2、風(fēng)險(xiǎn)意識(shí)薄弱，對(duì)安全風(fēng)險(xiǎn)認(rèn)識(shí)存在偏差。一些安全管理人員風(fēng)險(xiǎn)意識(shí)淡薄，信息安全知識(shí)不足，卻津津樂(lè)道“太平盛世”，雙耳不聞“盛世危言”，甚至認(rèn)為，談風(fēng)險(xiǎn)是“杞人憂天”，說(shuō)安全是“天下本無(wú)事，庸人自擾之”，根本沒(méi)有從風(fēng)險(xiǎn)管理的角度來(lái)度量電子文件的安全性。這些都嚴(yán)重影響了正確認(rèn)識(shí)安全形勢(shì)和樹(shù)立科學(xué)的電子文件安全風(fēng)險(xiǎn)觀。
　　3、忽視了對(duì)“資產(chǎn)”評(píng)估鑒定。從目前情況看，文件、檔案管理部門雖都認(rèn)識(shí)到電子文件的重要性，但絕大多數(shù)部門只是將電子文件作為日常辦公的一種輔助幫助，并沒(méi)有將電子文件提升到“資產(chǎn)”高度來(lái)管理，就更談不上對(duì)“資產(chǎn)”進(jìn)行評(píng)估鑒定。然而，從安全管理角度講，一個(gè)組織系統(tǒng)內(nèi)的資產(chǎn)在沒(méi)有被評(píng)估鑒定前，是不可能成功實(shí)施安全管理并進(jìn)行維護(hù)的。④
　?。ㄈ┕芾憝h(huán)節(jié)不完善
　　信息安全風(fēng)險(xiǎn)管理強(qiáng)調(diào)對(duì)信息系統(tǒng)生命周期的全過(guò)程管理，包括一個(gè)完整的風(fēng)險(xiǎn)管理環(huán)節(jié)：風(fēng)險(xiǎn)計(jì)劃的制訂、風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)應(yīng)對(duì)、風(fēng)險(xiǎn)監(jiān)控。從這個(gè)視角來(lái)看，當(dāng)前電子文件安全管理存在明顯的薄弱環(huán)節(jié)。首先，安全管理計(jì)劃缺乏依據(jù)。現(xiàn)有的電子文件安全管理計(jì)劃的制訂，絕大多數(shù)是憑借個(gè)人經(jīng)驗(yàn)或者參照其他管理部門計(jì)劃來(lái)制定的，而不是依據(jù)風(fēng)險(xiǎn)應(yīng)對(duì)、風(fēng)險(xiǎn)監(jiān)控實(shí)際情況來(lái)制訂的，具有很大的盲目性。其次，缺乏關(guān)鍵的風(fēng)險(xiǎn)評(píng)估環(huán)節(jié)。風(fēng)險(xiǎn)評(píng)估是電子文件安全管理的基礎(chǔ)和關(guān)鍵環(huán)節(jié)。沒(méi)有風(fēng)險(xiǎn)評(píng)估，電子文件的安全管理就會(huì)成為無(wú)源之水、無(wú)本之木，缺乏決策行動(dòng)的依據(jù)與方向，由此而引發(fā)的安全管理措施就具有很大的盲目性。雖然大部分管理部門強(qiáng)調(diào)采取各種措施來(lái)確保電子文件“萬(wàn)無(wú)一失”，但大多是“人云亦云”，進(jìn)行簡(jiǎn)單的跟風(fēng)或?qū)Π踩a(chǎn)品與技術(shù)進(jìn)行簡(jiǎn)單地堆疊，沒(méi)有針對(duì)性。對(duì)于引起本組織電子文件風(fēng)險(xiǎn)的因素沒(méi)有深入探究，甚至談不上什么了解，對(duì)于所采取的應(yīng)對(duì)措施更談不上什么研究，對(duì)其用途更是“知其然，不知其所以然”，最終在風(fēng)險(xiǎn)來(lái)臨之時(shí)，不能有效地控制風(fēng)險(xiǎn)。最后，安全監(jiān)控力度有限。電子文件是動(dòng)態(tài)存在的，其安全現(xiàn)狀也是隨時(shí)在變化的。在采取安全措施后，還必須強(qiáng)化電子文件全生命周期的風(fēng)險(xiǎn)監(jiān)控，實(shí)時(shí)監(jiān)視殘余風(fēng)險(xiǎn)、識(shí)別新風(fēng)險(xiǎn)，執(zhí)行風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃，以及評(píng)估這些工作的有效性。然而現(xiàn)有的電子文件安全監(jiān)控力度十分有限，絕大部分是局限于電子文件載體的溫濕度控制，而不是對(duì)整個(gè)生命周期的殘余風(fēng)險(xiǎn)、新風(fēng)險(xiǎn)的監(jiān)控。
　　（四）缺乏系統(tǒng)性和動(dòng)態(tài)性
　　信息安全風(fēng)險(xiǎn)管理基于系統(tǒng)、全面、科學(xué)的安全風(fēng)險(xiǎn)評(píng)估，強(qiáng)調(diào)對(duì)信息的全過(guò)程、動(dòng)態(tài)控制，對(duì)信息進(jìn)行系統(tǒng)化安全管理，使安全風(fēng)險(xiǎn)發(fā)生的概率和結(jié)果降低到可接受的范圍，從而實(shí)現(xiàn)系統(tǒng)安全的動(dòng)態(tài)平衡。傳統(tǒng)的電子文件安全管理，一方面，絕大多數(shù)是針對(duì)電子文件載體本身的安全管理，采取的是往往單一的安全管理措施，對(duì)于電子文件的安全管理容易出現(xiàn)“頭痛醫(yī)頭，腳痛醫(yī)腳”的弊病，最終還是不能避免電子文件風(fēng)險(xiǎn)的發(fā)生。⑤雖然在理論上我們強(qiáng)調(diào)要收集全電子文件相關(guān)的背景、結(jié)構(gòu)信息，但具體實(shí)踐中由于沒(méi)有科學(xué)界定電子文件安全管理范圍，其背景、結(jié)構(gòu)信息也就難以收集齊全，自然安全管理工作就不系統(tǒng)。另一方面，忽視整個(gè)電子文件保管環(huán)境的安全管理。電子文件保護(hù)的過(guò)程是一個(gè)復(fù)雜的過(guò)程，對(duì)于其自身及其所依賴信息環(huán)境的保護(hù)是一個(gè)系統(tǒng)性工程。從風(fēng)險(xiǎn)管理的角度講，電子文件的安全管理不僅要對(duì)電子文件自身所面臨的風(fēng)險(xiǎn)進(jìn)行管理，更重要的是對(duì)其依賴的信息系統(tǒng)風(fēng)險(xiǎn)進(jìn)行綜合管理。而這點(diǎn)是傳統(tǒng)電子文件管理所被忽視的，傳統(tǒng)的安全管理大都是從電子文件本身風(fēng)險(xiǎn)因素出發(fā)而制定安全措施的，這很難在電子文件安全管理上取得實(shí)質(zhì)性效果。此外，值得注意的是，傳統(tǒng)的電子文件安全管理大多是靜態(tài)地管理，更多的是實(shí)踐經(jīng)驗(yàn)的總結(jié)與應(yīng)用，一般將文件按其形成過(guò)程分成若干階段，分析各階段潛在的風(fēng)險(xiǎn)因素，從而制定相應(yīng)的對(duì)策。從表面上看，這種方法也適合電子文件安全管理，但畢竟是以靜態(tài)的眼光來(lái)分析風(fēng)險(xiǎn)，各個(gè)階段的安全管理工作缺乏必要和有機(jī)的聯(lián)系，沒(méi)有將各階段的安全工作、工序和風(fēng)險(xiǎn)因素統(tǒng)一起來(lái)進(jìn)行綜合考慮，很難應(yīng)對(duì)日益復(fù)雜、嚴(yán)峻的電子文件安全問(wèn)題。
?。ㄎ澹┖鲆暳藢?duì)安全風(fēng)險(xiǎn)、成本和效率的權(quán)衡
　　信息安全風(fēng)險(xiǎn)管理宗旨之一，就是在綜合成本和效率的前提下，找到安全風(fēng)險(xiǎn)、安全成本與效率之間平衡點(diǎn)，通過(guò)安全措施來(lái)控制風(fēng)險(xiǎn)，使殘余風(fēng)險(xiǎn)降低到可接受的范圍。安全風(fēng)險(xiǎn)、安全成本與效率的關(guān)系如下圖所示：
　　安全風(fēng)險(xiǎn)、安全成本與效率關(guān)系示意圖
　　從圖中我們可以看出，只有當(dāng)安全風(fēng)險(xiǎn)與安全成本控制達(dá)到平衡點(diǎn)時(shí)，安全效率才能達(dá)到最佳效果。實(shí)際上，絕對(duì)的安全是沒(méi)有的，電子文件的安全管理也不是“越安全越好”。不同部門不同種類的電子文件，對(duì)于安全的需求是不同的；同一份電子文件其安全保密性超出安全保密的管理需求不但沒(méi)有必要，而且還會(huì)造成資金上的浪費(fèi)。正如一扇門配幾把鎖取決于門內(nèi)放的東西的重要程度，鎖越多，門的安全成本也就越高，而門的使用效率就越低。然而，當(dāng)前的電子文件管理重安全，卻忽視了對(duì)安全、成本和效益的綜合權(quán)衡。很多文件、檔案管理部門在沒(méi)有對(duì)本部門安全現(xiàn)狀和安全需求進(jìn)行認(rèn)真分析的基礎(chǔ)上，為了追求安全就不惜成本盲目地追求新的安全產(chǎn)品與技術(shù)，結(jié)果采用了一大批新安全產(chǎn)品與技術(shù)，卻收效甚微，造成資金的嚴(yán)重浪費(fèi)。此外，由于我國(guó)一直以來(lái)強(qiáng)調(diào)以縱深防御體系設(shè)計(jì)作為安全管理的核心，這種防御體系強(qiáng)化安全管理的縱向?qū)哟魏蜕疃?，?cè)重安全管理的宏觀指導(dǎo)，但在指導(dǎo)安全管理的具體實(shí)踐方面，缺乏科學(xué)依據(jù)和方法，無(wú)法對(duì)電子文件的安全風(fēng)險(xiǎn)進(jìn)行度量，自然就無(wú)法權(quán)衡電子文件的安全、成本和效益，結(jié)果在實(shí)際的電子文件安全管理工作中，安全投入成了一個(gè)無(wú)底洞，安全管理成本經(jīng)常是遠(yuǎn)遠(yuǎn)高于電子文件所帶來(lái)的效益，最終安全管理失去原有的意義。
　　三、結(jié)論
　　傳統(tǒng)的電子文件安全管理基本上還處于在一個(gè)局部的、靜態(tài)的、少數(shù)人負(fù)責(zé)的、突擊式、事后糾正的管理方式，導(dǎo)致的結(jié)果是不能從根本上避免降低各類風(fēng)險(xiǎn)，也不可能降低電子文件安全事故導(dǎo)致的綜合損失。而基于風(fēng)險(xiǎn)管理的電子文件安全管理體系是一個(gè)系統(tǒng)化、程序化和文件化的管理體系，基于系統(tǒng)、全面、動(dòng)態(tài)、科學(xué)的安全風(fēng)險(xiǎn)評(píng)估，體現(xiàn)預(yù)防控制為主的思想，強(qiáng)調(diào)遵守國(guó)家有關(guān)信息安全原則前提下合理選擇控制方式以保護(hù)電子文件，使電子文件安全風(fēng)險(xiǎn)的發(fā)生概率和結(jié)果降低到可接受的水平。這種管理體系更加適合于電子文件的安全管理，因此，文件、檔案管理部門應(yīng)盡快建立自身的電子文件風(fēng)險(xiǎn)管理體系。
　　注釋：
　　1、吳世忠：《信息風(fēng)險(xiǎn)管理動(dòng)態(tài)與動(dòng)態(tài)與趨向》，《計(jì)算機(jī)安全》2007年第4期。
　2、馮惠玲：《論電子文件的風(fēng)險(xiǎn)管理》，《檔案學(xué)通訊》2005年第3期。
　　3、 陳國(guó)云：《檔案信息建設(shè)的風(fēng)險(xiǎn)管理》，《檔案管理》2008年第1期。
　　4、柳純錄：《信息系統(tǒng)項(xiàng)目管理師教程》，北京：清華大學(xué)出版社，2005：582。
　　5、王強(qiáng)：《電子檔案風(fēng)險(xiǎn)管理研究》，《優(yōu)秀碩士論文》2007年8月。
?