以找到合适的信息源，同时对同信息源或同类关键词汇进行合成从而形成关键信息并进行分析和制定安全保障策略，最后通过设置的保密措施来对安全保障策略进行实施和成效反馈。因此，该信息安全保障系统中应包含信息清理模块、安全保障策略模块以及自身的安全保护模块三个部分。
（四）企业信息安全保障系统功能分析
1 信息清理模块
信息清理模块主要用以对信息异化环境中受到异化的信息进行初处理，其具体的实施功能为信息源选取、关键词挖掘和信息集成。
（1）信息源选取。对信息异化环境中的信息进行过滤，选取与目前对自身安全有关的信息，并确认信息的信息源。（2）关键词挖掘。通过对与自身安全相关联的信息进行语义挖掘，判断并找出信息中的核心词汇。（3）信息集成。明确信息的信息源，并将其与被挖掘出来的信息关键词进行关联分析，同时通过将信息源所发出的所有与自身目前相关的信息与挖掘LIJ的信息关键词进行匹配，找到合适的信息体进行合成。
2 安全保障模块
安全保障模块是以信息分析，策略制定和实施以及成效反馈为主要步骤来进行的信息安全保障活动。
（1）信息分析。将已经合成的信息进行分析，发现其对自身信息安全产生的威胁，并找到自身信息安全存在的漏洞。（2）策略制定。对信息威胁和发现的信息漏洞进行综合研究，制定}H相关补救策略，同时进一步加强总体性的信息安全保障。（3）策略实施。针对所制定的策略细节进行加密保护，再将加密后的策略信息进行实施和传递存储。（4）成效反馈。基于策略实施后的成效进行反馈研究，并将结果进行加密后返送至信息分析功能板块，通过对反馈的成效分析，查漏补缺，进一步制定和完善信息安全保障策略。
3 安全保护模块
安全保护模块的主要功能是保密措施，其运行机制在于对安全保障模块中保障措施的实施和反馈进行的加密保护，并通过一系列实践活动进一步对策略的实施给予保障。
三、实验分析与验证
（一）信息清理
目前从网络销售平台中，将某手机品牌制造企业生产的E型手机选取三条相关信息：
信息1：本品牌产品本月综合关注排行有所提升；
信息2：此E型手机的总销量为近两百四十台；
信息3：此E型手机本月销量上升一个百分点。
（二）信息挖掘与集成
现分别将以上三条信息的关键词进行挖掘与集成，即如下表所示：
（三）安全保障
根据集成信息进行分析，可以得出本产品具有一定的市场潜力，在品牌效应促使下产品销量也正在逐步提升，因此，保障品牌的可信度以及产品的好评率是取得客户信任的关键一环。针对此现象，制定出进一步打造品牌效应，加强广告宣传力度以及实行产品促销活动，争取更广泛的客户群体的提升策略。
在策略进行的同时，开展有偿回访，积极深入了解客户的内心需求，并针对客户的需求进一步完善产品的功能，并在产品平台的基础上研发功能更加全面的软件，进行升级下载。
（四）安全保护
在策略制定的过程中，为了获取准确的客户信息。需要在客户回访中，深入了解客户购机的背景以及用途，同时进行多层次的交流以及实行多次的效应评估和完善评价。在品牌宣传的过程中实施相关信息的及时反馈，并在促销活动中体现品牌诚信以及公信度，从而进一步保障策略准确的实施和虚假异化信息的有效防范。
四、结论
信息是人及其活动中不可缺少的要素之一。在社会信息环境中，信息异化会促使人们表现出对自己创造的信息环境的不适感。针对信息异化现象的控制，需遵循信息生产、传播和利用的利他法则。因此，信息行为也必须像其他行为一样受道德与法律的双重规范的约束。对于信息异化的控制，需努力寻找其根源，从多个角度进行控制研究，有效控制信息异化。
通过对于目前所提出的信息异化环境下的企业信息安全保障系统的阐述，我们可以从中发现系统性综合性的信息安全保障模式可以在信息异化的环境下，针对特定的信息进行相关异化分析，并在内部和外部环境下的信息综合评价进行安全保护。但作为系统性的运作模式，各模块由于其间特性的不同，从而导致的模块之间的衔接较为简单，因而形成了信息安全保护相对较低、对于个别综合性较大的异化信息所需进行的处理力度略显不够的状况。因此，进一步提升信息安全的防范指数，促进信息异化环境下的信息安全运作系统各模块间的衔接，下一步所需研究的核心问题。
参考文献：
[1]刘丹丹，孙瑞英，网络环境下信息异化的心理原因探析[J]图书馆学研究，2009，33（4）
[2]孙瑞英。信息异化问题的理性思考[J]情报科学，2007，25（3）：340-344
[3]曾忠禄，情报制胜[M]，北京：企业管理出版社，2000：281-283
[4]俞培宁，信息异化的成因及对策研究[J]，图书馆学研究，2011（3）：9-11
随着云计算、大数据等新兴技术的不断发展，企业信息化、智能化程度、网络化、数字化程度越来越高，人类社会进入到以大数据为主要特征的知识文明时代。大数据是企业的重要财富，正在成为企业一种重要的生产资料，成为企业创新、竞争、业务提升的前沿。大数据正在成为企业未来业务发展的重要战略方向，大数据将引领企业实现业务跨越式发展;同时，由此带来的信息安全风险挑战前所未有，远远超出了传统意义上信息安全保障的内涵，对于众多大数据背景下涉及的信息安全问题，很难通过一套完整的安全产品和服务从根本上解决安全隐患。
自2008年国际综合性期刊《Nature》发表有关大数据(Big Data)的专刊以来，面向各应用领域的大数据分析更成为各行业及信息技术方向关注的焦点。大数据的固有特征使得传统安全机制和方法显示出不足。本文系统分析了大数据时代背景下的企业信息系统存在的主要信息安全脆弱性、信息安全威胁以及信息安全风险问题，并有针对性地提出相应的信息安全保障策略，为大数据背景下的企业信息安全保障提供一定指导的作用。
1 大数据基本内涵
大数据(Big Data)，什么是大数据，目前还没有形成统一的共识。网络企业普遍将大数据定义为数据量与数据类型复杂到在合理时间内无法通过当前的主流数据库管理软件生成、获取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等的大型数据集。大数据具有4V特征(Volume，Varity，Value，Velocity)，即数据量大、数据类型多、数据价值密度低、数据处理速度快。
2011年麦肯锡咨询公司了《大数据：下一个创新、竞争和生产力的变革领域》[1]的研究报告，引起了信息产业界的广泛关注。美国谷歌公司(Google)、国际商业机器公司(IBM)、美国易安信公司(EMC)、脸书(Facebook)等公司相继开始了大数据应用、分析、存储、管理等相关技术的研究，并推出各自的大数据解决框架、方案以及产品。
例如，阿帕奇软件基金会(Apache)组织推出的Hadoop大数据分析框架，谷歌公司推出的BigTable、GFS(Google File System)、MapReduce等技术框架等，这些研究成果为随后的大数据应用迅猛发展提供了便利的条件。2012年3月，美国奥巴马总统了2亿美元的“Big Data Initiative”(大数据研究和发展计划)，该计划涉及能源、国防、医疗、基础科学等领域的155个项目种类，该计划极大地推动了大数据技术的创新与应用，标志着奥巴马政府将大数据战略从起初的政策层提升到国家战略层。
同时，我国对大数据的认识、应用及相关技术服务等也在不断提高，企业界一致认同大数据在降低企业经营运营成本、提升管理层决策效率、提高企业经济效益等方面具有广阔的应用前景，相继大数据相关战略文件，同时国家组织在民生、国防等重要领域投入大量的人力物力进行相关技术研究与创新实践。中国移动通信公司在已有的云计算平台基础上，开展了大量大数据应用研究，力图将数据信息转化为商业价值，促进业务创新。
例如，通过挖掘用户的移动互联网行为特征，助力市场决策;利用信令数据支撑终端、网络、业务平台关联分析，优化网络质量。商业银行也相继开展了经融大数据研究，提升银行的竞争力。例如，通过对用户数据分析开展信用评估，降低企业风险;从细粒度的级别进行客户数据分析，为不同客户提供个性化的产品与服务，提升银行的服务效率。总而言之，大数据正在带来一场颠覆性的革命，将会推动整个社会取得全面进步。
2 大数据安全研究现状
在大数据计算和分析过程中，安全是不容忽视的。大数据的固有特征对现有的安全标准、安全体系架构、安全机制等都提出了新的挑战。目前对大数据完整性的研究主要包括两方面，一是对数据完整性的检测;二是对完整性被破坏的数据的恢复。在完整性检测方面，数据量的增大使传统的MD5、SHA1等效率较低的散列校验方法不再适用，验证者也无法将全部数据下载到本地主机后再进行验证。
面向大数据的高效隐私保护方法方面，高效、轻量级的数据加密已有多年研究，虽然可用于大数据加密，但加密后数据不具可用性。保留数据可用性的非密码学的隐私保护方法因而得到了广泛的研究和应用。这些方法包括数据随机化、k-匿名化、差分隐私等。这些方法在探究隐私泄漏的风险、提高隐私保护的可信度方面还有待深入，也不能适应大数据的海量性、异构性和时效性。
在隐私保护下大数据的安全计算方面，很多应用领域中的安全多方计算问题都在半诚实模型中得到了充分的研究，采用的方法包括电路赋值(Circuit Evaluation)、遗忘传输(Oblivious Transfer)、同态加密等。通过构造零知识证明，可以将半诚实模型中的解决方法转换到恶意模型中。而在多方参与、涉及大量数据处理的计算问题，目前研究的主要缺陷是恶意模型中方法的复杂度过高，不适应多方参与、多协议执行的复杂网络环境。
企业大数据技术是指大数据相关技术在企业的充分应用，即对企业业务、生产、监控、监测等信息系统在运行过程中涉及的海量数据进行抽取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等，实现大数据对企业效率的提升、效益的增值以及风险的预测等。
企业的大数据类型通常主要包括业务经营数据即客户信息数据、企业的生产运营与管理数据以及企业的设备运行数据等，即客户信息数据、员工信息数据、财务数据、物资数据、系统日志、设备监测数据、调度数据、检修数据、状态数据等。企业大数据具有3V、3E特征[2]，3V即数据体量大(Volume)、数据类型多(Varity)与数据速度快(Velocity)，3E即数据即能量(Energy)、数据即交互(Exchange)与数据即共情(Empathy)。3 大数据时代企业信息安全漏洞与风险并存
大数据时代，大数据在推动企业向着更为高效、优质、精准的服务前行的同时，其重要性与特殊性也给企业带来新的信息安全风险与挑战。如何针对大数据的重要性与特殊性构建全方位多层次的信息安全保障体系，是企业发展中面临的重要课题。大数据背景下，结合大数据时代的企业工作模式，企业可能存在的信息安全风险主要表现在以下三个方面：
(1)企业业务大数据信息安全风险：由于缺乏针对大数据相关的政策法规、标准与管理规章制度，导致企业对客户信息大数据的“开放度”难以掌握，大数据开放和隐私之间难以平衡;企业缺乏清晰的数据需求导致数据资产流失的风险;企业数据孤岛，数据质量差可用性低，导致数据无法充分利用以及数据价值不能充分挖掘的风险;大数据安全能力和防范意识差，大数据人才缺乏导致大数据分析、处理等工作难以开展的风险;管理技术和架构相对滞后，导致数据泄露的风险。
(2)企业基础设施信息安全风险：2010年，震网病毒[3]通过网络与预制的系统漏洞对伊朗核电站发起攻击，导致伊朗浓缩铀工程的部分离心机出现故障，极大的延缓了伊朗核进程。从此开启了世界各国对工业控制系统安全的重视与管控。对于生产企业，工业生产设备是企业的命脉，其控制系统的安全性必须得到企业的高度重视。随着物理设备管理控制系统与大数据采集系统在企业的不断应用，监控与数据采集系统必将成为是物理攻击的重点方向，越来越多的安全问题随之出现。
设备“接入点”范围的不断扩大，传统的边界防护概念被改变; 2013年初，美国工业控制系统网络紧急响应小组(ICS-CERT)预警，发现美国两家电厂的发电控制设备在2012年10月至12月期间感染了USB设备中的恶意软件。该软件能够远程控制开关闸门、旋转仪表表盘、大坝控制等重要操作，对电力设备及企业安全造成了极大的威胁。
(3)企业平台信息安全风险： 应用层安全风险主要是指网络给用户提供服务所采用的应用软件存在的漏洞所带来的安全风险，包括： Web服务、邮件系统、数据库软件、域名系统、路由与交换系统、防火墙及网管系统、业务应用软件以及其他网络服务系统等;操作系统层的安全风险主要是指网络运行的操作系统存在的漏洞带来的安全风险，例如Windows NT、UNIX、Linux系列以及专用操作系统本身安全漏洞，主要包括访问控制、身份认证、系统漏洞以及操作系统的安全配置等;网络层安全风险主要指网络层身份认证，网络资源的访问控制，数据传输的保密性与完整性、路由系统的安全、远程接入、域名系统、入侵检测的手段等网络信息漏洞带来的安全性。
4 企业大数据信息安全保障策略
针对大数据时代下企业可能存在的信息安全漏洞与风险，本文从企业的网络边界信息安全保障、应用终端信息安全保障、应用平台信息安全保障、网络安全信息安全保障、数据安全信息安全保障等多方面提出如下信息安全保障策略，形成具有层次特性的企业信息安全保障体系，提升大数据时代下的企业信息安全保障能力。
4.1企业系统终端——信息安全保障策略
对企业计算机终端进行分类，依照国家信息安全等级保护的要求实行分级管理，根据确定的等级要求采取相应的安全保障策略。企业拥有多种类型终端设备，对于不同终端，根据具体终端的类型、通信方式以及应用环境等选择适宜的保障策略。确保移动终端的接入安全，移动作业类终端严格执行企业制定的办公终端严禁“内外网机混用”原则，移动终端接入内网需采用软硬件相结合的加密方式接入。配子站终端需配置安全模块，对主站系统的参数设置指令和控制命令采取数据完整性验证和安全鉴别措施，以防范恶意操作电气设备，冒充主站对子站终端进行攻击。
4.2企业网络边界——信息安全保障策略
企业网络具有分区分层的特点，使边界不受外部的攻击，防止恶意的内部人员跨越边界对外实施攻击，在不同区的网络边界加强安全防护策略，或外部人员通过开放接口、隐蔽通道进入内部网络。在管理信息内部，审核不同业务安全等级与网络密级，在网络边界进行相应的隔离保护。按照业务网络的安全等级、实时性需求以及用途等评价指标，采用防火墙隔离技术、协议隔离技术、物理隔离技术等[4]对关键核心业务网络进行安全隔离，实现内部网与外部网访问资源限制。
4.3企业网络安全——信息安全保障策略
网络是企业正常运转的重要保障，是连接物理设备、应用平台与数据的基础环境。生产企业主要采用公共网络和专用网络相结合的网络结构，专用网络支撑企业的生产管理、设备管理、调度管理、资源管理等核心业务，不同业务使用的专用网络享有不同安全等级与密级，需要采取不同的保障策略。网络弹性是指基础网络在遇到突发事件时继续运行与快速恢复的能力。
采用先进的网络防护技术，建立基础网一体化感知、响应、检测、恢复与溯源机制，采取网络虚拟化、硬件冗余、叠加等方法提高企业网络弹性与安全性;对网络基础服务、网络业务、信息流、网络设备等基础网络环境采用监控审计、安全加固、访问控制、身份鉴别、备份恢复、入侵检测、资源控制等措施增强网络环境安全防护;在企业网络中，重要信息数据需要安全通信。针对信息数字资源的安全交换需求，构建企业的业务虚拟专用网。在已有基础网络中采用访问控制、用户认证、信息加密等相关技术，防止企业敏感数据被窃取，采取建立数据加密虚拟网络隧道进行信息传输安全通信机制。
4.4企业应用系统平台——信息安全保障策略
应用系统平台安全直接关系到企业各业务应用的稳定运行，对应用平台进行信息安全保障，可以有效避免企业业务被阻断、扰乱、欺骗等破坏行为，本文建议给每个应用平台建立相应的日志系统，可以对用户的操作记录、访问记录等信息进行归档存储，为安全事件分析提供取证与溯源数据，防范内部人员进行异常操作。
企业应用平台的用户类型多样，不同的应用主体享有不同的功能与应用权限，考虑到系统的灵活性与安全性，采用基于属性权限访问控制[5]、基于动态和控制中心访问权限控制[6]、基于域访问权限控制[7]、基于角色访问控制等访问控制技术;确保企业应用平台系统安全可靠，在应用平台上线前，应邀请第三方权威机构对其进行信息安全测评，即对应用平台系统进行全面、系统的安全漏洞分析与风险评估[8]，并制定相应的信息安全保障策略。4.5企业大数据安全——信息保障策略
大数据时代下，大数据是企业的核心资源。企业客户数据可能不仅包含个人的隐私信息，而且还包括个人、家庭的消费行为信息，如果针对客户大数据不妥善处理，会对用户造成极大的危害，进而失信于客户。目前感知大数据(数据追踪溯源)、应用大数据(大数据的隐私保护[9]与开放)、管控大数据(数据访问安全、数据存储安全)等问题，仍然制约与困扰着大数据的发展。大数据主要采用分布式文件系统技术在云端存储，在对云存储环境进行安全防护的前提下，对关键核心数据进行冗余备份，强化数据存储安全，提高企业大数据安全存储能力。
为了保护企业数据的隐私安全、提高企业大数据的安全性的同时提升企业的可信度，可采用数据分享、分析、时进行匿名保护已经隐私数据存储加密保护措施来加强企业数据的隐私安全，对大数据用户进行分类与角色划分，严格控制、明确各角色数据访问权限，规范各级用户的访问行为，确保不同等级密级数据的读、写操作，有效抵制外部恶意行为，有效管理云存储环境下的企业大数据安全。
5 结束语
