档案信息安全体系建设风险对策调查与研究

　　文/福建省委办公厅厅务会议成员、省档案局局长、省档案馆馆长 陈熙满

　　当前，我国正处于中华民族伟大复兴战略全局、世界百年未有之大变局与信息革命时代潮流发生历史性交汇的关键时期，互联网、人工智能、大数据、云计算、区块链等新兴技术，正以前所未有的广度深度速度改变着我们的生产生活方式。如何在实现档案信息化、数字化的道路上应对传统安全与非传统安全交织的风险挑战，已成为档案事业高质量发展亟待解决的关键问题。笔者通过调研数字化时代背景下档案信息化建设工作现状，分析主要风险和存在问题，提出保护对策，以推进档案信息安全体系建设。

　　档案信息化建设工作现状

　　在信息技术高度发达的时代，档案信息化建设也在不断推进。

　　1.在档案收集方面

　　许多地方档案馆将先进的识别技术应用于档案收集当中。例如，安徽省档案馆借助OCR识别技术对简体手写体档案和民国繁体档案等历史档案进行识别，完成历史档案信息的智能收集。北京市市场监督管理局利用人工智能技术中的图像识别和信息抽取技术，对现存的图像档案进行批量智能自动识别处理，实现图像档案信息的智能收集。

　　2.在档案保存方面

　　传统的档案保存方式已不再适合新技术环境的要求，人工智能、专家系统等技术融入电子文件管理系统，可以优化档案保存的性能，实现文件自动化归档保存。如福建省档案馆建设“数字档案接收中心”“安全存储中心”“数据管理中心”“共享利用中心”四位一体的数字档案馆，至2023年年末馆藏档案数字资源超过400TB，共60余万条案卷级目录、600余万条文件级目录，4000多万页全文数据，近15万张照片数据，15个档案专题数据库。

　　3.在档案利用方面

　　数据挖掘技术能够挖掘档案信息间的内在联系和发展脉络，最大限度地盘活档案信息的潜在价值。如福建省档案部门依托数字福建发展战略，提出“以档案信息资源建设为核心、以档案网络建设为基础、以档案信息资源社会共享为目标”发展战略，持续推进全省档案信息化建设。

　　存在的问题和风险

　　新兴技术的发展为档案信息化建设工作带来了前所未有的便利，但档案信息安全风险也随之增加。

　　1.档案信息安全法律法规亟须完善

　　虽然我国已经制定一系列档案工作相关法律法规，如《中华人民共和国档案法》(以下简称《档案法》)、《中华人民共和国档案法实施条例》(以下简称《实施条例》)等，但是尚未制定有关档案信息安全的专门性法律法规。随着诸如模式识别、数据挖掘、云存储等新兴技术被应用于档案工作的各方面，相关的法律法规却未能及时更新以适应这些变化。因此，在实践中对档案信息安全的监管，需要以其他法律法规如《中华人民共和国数据安全法》《中华人民共和国网络安全法》等作为参照执行。但不同法律法规的处罚力度存在差异，部分信息技术相关法律法规在处罚力度方面未必适用于重要的档案工作场景。

　　2.档案信息技术自主研发能力不足

　　档案信息化建设离不开现代信息技术的支撑。由于支持档案信息化的核心信息技术掌握在科技企业和市场技术主体手中，政府在档案信息化的过程中，面临数据、管理技术需求，总是寻找技术企业合作或托管。例如，一些省档案馆与科技公司合作，运用AI识别、转写等技术实现对音频档案的采集和著录，完成音频档案的智能收集。档案部门缺乏自主研发信息技术的能力，容易形成对市场技术主体的依赖，使技术主体在档案信息化过程中被赋予了过高的主导性。核心信息技术掌握在信息技术服务提供商手中，潜藏档案信息被窃取、损害、泄露等风险。

　　3.新兴技术档案行业准入规范缺位

　　我国大力推进档案信息化建设，“档案信息化建设”以专章形式写入《档案法》及其《实施条例》，中办、国办印发的《“十四五”全国档案事业发展规划》明确运用大数据、人工智能等技术推动数字档案馆(室)建设优化升级的政策导向。然而，一些新兴技术缺乏准入规范，一些尚在发展不够成熟的新兴技术一旦被应用到档案工作当中，将对档案信息的安全性造成影响。例如，最具代表性的生成式人工智能大模型之一ChatGPT，问世后已在多个领域展现了强大的性能，但其本身还存在“幻觉”问题，即生成的答案缺乏真实依据。而档案的一大特点是真实可靠，保障档案的真实性是档案信息安全的一大要求。若是诸如此类的新兴技术被盲目用于档案工作当中，势必削弱档案的真实性。

　　4.数字化过程外包监管力度待加强

　　档案信息化工作涉及多个主体，包括档案部门、信息技术供应商、档案数字化外包服务商等。这种多方协作的模式虽然在效率和灵活性上具有一定优势，但也带来了更复杂的监管挑战，增加了档案的信息安全风险。以外包服务商为例，服务企业良莠不齐，外包公司的员工管理存在不确定性，尤其是档案处理人员技术能力、保密意识、法律意识等参差不齐，增加了人为泄露、误操作或故意破坏档案的风险。外包公司由于工作量或成本压力，可能在档案数字化过程中忽视质量控制，导致数字档案出现格式错误、不完整或数据丢失。此外，不同外包公司使用的技术和标准不一致，可能导致档案的数字化质量和管理标准不统一，从而增加管理负担和安全风险。

　　对策建议

　　针对档案信息安全体系建设存在的问题和风险，提出以下对策和建议：

　　1.加强顶层设计，完善相关法律法规

　　为确保档案信息安全在法律与合规层面的有效管理，必须制定系统化、动态化的对策。首先，应当制定并实施专门针对档案的信息技术相关法律法规，明确档案数字化过程中各类信息的管理、存储、传输及销毁等环节的安全标准和责任主体。其次，要加强对新兴技术在档案工作中应用的研究，制定相应的行业标准和规范。明确新兴技术在档案管理中的实施细则和安全要求，以确保技术应用的合规性与安全性。对于ChatGPT等新兴技术产品，应明确其在档案管理中的准入规则，防止技术滥用。第三，要设置档案信息安全的审查机制，定期对档案信息安全管理进行评估和审查，发现问题及时整改。通过与法律相结合，形成多层次、全方位的法律保障体系，推动档案信息安全监管有效落实，提升整体的安全防护能力，确保国家档案信息的安全和完整。

　　2.提高技术投入，确保技术自主可控

　　核心技术自主可控是当前维护我国网络、人工智能、数据安全的重要保障。在档案信息化建设方面，要加大人才、技术、产业融合发展，加强关键核心技术创新和自主可控。首先，政府应加大对档案信息化自主研发技术的投入，特别在我国芯片安全面临“卡脖子”的前提下，应鼓励科研机构、高等院校和档案部门合作，开展针对档案信息化的专项研究，逐步形成自主可控的技术体系。其次，加强档案信息化专业人才队伍建设，制订具体的培养计划，针对档案管理与信息技术交叉领域，开设相关课程与培训项目，以提升从业人员的信息技术素养和创新能力。第三，定期评估人才队伍的建设成效，及时调整和优化培养方案，以适应快速变化的技术环境和实际需求。通过技术研发与人才培养双向赋能，逐步实现档案信息化建设中技术自主性的提升，减少对信息技术服务提供商的依赖，降低潜在安全风险，为档案信息的安全与完整提供更加坚实的保障。

　　3.注重过程管控，确保电子档案安全

　　各级机关、团体、企业事业单位和其他组织是产生档案的“源头”。要按照来源可靠、程序规范、要素合规的要求，加强电子档案源头和全过程管控，确保电子档案真实、完整、可用、安全。首先，规范电子文件整理和归档。机关团体、企业事业单位和其他组织应当按照国家相关法律法规和标准规范，形成、办理、传输、存储属于归档范围的电子文件。电子文件形成部门和电子档案管理部门应当对提交归档的电子文件及其元数据等相关信息进行清点、登记，对其真实性、完整性、可用性、安全性进行检测。其次，规范电子档案移交与接收。电子档案移交接收应当通过符合安全管理要求的网络和信息系统进行。不具备在线移交条件的，应当配备符合安全管理要求的存储介质进行离线移交，存储介质的选择和检测应当符合国家有关标准规范要求。第三，规范电子档案保管与处置。各有关单位要建立符合国家有关标准规范要求的电子档案管理信息系统，对电子档案、传统载体档案数字化成果等档案数字资源进行统一管理。同时，加强电子档案备份工作，建设灾难备份系统，实现重要电子档案及其管理信息系统的备份与灾难恢复。建立电子档案转换与迁移制度，加强技术需求分析和风险评估，确有必要的，进行转换、迁移。第四，规范电子档案开放与利用。电子档案开放工作应当符合国家法律法规有关规定，采取有效管理措施和技术手段，充分利用政务网、互联网等渠道。在利用人工智能等信息技术开展编研、举办展览和建设专题数据库等工作中，要加强安全管理，既推动档案数字资源共享，又保证绝对安全。

　　4.加强监管力度，降低潜在安全风险

　　要加快建立数据产权归属认定、市场交易、权益分配、利益保护制度，提升数据安全治理监管能力。首先，把好服务外包作业准入关，制定严格的档案服务企业的资质审核标准，通过严格审核其行业经验、客户评价及相关认证，以确保其能够满足档案管理单位的要求。严格落实《档案服务外包工作规范》(DA/T68—2020)、《档案数字化操作规程—纸质档案》(DB35/T1856—2019)等标准规范，制定详细的服务协议和统一的服务标准，明确双方的责任与义务。其次，强化全过程管理，实施场所、系统、设备和人员全方位监管，确保档案实体、信息载体和档案信息绝对安全。第三，建立严谨的质量控制体系，包括制定标准化的档案数字化流程与质量检验标准，对外包提供的数字化档案进行定期抽查。同时，档案管理单位应要求外包公司定期开展安全培训，提高外包员工的安全意识和风险防范能力。新时代新征程，档案信息安全事关档案工作全局，事关国家安全大局。必须深入贯彻落实总体国家安全观，加强前瞻性思考、全局性谋划、整体性推进，形成体系性合力，以档案安全体系现代化保障档案事业现代化，助推中国式现代化建设。

　　责任编辑：高畅