趙俊霞

風(fēng)險控制是依據(jù)風(fēng)險評估的結(jié)果，選擇和實施合適的安全措施。風(fēng)險控制的最終目的是要減弱或者避免各種威脅對電子檔案所造成的風(fēng)險，最終達(dá)到電子檔案管理中人、機(jī)、環(huán)境的和諧。

一、電子檔案風(fēng)險控制措施

當(dāng)通過風(fēng)險評估確定在電子檔案管理過程中存在構(gòu)成風(fēng)險的威脅時，就要采取系統(tǒng)的安全措施來控制風(fēng)險。一般來說，在風(fēng)險控制時能夠采取的控制措施有以下四種：應(yīng)用安全措施消除或者減少漏洞的遺留且不可控制的威脅（規(guī)避）將風(fēng)險轉(zhuǎn)移到其他區(qū)域，或者全部轉(zhuǎn)移到外部（轉(zhuǎn)移）減少漏洞會被利用的影響（緩解），并承認(rèn)因為沒有控制或者緩解措施而造成的風(fēng)險（承認(rèn)）。

1.風(fēng)險規(guī)避，即試圖防止弱點被威脅利用的風(fēng)險控制措施。這是一種更可取的方法，因為它尋求避免存在其整體中的風(fēng)險，而不是在意識到這個風(fēng)險后再處理它。規(guī)避是通過制止威脅，排除電子檔案管理中的弱點，限制對于電子檔案的訪問，并加強(qiáng)安全保護(hù)措施來實現(xiàn)的。風(fēng)險規(guī)避有三種普通的方法：通過應(yīng)用制度、培訓(xùn)和教育，以及應(yīng)用技術(shù)來規(guī)避。比如，通過應(yīng)用制度來規(guī)避，它允許檔案管理人員頒布某些特定的制度。如果一個機(jī)構(gòu)需要更嚴(yán)密地控制密碼的使用，那么就應(yīng)馬上執(zhí)行一項要求所有 IT 系統(tǒng)使用密碼的制度。需要注意的是，僅有制度是不夠的，高效的管理人員應(yīng)始終能夠?qū)⒅贫鹊淖兓c培訓(xùn)教育、應(yīng)用技術(shù)結(jié)合起來。

2.風(fēng)險轉(zhuǎn)移。即試圖將威脅轉(zhuǎn)移到其他資產(chǎn)、其他過程或其他機(jī)構(gòu)中的控制措施。它可以通過重新考慮如何提供服務(wù)、修改配置模式、外包給其他機(jī)構(gòu)、購買保險或者與提供商簽署服務(wù)合同來實現(xiàn)。這使得組織可將那些與復(fù)雜系統(tǒng)管理相關(guān)的風(fēng)險轉(zhuǎn)移到處理這些風(fēng)險有經(jīng)驗的另外一個機(jī)構(gòu)中。特定的合同協(xié)定的好處是提供商對災(zāi)難恢復(fù)負(fù)責(zé)，并且自始至終遵守服務(wù)級別協(xié)定，負(fù)責(zé)保證服務(wù)器和網(wǎng)站的可用性。但是，外包并非不存在風(fēng)險。電子檔案的所有者、IT 管理人員以及信息管理團(tuán)隊要保證外包合同的災(zāi)難恢復(fù)要求能夠滿足，并且在進(jìn)行恢復(fù)工作前，可將之結(jié)合在一起。如果外包人員沒有滿足合同條款的要求，那么結(jié)果要比預(yù)期的要糟糕得多。

3.風(fēng)險緩解。減少風(fēng)險的后果或影響，通過制定實施應(yīng)變計劃、災(zāi)難恢復(fù)計劃、電子檔案相關(guān)資產(chǎn)重新配置等手段來減小電子檔案及相關(guān)資產(chǎn)價值本身或風(fēng)險的后果或影響。風(fēng)險緩解措施大體上分兩類：一類是事前措施，即在損失發(fā)生前為減少損失程度所采取的一系列措施；一類是事后措施，即在損失發(fā)生后為減少損失所采取的一系列措施。在損失發(fā)生前的緩解措施，有時也會減少損失發(fā)生的可能性。損失發(fā)生后的緩解措施主要集中于緊急情況的處理方面，以此來阻止損失范圍的擴(kuò)大。

4.風(fēng)險承認(rèn)

如果說風(fēng)險緩解是試圖減少因為弱點的暴露而造成影響的一種控制措施，那么，風(fēng)險承認(rèn)與之恰恰相反，是選擇對所暴露的弱點不采取任何保護(hù)措施，并且承認(rèn)弱點暴露所產(chǎn)生的結(jié)果。風(fēng)險承認(rèn)方法只有在機(jī)構(gòu)已經(jīng)確定了風(fēng)險等級，已經(jīng)評估了攻擊的可能性，已經(jīng)估計了發(fā)生攻擊所可能造成的毀壞程度，已經(jīng)進(jìn)行了一次徹底的成本效益分析，已經(jīng)評估了使用適當(dāng)類型可能性的控制措施，已經(jīng)確定一些特殊功能、服務(wù)、信息或者資產(chǎn)的保護(hù)開銷是無效的情況下才能使用。該種風(fēng)險控制是基于對其替代產(chǎn)品已進(jìn)行了檢查，并且斷定保護(hù)一個資產(chǎn)的成本不能證明安全的資金開銷是應(yīng)該的一種假設(shè)的基礎(chǔ)之上的風(fēng)險控制。值得注意的是，如果機(jī)構(gòu)中每個已被識別的弱點通過承認(rèn)得以控制，那么就反映出一個機(jī)構(gòu)沒有能力進(jìn)行安全行動，并且總體上對安全是漠不關(guān)心的。同樣，對管理人員而言，如果他們不對信息進(jìn)行保護(hù)，攻擊者就會覺得通過攻擊從這里獲得有價值的信息的想法也是可以接受的。這種方法所造成的風(fēng)險遠(yuǎn)遠(yuǎn)超過了其所獲得的價值。

二、電子檔案風(fēng)險控制策略

從上述四種電子檔案風(fēng)險控制措施看，轉(zhuǎn)移和承認(rèn)兩種措施并不能從實質(zhì)上規(guī)避電子檔案風(fēng)險。在電子檔案管理中應(yīng)從風(fēng)險產(chǎn)生的源頭上就避免風(fēng)險的發(fā)生，或者采取相應(yīng)的措施在風(fēng)險來臨時，緩解風(fēng)險所造成的損失。要規(guī)避風(fēng)險的發(fā)生或者緩解風(fēng)險所造成的損失，筆者認(rèn)為在電子檔案風(fēng)險控制中要做到以下幾點：第一是人本策略。人的因素是整個電子檔案風(fēng)險管理過程中最為關(guān)鍵的因素。以人為本，培養(yǎng)檔案管理人員的風(fēng)險意識，提高業(yè)務(wù)能力，更新管理知識，提升管理思想，使電子檔案管理人員在工作中減少失誤，增強(qiáng)風(fēng)險意識，提高遵守制度的意識，避免在管理過程中所發(fā)生的風(fēng)險。第二是制度策略。建立一套合理而健全的管理制度是管理好管理者的重要保障。組織內(nèi)部電子檔案管理制度的建立，往往比購買設(shè)備、提高技術(shù)還重要。國內(nèi)外電子檔案管理的實踐經(jīng)驗表明，大多數(shù)的威脅來自組織內(nèi)部，對內(nèi)部威脅的防范比對外部威脅的防范更為困難。防范內(nèi)部的威脅，管理制度（行政的和法律的）就顯得尤為重要。第三是技術(shù)策略。在規(guī)避或緩解電子檔案風(fēng)險中，采用安全、可靠、通過檢驗的信息安全技術(shù)，是風(fēng)險控制的有效手段。這些技術(shù)包括：一是物理安全技術(shù)，包括環(huán)境安全、設(shè)備安全、媒體安全、信息資產(chǎn)的物理分布、人員的訪問控制、審計記錄、異常情況的追查等。二是網(wǎng)絡(luò)安全技術(shù)，包括網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備的管理、網(wǎng)絡(luò)安全訪問措施（防火墻、入侵檢測系統(tǒng)、VPN 等）、安全掃描、遠(yuǎn)程訪問、不同級別網(wǎng)絡(luò)的訪問控制方式、識別/認(rèn)證機(jī)制等。三是數(shù)據(jù)加密技術(shù)，包括加密算法、適用范圍、密鑰管理和交換等。四是數(shù)據(jù)備份技術(shù)，包括適用范圍、備份方式、備份數(shù)據(jù)的安全存儲、備份周期、負(fù)責(zé)人等。五是病毒防護(hù)技術(shù)，包括防病毒軟件的安裝、配置、對軟盤、移動硬盤、閃存等移動存儲設(shè)備使用和網(wǎng)絡(luò)下載等規(guī)定。六是系統(tǒng)安全技術(shù)，包括互聯(lián)網(wǎng)訪問技術(shù)、數(shù)據(jù)庫系統(tǒng)安全技術(shù)、郵件系統(tǒng)安全技術(shù)、應(yīng)用服務(wù)器系統(tǒng)安全技術(shù)、個人桌面系統(tǒng)安全技術(shù)、其他業(yè)務(wù)相關(guān)系統(tǒng)安全技術(shù)以及系統(tǒng)補(bǔ)丁的更新測試、安裝等。七是身份認(rèn)證及授權(quán)技術(shù)，包括認(rèn)證及授權(quán)機(jī)制、方式、審計記錄以及口令管理方式、口令設(shè)置規(guī)則、口令適應(yīng)規(guī)則等。八是事故處理、緊急響應(yīng)技術(shù)，包括響應(yīng)小組、聯(lián)系方式、事故處理計劃、控制過程等。九是災(zāi)難恢復(fù)技術(shù)，包括負(fù)責(zé)人員、恢復(fù)機(jī)制、方式、歸檔管理、硬件、軟件等。