張繼霞

信息技術(shù)在檔案管理中的廣泛應(yīng)用，一方面提高了檔案工作的效率，擴(kuò)大了檔案的社會(huì)影響力；另一方面也對(duì)檔案工作提出了新的要求，例如存儲(chǔ)介質(zhì)的不穩(wěn)定、技術(shù)過(guò)時(shí)、黑客入侵、電腦病毒破壞等都使得電子檔案信息的安全保護(hù)面臨著前所未有的挑戰(zhàn)。

電子檔案信息的安全管理是一個(gè)過(guò)程，而不是一個(gè)產(chǎn)品，我們不能期望通過(guò)一個(gè)安全產(chǎn)品就能把所有的安全問(wèn)題都解決。對(duì)各檔案管理系統(tǒng)來(lái)說(shuō)，解決電子檔案信息安全的首要問(wèn)題就是要識(shí)別自身信息系統(tǒng)所面臨的風(fēng)險(xiǎn)，包括這些風(fēng)險(xiǎn)可能帶來(lái)的安全威脅與影響的程度，然后進(jìn)行最充分的分析與評(píng)價(jià)。只有采用科學(xué)有效的模型和方法進(jìn)行全面的安全評(píng)價(jià)，才能真正掌握內(nèi)部信息系統(tǒng)的整體安全狀況，分析各種存在的威脅，以便針對(duì)高風(fēng)險(xiǎn)的威脅采取有效的安全措施，提高整體安全水平，逐步建成堅(jiān)固的電子檔案信息安全管理體系。

一、電子檔案信息安全評(píng)價(jià)指標(biāo)體系的組成

電子檔案信息系統(tǒng)是一個(gè)復(fù)雜的系統(tǒng)工程，既有硬件，又有軟件，既有外部影響，又有內(nèi)部因素，而且許多方面是相互制約的。因此，必須有一個(gè)規(guī)范的、統(tǒng)一的、客觀的標(biāo)準(zhǔn)。根據(jù)國(guó)內(nèi)外的電子檔案信息安全評(píng)估標(biāo)準(zhǔn)，國(guó)家對(duì)電子檔案信息和網(wǎng)絡(luò)信息系統(tǒng)安全性的基本要求，結(jié)合電子檔案管理和網(wǎng)絡(luò)管理經(jīng)驗(yàn)，綜合考慮影響電子檔案信息安全的各種因素，建立電子檔案信息安全評(píng)價(jià)指標(biāo)體系。

二、電子檔案信息安全評(píng)價(jià)指標(biāo)體系權(quán)重確定方法

用若干個(gè)指標(biāo)進(jìn)行綜合評(píng)價(jià)時(shí)，其對(duì)評(píng)價(jià)對(duì)象的作用，從評(píng)價(jià)目的來(lái)看，并不是同等重要的。指標(biāo)越重要，權(quán)的數(shù)值就越大；反之，數(shù)值小則可以說(shuō)明其重要程度相對(duì)較低。合理地確定和適當(dāng)?shù)卣{(diào)整指標(biāo)權(quán)重，體現(xiàn)了系統(tǒng)評(píng)價(jià)指標(biāo)中各因素之間的輕重有度、主次有別，更能增加評(píng)價(jià)因素的可比性。在安全評(píng)價(jià)中，具體確定權(quán)重的方法很多，如德?tīng)柗品?、主成分分析法、層次分析法、環(huán)比法等。其中，層次分析法比較適用于電子檔案信息安全的評(píng)價(jià)。層次分析法的核心是對(duì)決策對(duì)象進(jìn)行評(píng)價(jià)和選擇，并對(duì)它們進(jìn)行優(yōu)劣排序，從而為決策者提供定量形式的決策依據(jù)。它充分利用人的分析、判斷和綜合能力，適用于結(jié)構(gòu)較為復(fù)雜、決策準(zhǔn)則較多且不易量化的決策問(wèn)題。它將定性分析和定量分析相結(jié)合，具有高度的簡(jiǎn)明性、有效性、可靠性和廣泛的適用性。而電子檔案信息安全指標(biāo)體系因素多、主觀性強(qiáng)且決策結(jié)果難以直接準(zhǔn)確計(jì)量，因而可以用層次分析法來(lái)確定指標(biāo)體系的權(quán)重。層次分析法的基本步驟是：1、將復(fù)雜問(wèn)題概念化，找出研究對(duì)象所涉及的主要因素；2、分析各因素的關(guān)聯(lián)、隸屬關(guān)系，構(gòu)建有序的階梯層次結(jié)構(gòu)模型；3、對(duì)同一層次的各因素根據(jù)上一層次中某一準(zhǔn)則的相對(duì)重要性進(jìn)行兩兩比較，建立判斷矩陣；4、由判斷矩陣計(jì)算被比較因素對(duì)上一層準(zhǔn)則的相對(duì)權(quán)重，并進(jìn)行一致性檢驗(yàn)；5、計(jì)算各層次相對(duì)于系統(tǒng)總目標(biāo)的合成權(quán)重，進(jìn)行層次總排序。

三、電子檔案信息安全評(píng)價(jià)指標(biāo)體系綜合評(píng)價(jià)方法

綜合評(píng)價(jià)是指對(duì)被評(píng)價(jià)對(duì)象進(jìn)行客觀、公正、合理的全局性、整體性評(píng)價(jià)。可以用作綜合評(píng)價(jià)的數(shù)學(xué)方法很多，但是每種方法考慮問(wèn)題的側(cè)重點(diǎn)各有不同。鑒于所選擇的方法不同，有可能導(dǎo)致評(píng)價(jià)結(jié)果的不同，因而在進(jìn)行多目標(biāo)綜合評(píng)價(jià)時(shí)，應(yīng)具體問(wèn)題具體分析。根據(jù)被評(píng)價(jià)對(duì)象本身的特性，在遵循客觀性、可操作性和有效性原則的基礎(chǔ)上選擇合適的評(píng)價(jià)方法。在信息安全領(lǐng)域，目前存在的綜合評(píng)價(jià)方法有信息系統(tǒng)安全風(fēng)險(xiǎn)的屬性評(píng)估方法、模糊綜合評(píng)價(jià)方法、基于灰色理論的評(píng)價(jià)方法、基于粗糙集理論的評(píng)價(jià)方法等。對(duì)于這些方法，目前還沒(méi)有評(píng)論認(rèn)為哪一種方法更適用于信息安全領(lǐng)域的綜合評(píng)價(jià)。鑒于此種情況，本指標(biāo)體系采用模糊綜合評(píng)價(jià)方法。模糊綜合評(píng)價(jià)就是以模糊數(shù)學(xué)為基礎(chǔ)，應(yīng)用模糊關(guān)系合成的原理，將一些邊界不清、不易定量的因素定量化，進(jìn)行綜合評(píng)價(jià)的一種方法。從評(píng)價(jià)對(duì)象來(lái)看，用模糊綜合評(píng)價(jià)方法來(lái)評(píng)價(jià)信息安全系統(tǒng)是可行的。首先，對(duì)于信息的安全管理而言，“安全”與“危險(xiǎn)”之間沒(méi)有明顯的分界線(xiàn)，即安全與危險(xiǎn)之間存在著一種中間過(guò)渡的狀態(tài)，這種中間狀態(tài)具有亦此亦彼的性質(zhì)，也就是通常所說(shuō)的模糊性。因此在安全的刻畫(huà)與描述上大多采用自然語(yǔ)言來(lái)表達(dá)，而自然語(yǔ)言最大的特點(diǎn)是它的模糊性。另外，電子檔案信息安全評(píng)價(jià)中，對(duì)一些評(píng)價(jià)要素的評(píng)價(jià)是具有模糊性的。如組織管理中的評(píng)價(jià)很難量化，一般只能用“好”、“一般”、“差”等等級(jí)概念來(lái)描述，具有較強(qiáng)的模糊性。而且一些評(píng)價(jià)要素受外界環(huán)境的影響較大，具有不確定性，如網(wǎng)絡(luò)攻擊、安全設(shè)施失效、人為失誤等偶然性較大，難以準(zhǔn)確評(píng)價(jià)。對(duì)于這些模糊的、不確定性的問(wèn)題通常采用模糊數(shù)學(xué)來(lái)研究。模糊綜合評(píng)價(jià)方法就是在對(duì)多種因素影響的事物或現(xiàn)象進(jìn)行總的評(píng)價(jià)過(guò)程中涉及到模糊因素或模糊概念的一種評(píng)估方式，它通過(guò)運(yùn)用模糊集合中隸屬度和隸屬度函數(shù)的理論來(lái)刻畫(huà)這種模糊性，以達(dá)到定量精確的目的。

總之，模糊綜合評(píng)價(jià)方法是一種適用于在信息安全管理方面進(jìn)行系統(tǒng)評(píng)價(jià)的可行方法，其基本步驟為：1、確定評(píng)價(jià)集。評(píng)價(jià)集是以評(píng)判者對(duì)被評(píng)價(jià)對(duì)象可能做出的各種總的評(píng)判結(jié)果為元素組成的集合，例如我們可以對(duì)電子檔案信息安全評(píng)價(jià)采用五個(gè)等級(jí)的評(píng)語(yǔ)集合（很好，好，較好，一般，差）。2、建立因素集。因素集是以影響評(píng)判對(duì)象的各種因素為元素組成的集合，在本文的電子檔案信息安全評(píng)價(jià)體系中，主因素層的因素集有物理安全、管理安全、網(wǎng)絡(luò)安全、信息安全和系統(tǒng)安全五個(gè)指標(biāo).3、建立權(quán)重集。由于各評(píng)價(jià)要素在評(píng)價(jià)中的重要程度不同，因而必須對(duì)各要素按其重要程度給出不同的權(quán)重，權(quán)重集通過(guò)層次分析法確定。4、進(jìn)行單因素評(píng)價(jià)，建立單因素模糊評(píng)價(jià)矩陣。即確定評(píng)價(jià)因素集中每一個(gè)因素指標(biāo)在評(píng)語(yǔ)集中的隸屬度。5、模糊矩陣的復(fù)合運(yùn)算。當(dāng)評(píng)價(jià)集、因素集、權(quán)重集和單因素評(píng)價(jià)矩陣確定后，便可按照一定的模糊運(yùn)算規(guī)則進(jìn)行模糊綜合評(píng)價(jià)，以求得各層次中各因素的評(píng)價(jià)結(jié)果和最終的綜合評(píng)價(jià)結(jié)果。