摘要：文件風(fēng)險(xiǎn)評(píng)估是文件安全管理的重要前提和基礎(chǔ)，也是檔案信息化建設(shè)的重要課題。ISO/TR 18128：2014標(biāo)準(zhǔn)的制定，為信息化建設(shè)背景下組織有效開(kāi)展文件過(guò)程和文件系統(tǒng)的風(fēng)險(xiǎn)評(píng)估提供了指南，旨在確保文件能持續(xù)地滿足組織業(yè)務(wù)活動(dòng)的需要。

關(guān)鍵詞：文件過(guò)程文件系統(tǒng)風(fēng)險(xiǎn)評(píng)估

“ISO/TR 18128：2014 Information and Documentation- Risk assessment for records processes and systems”and the Implications

Abstract： Risk assessment is fundamental for the security management of records； it is also an im？ portant issue for security management of electronic records. The publication of ISO/TR18128： 2014 has provided guidelines for the effective risk assessment of records processes and records systems for organi？ zations in the processes of construction of informa？ tion society and application of information technolo？ gies， it aims to ensure records can consistently meet the demands of business activities of an organization.

Key words： records processes； records system； risk assessment

一、制定背景

風(fēng)險(xiǎn)評(píng)估是風(fēng)險(xiǎn)管理的一個(gè)重要環(huán)節(jié)，我國(guó)信息安全管理國(guó)家標(biāo)準(zhǔn)《信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》（GB/ T20984- 2007）、《信息安全風(fēng)險(xiǎn)管理指南》（GB/ Z24364-2009）將風(fēng)險(xiǎn)評(píng)估作為信息安全領(lǐng)域的一個(gè)重要控制手段。文件過(guò)程和文件系統(tǒng)的風(fēng)險(xiǎn)評(píng)估是信息化建設(shè)中文件安全管理的重要前提和基礎(chǔ)，也是檔案信息化建設(shè)的重要課題。ISO/TR 18128：2014標(biāo)準(zhǔn)的制定，首次明確了文件管理過(guò)程中的風(fēng)險(xiǎn)評(píng)估要求，旨在協(xié)助組織在文件過(guò)程和文件系統(tǒng)中有效地開(kāi)展風(fēng)險(xiǎn)評(píng)估，以確保文件能夠持續(xù)地滿足組織業(yè)務(wù)活動(dòng)的需要。

ISO/TR 18128：2014適用于組織機(jī)構(gòu)的文件管理專業(yè)人員或?qū)ξ募?fù)責(zé)的管理人員，審計(jì)人員或?qū)M織機(jī)構(gòu)風(fēng)險(xiǎn)管理方案負(fù)責(zé)的管理人員；適用于所有類型的組織機(jī)構(gòu)，不論其規(guī)模、活動(dòng)性質(zhì)、職能復(fù)雜程度和組織結(jié)構(gòu)如何。

二、標(biāo)準(zhǔn)內(nèi)容

該標(biāo)準(zhǔn)由八章構(gòu)成，其內(nèi)容包括：第一章范圍、第二章規(guī)范性引用文件、第三章術(shù)語(yǔ)和定義、第四章組織風(fēng)險(xiǎn)評(píng)估的準(zhǔn)則、第五章風(fēng)險(xiǎn)識(shí)別、第六章分析識(shí)別出的風(fēng)險(xiǎn)、第七章風(fēng)險(xiǎn)評(píng)價(jià)、第八章通示識(shí)別出的風(fēng)險(xiǎn)。此外，該標(biāo)準(zhǔn)還有三個(gè)資料性附錄，附錄A：風(fēng)險(xiǎn)登記簿中記錄的風(fēng)險(xiǎn)條目示例，附錄B：識(shí)別不確定性領(lǐng)域的檢查清單示例，附錄C：基于ISO27001的附錄A控制使用指南。

ISO/TR 18128：2014標(biāo)準(zhǔn)所提供的相關(guān)指導(dǎo)和示例源自ISO 31000：2009 （見(jiàn)圖1，引自ISO 31000：2009），通用的風(fēng)險(xiǎn)管理過(guò)程同樣適用于文件過(guò)程和文件系統(tǒng)。

風(fēng)險(xiǎn)評(píng)估過(guò)程包括了風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)價(jià)三個(gè)步驟。文件過(guò)程和文件系統(tǒng)中的風(fēng)險(xiǎn)評(píng)估結(jié)果應(yīng)該被納入組織的一般風(fēng)險(xiǎn)管理框架，這樣組織才能更好地控制文件和業(yè)務(wù)質(zhì)量。

ISO/TR 18128：2014標(biāo)準(zhǔn)的核心內(nèi)容包括三部分：組織機(jī)構(gòu)進(jìn)行風(fēng)險(xiǎn)評(píng)估的準(zhǔn)則、風(fēng)險(xiǎn)評(píng)估和對(duì)已識(shí)別和評(píng)估的風(fēng)險(xiǎn)進(jìn)行通示。

第一部分組織機(jī)構(gòu)風(fēng)險(xiǎn)評(píng)估的準(zhǔn)則。要求組織機(jī)構(gòu)建立通用風(fēng)險(xiǎn)標(biāo)準(zhǔn)，并確定風(fēng)險(xiǎn)評(píng)估活動(dòng)的對(duì)象和范圍，建立風(fēng)險(xiǎn)評(píng)估的制度。它應(yīng)當(dāng)包括對(duì)風(fēng)險(xiǎn)性質(zhì)和類型的測(cè)定、風(fēng)險(xiǎn)概率的表達(dá)、風(fēng)險(xiǎn)等級(jí)的確定、風(fēng)險(xiǎn)是應(yīng)該處理還是可以忍受的量度和多風(fēng)險(xiǎn)的組合評(píng)估等。

第二部分風(fēng)險(xiǎn)評(píng)估，包含三個(gè)步驟：風(fēng)險(xiǎn)識(shí)別、分析已識(shí)別的風(fēng)險(xiǎn)、風(fēng)險(xiǎn)評(píng)估。

風(fēng)險(xiǎn)識(shí)別是為了識(shí)別那些可能發(fā)生或存在的會(huì)影響文件能否滿足組織機(jī)構(gòu)要求的情況。風(fēng)險(xiǎn)識(shí)別的過(guò)程包括識(shí)別可能對(duì)組織機(jī)構(gòu)的目標(biāo)和性質(zhì)有實(shí)質(zhì)性影響的風(fēng)險(xiǎn)、事件或環(huán)境的原因和來(lái)源。該標(biāo)準(zhǔn)要求對(duì)環(huán)境（內(nèi)外部因素）、文件系統(tǒng)以及組織創(chuàng)建和管理文件的過(guò)程之中的不確定性領(lǐng)域進(jìn)行識(shí)別。

風(fēng)險(xiǎn)分析是確定已經(jīng)識(shí)別出的風(fēng)險(xiǎn)的潛在后果并意識(shí)到風(fēng)險(xiǎn)的可能性。它包括可能性分析和概率估計(jì)。意識(shí)到已識(shí)別的風(fēng)險(xiǎn)的可能性是通過(guò)分析不確定性領(lǐng)域的性質(zhì)，還有在一段時(shí)間內(nèi)足以支持一個(gè)可靠估計(jì)的數(shù)據(jù)。而概率可以用不同的方式來(lái)表達(dá)，但通常都與風(fēng)險(xiǎn)等級(jí)有關(guān)。

風(fēng)險(xiǎn)評(píng)估是根據(jù)風(fēng)險(xiǎn)分析的結(jié)果，來(lái)協(xié)助確定哪些風(fēng)險(xiǎn)需要處理和處理實(shí)施的優(yōu)先級(jí)。風(fēng)險(xiǎn)評(píng)估首先要分析不良事件的潛在影響，要綜合考慮用戶、文件、組織等多方面的因素，之后通過(guò)結(jié)合事件發(fā)生的概率及其產(chǎn)生的影響的程度，來(lái)評(píng)定事件是否是風(fēng)險(xiǎn)管理所關(guān)注的不良事件。

第三部分對(duì)風(fēng)險(xiǎn)進(jìn)行通示。風(fēng)險(xiǎn)管理是一個(gè)連續(xù)的管理過(guò)程，對(duì)已評(píng)估的風(fēng)險(xiǎn)應(yīng)該記錄并建檔，還應(yīng)該加強(qiáng)各部門之間關(guān)于風(fēng)險(xiǎn)的溝通和交流。風(fēng)險(xiǎn)溝通是有效風(fēng)險(xiǎn)管理的一部分，目的是確保組織機(jī)構(gòu)范圍內(nèi)對(duì)風(fēng)險(xiǎn)的識(shí)別，加強(qiáng)對(duì)風(fēng)險(xiǎn)的防范和管控。

三、對(duì)我國(guó)文件管理工作的借鑒

ISO/TR 18128：2014標(biāo)準(zhǔn)作對(duì)我國(guó)文件管理具有以下三個(gè)方面的借鑒作用：

（一）建立了一套規(guī)范體系，用來(lái)規(guī)范文件過(guò)程和文件系統(tǒng)中的風(fēng)險(xiǎn)評(píng)估活動(dòng)

ISO/TR 18128：2014根據(jù)已出臺(tái)的相關(guān)標(biāo)準(zhǔn)要求，結(jié)合文件過(guò)程和文件系統(tǒng)的風(fēng)險(xiǎn)管理情況，就風(fēng)險(xiǎn)評(píng)估這一核心問(wèn)題，制定了一套規(guī)范體系指導(dǎo)文件過(guò)程和文件系統(tǒng)中的風(fēng)險(xiǎn)評(píng)估。首先規(guī)范了組織機(jī)構(gòu)文件過(guò)程和文件系統(tǒng)風(fēng)險(xiǎn)評(píng)估的準(zhǔn)則，之后規(guī)范了風(fēng)險(xiǎn)評(píng)估的步驟（風(fēng)險(xiǎn)的識(shí)別、分析和評(píng)價(jià)），最后規(guī)范了風(fēng)險(xiǎn)評(píng)估結(jié)果的通示。

（二）提供了一種分析方法，用來(lái)確定文件過(guò)程和文件系統(tǒng)中風(fēng)險(xiǎn)事件的潛在影響

ISO/TR 18128：2014從環(huán)境（內(nèi)外部因素）、系統(tǒng)、文件過(guò)程三個(gè)方面詳細(xì)闡述了文件過(guò)程和文件系統(tǒng)中風(fēng)險(xiǎn)存在的不確定性領(lǐng)域及因素，闡述了不確定性領(lǐng)域中風(fēng)險(xiǎn)事件的潛在影響，值得一提的是，這些潛在影響中雖然有對(duì)組織機(jī)構(gòu)的不利影響，但也可能會(huì)帶來(lái)有積極影響的機(jī)會(huì)。標(biāo)準(zhǔn)介紹了風(fēng)險(xiǎn)事件的可能性和概率的估計(jì)方法，每個(gè)風(fēng)險(xiǎn)都必須結(jié)合正在發(fā)生的事件和它真實(shí)發(fā)生后出現(xiàn)的后果這二者的可能性來(lái)進(jìn)行評(píng)估，還包括風(fēng)險(xiǎn)等級(jí)確定，與風(fēng)險(xiǎn)標(biāo)準(zhǔn)進(jìn)行比較，確定風(fēng)險(xiǎn)處理的要求。

（三）提供了一個(gè)實(shí)用指南，用來(lái)指導(dǎo)評(píng)估文件過(guò)程和文件系統(tǒng)中的風(fēng)險(xiǎn)

ISO/TR 18128：2014標(biāo)準(zhǔn)在識(shí)別和分析風(fēng)險(xiǎn)時(shí)，引導(dǎo)風(fēng)險(xiǎn)評(píng)估人員從不確定性角度出發(fā)，識(shí)別風(fēng)險(xiǎn)事件可能發(fā)生的不確定性領(lǐng)域，并確定不確定性是通過(guò)影響文件過(guò)程、文件系統(tǒng)還是通過(guò)內(nèi)外部環(huán)境，導(dǎo)致文件不可用、不可靠、不真實(shí)、不完整，不能夠?qū)崿F(xiàn)組織機(jī)構(gòu)的目標(biāo)。從風(fēng)險(xiǎn)源頭分析，對(duì)可能性進(jìn)行概率估計(jì)，以此對(duì)風(fēng)險(xiǎn)劃定不同的等級(jí)，并賦予其優(yōu)先級(jí)，以此來(lái)協(xié)助高層管理人員決策，確定哪些風(fēng)險(xiǎn)需要及時(shí)處理以及處理的先后順序，哪些風(fēng)險(xiǎn)在可承受范圍內(nèi)，來(lái)進(jìn)一步觀察。最后，對(duì)已評(píng)估的風(fēng)險(xiǎn)進(jìn)行記錄，登記建檔，一是為了在以后遇到相同風(fēng)險(xiǎn)情況時(shí)，有可以借鑒的經(jīng)驗(yàn)，二是為了減少風(fēng)險(xiǎn)，在組織機(jī)構(gòu)內(nèi)部和組織機(jī)構(gòu)之間通示風(fēng)險(xiǎn)。

ISO/TR 18128：2014標(biāo)準(zhǔn)，首次對(duì)于文件過(guò)程和文件系統(tǒng)中的風(fēng)險(xiǎn)評(píng)估進(jìn)行了細(xì)致具體的闡述，多維度構(gòu)建了文件過(guò)程和文件系統(tǒng)的風(fēng)險(xiǎn)評(píng)估和管控規(guī)范，輔以樣例參照，為組織機(jī)構(gòu)風(fēng)險(xiǎn)評(píng)估提供了依據(jù)，有利于有效開(kāi)展文件過(guò)程和文件系統(tǒng)的風(fēng)險(xiǎn)評(píng)估工作，以風(fēng)險(xiǎn)評(píng)估的結(jié)果來(lái)指導(dǎo)風(fēng)險(xiǎn)管理，并采取風(fēng)險(xiǎn)應(yīng)對(duì)措施，規(guī)避風(fēng)險(xiǎn)、控制風(fēng)險(xiǎn)或降低風(fēng)險(xiǎn)損失，對(duì)維護(hù)文件的真實(shí)性、可靠性、完整性和可用性，滿足組織機(jī)構(gòu)的文件要求，更好地為組織的業(yè)務(wù)活動(dòng)服務(wù)有重要價(jià)值。

*本文系中國(guó)人民大學(xué)研究品牌項(xiàng)目（項(xiàng)目批準(zhǔn)號(hào)：10XNI019）的研究成果之一。