论文部分内容阅读
自2006年Google首席执行官埃里克·施密特首次提出云计算概念后，云计算技术以其独有的数据计算和资源共享优势，迅速成为全球学者关注的焦点。2010年国家档案局发布《数字档案馆建设指南》，提出数字档案馆建设要以先进的信息技术为手段，优化数字档案信息资源的网络化管理和社会共享服务。2016年《中华人民共和国国民经济和社会发展第十三个五年规划纲要》提到，要加强行业云服务平台建设，支持行业信息系统向云平台迁移。云存储技术作为一种新的技术手段和服务方式被引入档案行业，并进行了广泛的探索研究。如2015年10月，绍兴市政府将档案登记备份系统平台和部分备份数据迁移至政务云平台。王春叶以国家博物馆图书馆为例对数资概况以及云存储现状进行了梳理和回顾， 提出了采用云存储的必要性，构建了基于云存储技术的数字资源保存系统并提出了此类图书馆云存储解决方案和相应建设策略。密歇根州档案馆于2012年与英国的Tessella公司合作，选择该公司的Preservica服务进行电子文件云存储。多塞特历史中心档案馆、牛津大学图书馆、英国国会档案馆等都进行了云存储模式的积极尝试。然而，数字档案信息资源对云存储服务提供商的依赖性增强，对服务的可靠性、可用性要求更高，面临的安全风险更加复杂，遭遇的安全损失更大。因此，探讨在云存储环境下影响数字档案信息资源安全的主要原因、制定相应的可行性对策，是十分有意义的。
一、云存储环境对数字档案信息资源的主要威胁
数字档案信息资源云存储是指通过一定的技术手段和特定载体，将数字化的档案信息永久存储在云端虚拟空间中的过程。由于数字信息的不稳定性与易修改性等特点，存储于云端的档案信息资源的真实性、完整性、可用性、安全性及其数字知识产权面临严峻考验。
1.真实性
数字档案信息资源存储于云端后，数据被托管至第三方进行保存，可能由于操作系統的迁移及存储技术的不稳定性导致数字档案信息面临被篡改、被窃取、被删除的风险，且被修改删除后，很难发现痕迹，因而对数字档案的真实性造成了极大威胁。
2.完整性
电子文件存储介质和格式种类繁多，同一电子文件内的文字、图像、音频、视频等内容，可能连续或不连续地存储在相同或不同的载体内，其物理结构和逻辑结构关系也经常变化。当迁移至云端存储时，可能由于存储格式的变化或元数据的丢失造成数字档案信息的不完整、不可读，甚至丢失。
3.可用性
数字档案信息资源的可用性要求在利用计算机技术的前提下，可以实现自动查找、定位所需的文件，并能将文件转化为人可直读的形式。然而，当数字档案信息资源被迁移至云端存储后，除传统的物理设备因素带来的数据不可用外，云存储服务商提供的操作系统、应用程序等也可能无法适应文件信息转换的需要，从而导致数字档案信息不可用。
4.安全性
数字档案信息资源存储于云端后，除面临传统的病毒攻击、木马攻击、黑客攻击等风险外，还面临着多租户共享环境、虚拟化技术和内部管理人员泄密等威胁，容易导致服务中断、数据破坏、信息被窃取和篡改。
5.知识产权
云端数据的所有权与控制权掌握在云存储服务商手中，数字档案信息资源极有可能被保存在异地或海外的数据中心与其他数据存储在一起，用户很难发现自己的知识产权被侵犯，或因为地方法律的不同造成维权困难。
二、云存储环境影响数字档案信息资源安全的主要因素
云存储环境下，数字档案信息资源不仅面临着传统网络环境下外部攻击的风险，同时由于云存储技术的特殊性和服务商内部管理等原因，对数字档案信息资源的长期、安全保管带来极大的威胁。
1.多租户共享环境
多租户资源共享是云存储的特征之一，其基本含义是通过数据隔离机制和虚拟化技术实现多个用户能够共享云平台的物理资源或虚拟资源。
如图1所示，在多租户资源共享环境下，一个租户可对应多个应用，一个应用也可对应多个租户，属于典型的多对多关系。多租户共同使用逻辑空间内的所有资源，租户的资料被存储在共同的物理空间中。由于数字档案信息资源在云平台中是混合存储且存在大量的数据冗余，如果缺乏有效的隔离机制和数据删除机制，易导致存储于云端的数字档案信息资源的混同、丢失，甚至存在泄露重要商业机密的可能。
2.技术原因
云存储主要利用虚拟化技术、加密技术以及身份认证和访问控制技术等为用户提供相应的存储服务，但这些技术也存在泄露数字档案信息资源的风险。
（1）虚拟化技术
虚拟化技术指使用虚拟机监视器（Hypervisor）将一台物理机虚拟化为一台或多台虚拟机，每台虚拟机都能独立运行，并复用物理机的CPU、网络、内存、硬盘等资源。虚拟化技术是实现多租户存储空间共享的技术基础。
如表1所示，当虚拟机或虚拟机监视器（Hypervisor）受到虚拟机跳跃、逃逸，拒绝服务，不安全应用程序接口和非法窃取访问权限时，将对存储于云端的数字档案信息资源造成极大的威胁。
（2）加密技术
云存储服务商均声称采用加密技术来保障用户上传的资料安全，但用户无法准确得知服务商所使用的密码协议，也无法确保云端数字资料真正做到加密存储。云存储服务商作为数字档案信息资源的实际控制者，可以轻而易举地获取加密密钥。云存储服务商一般采用的是单方密钥安全协议，即只要求加密水平达到避免第三方非法获取数据隐私的程度，不限制服务商掌握密钥。这种安全协议虽然能保障云端数据资料不被黑客窃取，却无法杜绝云存储服务商内部管理人员的篡改、窃取数据资料的风险。
（3）身份认证与访问控制技术
身份认证与访问控制管理是为了安全、有效访问IT资源而进行的身份认证、授权和身份数据集中管理与审计的过程及技术手段。云存储平台通常采用“用户名 密码”的单点登录身份认证技术，而用户为方便记忆，往往设置较为简单的用户名和密码，或将多个应用系统的密码设为相同的形式，加大了用户身份泄露的风险。攻击者通过暴力破解的方式获取合法用户的用户名和密码，窃取云端的存储资料，客观上降低了云存储平台的安全性。 3.管理因素
云存储技术使数字档案信息资源的所有权与控制权相分离，档案部门无法掌握数据存放的位置和实际控制权。因此云存储服务商对云平台的管理手段对数字档案信息资源的安全起着决定性作用。
（1）法律法规
云存储环境下，数字档案信息资源的安全保存不仅需要技术与方法的支持，更需要相关法律法规、标准的约束。然而，目前我国唯一一部涉及云计算服务安全问题的标准是2014年由全国信息安全标准化技术委员会制订的《信息安全技术：云计算服务安全指南》。2015年国内云计算首个行业安全标准《数据保护倡议书》诞生。其他相关数据保护规定散见于《计算机信息系统安全保护条例》《计算机网络国际联网安全保护管理办法》等司法解释条款中。云存储环境下，保护用户数据安全的专门性法律法规尚显空白。而数字档案信息资源还面临着保密性和特殊性等管理要求，因此档案机构在采纳云存储技术的过程时必须协同立法、司法等相关部门制定涉及档案领域云安全的相关法规和政策。
（2）格式合同
档案部门在使用云存储技术保管和利用数字档案资源时，均不可避免需要与云存储服务商签署服务合同条款。档案部门希望在服务合同中约束云存储服务商确保数字档案在其保管期限内的真实性、完整性、安全性和可用性等。而云存储服务商为了规避风险、免除责任，通常会采用具有定型化、附从性特点的格式合同。由于档案信息资源本身的特殊性，且尚无相关标准指导档案部门与云存储服务商的制定行之有效的服务合同，而一旦合同的条款不明确或是缺少，就会导致云端档案数据损毁、泄露及维权不力等问题。因此，要进一步规范云存储服务格式合同的制定与完善，在法律框架内寻求档案部门和云存储服务商之间的利益平衡点。
（3）内部人员
由于云存储服务商直接掌握着海量的云端信息，很多服务商能够通过监听或使用恶意软件直接获取云端数据，普通的管理人员能够直接从后台访问、推演用户的访问数据，有意或无意的操作不当很可能泄露云端数据。因此，云存储服务内部管理人员的信息素养和职业道德水平直接影响着存储于云端的数字档案信息资源的安全。
三、云存储环境下数字档案信息资源的安全保障措施
1.基础环境安全保障措施
基础安全保障是指提供云存储服务的平台IT架构层、基础设施和物理环境的安全。①云平台IT架构层安全：为保证云存储平台的可用性和服务的连续性，需要保证存储虚拟化技术的安全可靠，确保虚拟机和虚拟机监视器的正常运转;同时采用有效的多租户隔离方案，避免可能出现的数据混同。②基础设施安全：保障主机和网络的正常运作。存储层中选用网络连接式存储（NAS）等IP存储设备或服务器连接存储（SAS）等直连式存储设备。为保证这些数量庞大且分布于不同地域的存储设备良好运转，需对其进行定期的保养和维护，同时进行防盗防毁、防电磁泄露、安全电源等保护。③物理环境安全：物理环境的安全是云存储安全的最基本保障，物理环境的好坏直接影响着云存储中心的安全可靠。因此，要保证其具有良好的机房选址、消防报警、电能供给、温湿度控制系统等设施。
2.技术安全保障措施
技术是保障云端数字档案信息资源安全存储的重要手段，数据加密是现阶段保证数据安全最基本和最有效的方式，数据加密存储应选择安全性能较高的国际通用算法或我国国有商密算法等，积极探索最优的加密方案、数据存储模式，确保数据的安全存取，防止失泄密事件的发生。例如日本筑波大学JanAskhoj等学者创建的云存档系统的整体模型、清华大学Zhang Guigang等学者开发的云数据存档系统、微软研究院的Kamara等人提出的面向公有云的加密存储框架以及加拿大国家档案馆 Stuart等学者研究的云中加密数据的存储技术等。
另外，除传统的单点登录身份认证技术外，还可采取合适的生物特征识别技术来保障云存储平台的安全性。
3.管理安全保障措施
从管理角度来看，要依法制定相应的保护信息安全的法律法规、规范云存储服务合同、加强人员管理等手段来保证云端数字档案信息资源的安全性。
（1）完善信息安全法律法规
数字档案信息资源云存储是数字档案馆建设的新一轮尝试，涉及到较为复杂的网络、技术环境，各方权责划分也尚不清晰，缺乏针对性的法律保护条例。因此，档案管理部门要积极与相关立法部门沟通、协调，反映档案信息安全保护诉求、提供合理化建议，明确数据存放和跨境迁移的具体规定以及侵权责任的界定、赔偿，通过立法手段，确定数字档案相关业务规范与工作条例，使数字档案安全保障有法可依。例如，根据我国《保密法》以及其他相关法律规定，涉密档案在境外存放涉嫌违法;根据欧盟保护个人信息的相关法案，个人信息不得迁移至欧盟境外。
（2）规范云存储服务合同
由于云存储服务的低成本、流动性等特点，服务商为了规避风险，在签署服务合同时往往不愿承担过多义务。根据《合同法》第四十条规定：“提供格式条款一方免除其责任、加重对方责任、排除对方主要权利的，该条款无效。”如果云服务商在服务合同中明确免除自己的安保义务，该条款属于无效条款。因此，对于档案部门来说，为确保托管的数字档案信息的安全性，在要求云存储服务商确保数据安全和系统安全的前提下，还可以根据数字档案信息资源的特殊性，在合同中增加系统安全方面的需求性条款;增加档案部门有权随时监督云服务商系统安全的条款;规定在发现云服务商的系统漏洞，或者系统改变的情况下，要求云服务商作出相应的安保承诺、采取相应的安保措施、变更合同、解除合同等条款，并就造成的侵权损失提出具体赔偿方案。例如英国国家档案馆为保证文件档案管理云平台的安全性及自身的合法权益，在与云服务商签订服务合同时针对服务的可用性、安全性、数据保护、数据所有权、元数据等重要內容提出了20条关键条款。
（3）加强人员管理
一方面，档案部门在构建数字档案信息云存储平台时，要加强对数字档案信息产品及其衍生产品的产权保护，同时选用资质较高、稳定性强、发展前景广阔的云存储服务商;另一方面，云存储服务商作为云端数据的管理者，在遴选运维人员时，要审查其身份、背景，签署保密协定，并对其进行保密教育，提高信息素质和道德修养，降低数字档案信息由于人为的误操作而导致的信息泄露、侵犯知识产权的风险。
四、结语
云存储技术能实现海量数字档案信息资源便捷、高效的存储管理及利用服务，档案部门可以租用或购买云存储服务商提供的软件、操作系统或应用程序，从而节省人力、物力和财力，用户可以利用云存储技术的优势，进入到云归档虚拟资源中心进行检索，从而打破馆际之间的“信息壁垒”。从数字化发展的角度来看，数字档案信息资源云存储既是大势所趋，也是数字档案馆建设的方向之一。要从技术和管理的角度加强对云存储平台和云存储服务商的管控，保证数据存储的安全性，促进数字档案信息资源共建共享目标的实现。
注：本文系湖北省青年档案工作者学术论坛二等奖作品
（作者单位：中建三局档案室）
一、云存储环境对数字档案信息资源的主要威胁
数字档案信息资源云存储是指通过一定的技术手段和特定载体，将数字化的档案信息永久存储在云端虚拟空间中的过程。由于数字信息的不稳定性与易修改性等特点，存储于云端的档案信息资源的真实性、完整性、可用性、安全性及其数字知识产权面临严峻考验。
1.真实性
数字档案信息资源存储于云端后，数据被托管至第三方进行保存，可能由于操作系統的迁移及存储技术的不稳定性导致数字档案信息面临被篡改、被窃取、被删除的风险，且被修改删除后，很难发现痕迹，因而对数字档案的真实性造成了极大威胁。
2.完整性
电子文件存储介质和格式种类繁多，同一电子文件内的文字、图像、音频、视频等内容，可能连续或不连续地存储在相同或不同的载体内，其物理结构和逻辑结构关系也经常变化。当迁移至云端存储时，可能由于存储格式的变化或元数据的丢失造成数字档案信息的不完整、不可读，甚至丢失。
3.可用性
数字档案信息资源的可用性要求在利用计算机技术的前提下，可以实现自动查找、定位所需的文件，并能将文件转化为人可直读的形式。然而，当数字档案信息资源被迁移至云端存储后，除传统的物理设备因素带来的数据不可用外，云存储服务商提供的操作系统、应用程序等也可能无法适应文件信息转换的需要，从而导致数字档案信息不可用。
4.安全性
数字档案信息资源存储于云端后，除面临传统的病毒攻击、木马攻击、黑客攻击等风险外，还面临着多租户共享环境、虚拟化技术和内部管理人员泄密等威胁，容易导致服务中断、数据破坏、信息被窃取和篡改。
5.知识产权
云端数据的所有权与控制权掌握在云存储服务商手中，数字档案信息资源极有可能被保存在异地或海外的数据中心与其他数据存储在一起，用户很难发现自己的知识产权被侵犯，或因为地方法律的不同造成维权困难。
二、云存储环境影响数字档案信息资源安全的主要因素
云存储环境下，数字档案信息资源不仅面临着传统网络环境下外部攻击的风险，同时由于云存储技术的特殊性和服务商内部管理等原因，对数字档案信息资源的长期、安全保管带来极大的威胁。
1.多租户共享环境
多租户资源共享是云存储的特征之一，其基本含义是通过数据隔离机制和虚拟化技术实现多个用户能够共享云平台的物理资源或虚拟资源。
如图1所示，在多租户资源共享环境下，一个租户可对应多个应用，一个应用也可对应多个租户，属于典型的多对多关系。多租户共同使用逻辑空间内的所有资源，租户的资料被存储在共同的物理空间中。由于数字档案信息资源在云平台中是混合存储且存在大量的数据冗余，如果缺乏有效的隔离机制和数据删除机制，易导致存储于云端的数字档案信息资源的混同、丢失，甚至存在泄露重要商业机密的可能。
2.技术原因
云存储主要利用虚拟化技术、加密技术以及身份认证和访问控制技术等为用户提供相应的存储服务，但这些技术也存在泄露数字档案信息资源的风险。
（1）虚拟化技术
虚拟化技术指使用虚拟机监视器（Hypervisor）将一台物理机虚拟化为一台或多台虚拟机，每台虚拟机都能独立运行，并复用物理机的CPU、网络、内存、硬盘等资源。虚拟化技术是实现多租户存储空间共享的技术基础。
如表1所示，当虚拟机或虚拟机监视器（Hypervisor）受到虚拟机跳跃、逃逸，拒绝服务，不安全应用程序接口和非法窃取访问权限时，将对存储于云端的数字档案信息资源造成极大的威胁。
（2）加密技术
云存储服务商均声称采用加密技术来保障用户上传的资料安全，但用户无法准确得知服务商所使用的密码协议，也无法确保云端数字资料真正做到加密存储。云存储服务商作为数字档案信息资源的实际控制者，可以轻而易举地获取加密密钥。云存储服务商一般采用的是单方密钥安全协议，即只要求加密水平达到避免第三方非法获取数据隐私的程度，不限制服务商掌握密钥。这种安全协议虽然能保障云端数据资料不被黑客窃取，却无法杜绝云存储服务商内部管理人员的篡改、窃取数据资料的风险。
（3）身份认证与访问控制技术
身份认证与访问控制管理是为了安全、有效访问IT资源而进行的身份认证、授权和身份数据集中管理与审计的过程及技术手段。云存储平台通常采用“用户名 密码”的单点登录身份认证技术，而用户为方便记忆，往往设置较为简单的用户名和密码，或将多个应用系统的密码设为相同的形式，加大了用户身份泄露的风险。攻击者通过暴力破解的方式获取合法用户的用户名和密码，窃取云端的存储资料，客观上降低了云存储平台的安全性。 3.管理因素
云存储技术使数字档案信息资源的所有权与控制权相分离，档案部门无法掌握数据存放的位置和实际控制权。因此云存储服务商对云平台的管理手段对数字档案信息资源的安全起着决定性作用。
（1）法律法规
云存储环境下，数字档案信息资源的安全保存不仅需要技术与方法的支持，更需要相关法律法规、标准的约束。然而，目前我国唯一一部涉及云计算服务安全问题的标准是2014年由全国信息安全标准化技术委员会制订的《信息安全技术：云计算服务安全指南》。2015年国内云计算首个行业安全标准《数据保护倡议书》诞生。其他相关数据保护规定散见于《计算机信息系统安全保护条例》《计算机网络国际联网安全保护管理办法》等司法解释条款中。云存储环境下，保护用户数据安全的专门性法律法规尚显空白。而数字档案信息资源还面临着保密性和特殊性等管理要求，因此档案机构在采纳云存储技术的过程时必须协同立法、司法等相关部门制定涉及档案领域云安全的相关法规和政策。
（2）格式合同
档案部门在使用云存储技术保管和利用数字档案资源时，均不可避免需要与云存储服务商签署服务合同条款。档案部门希望在服务合同中约束云存储服务商确保数字档案在其保管期限内的真实性、完整性、安全性和可用性等。而云存储服务商为了规避风险、免除责任，通常会采用具有定型化、附从性特点的格式合同。由于档案信息资源本身的特殊性，且尚无相关标准指导档案部门与云存储服务商的制定行之有效的服务合同，而一旦合同的条款不明确或是缺少，就会导致云端档案数据损毁、泄露及维权不力等问题。因此，要进一步规范云存储服务格式合同的制定与完善，在法律框架内寻求档案部门和云存储服务商之间的利益平衡点。
（3）内部人员
由于云存储服务商直接掌握着海量的云端信息，很多服务商能够通过监听或使用恶意软件直接获取云端数据，普通的管理人员能够直接从后台访问、推演用户的访问数据，有意或无意的操作不当很可能泄露云端数据。因此，云存储服务内部管理人员的信息素养和职业道德水平直接影响着存储于云端的数字档案信息资源的安全。
三、云存储环境下数字档案信息资源的安全保障措施
1.基础环境安全保障措施
基础安全保障是指提供云存储服务的平台IT架构层、基础设施和物理环境的安全。①云平台IT架构层安全：为保证云存储平台的可用性和服务的连续性，需要保证存储虚拟化技术的安全可靠，确保虚拟机和虚拟机监视器的正常运转;同时采用有效的多租户隔离方案，避免可能出现的数据混同。②基础设施安全：保障主机和网络的正常运作。存储层中选用网络连接式存储（NAS）等IP存储设备或服务器连接存储（SAS）等直连式存储设备。为保证这些数量庞大且分布于不同地域的存储设备良好运转，需对其进行定期的保养和维护，同时进行防盗防毁、防电磁泄露、安全电源等保护。③物理环境安全：物理环境的安全是云存储安全的最基本保障，物理环境的好坏直接影响着云存储中心的安全可靠。因此，要保证其具有良好的机房选址、消防报警、电能供给、温湿度控制系统等设施。
2.技术安全保障措施
技术是保障云端数字档案信息资源安全存储的重要手段，数据加密是现阶段保证数据安全最基本和最有效的方式，数据加密存储应选择安全性能较高的国际通用算法或我国国有商密算法等，积极探索最优的加密方案、数据存储模式，确保数据的安全存取，防止失泄密事件的发生。例如日本筑波大学JanAskhoj等学者创建的云存档系统的整体模型、清华大学Zhang Guigang等学者开发的云数据存档系统、微软研究院的Kamara等人提出的面向公有云的加密存储框架以及加拿大国家档案馆 Stuart等学者研究的云中加密数据的存储技术等。
另外，除传统的单点登录身份认证技术外，还可采取合适的生物特征识别技术来保障云存储平台的安全性。
3.管理安全保障措施
从管理角度来看，要依法制定相应的保护信息安全的法律法规、规范云存储服务合同、加强人员管理等手段来保证云端数字档案信息资源的安全性。
（1）完善信息安全法律法规
数字档案信息资源云存储是数字档案馆建设的新一轮尝试，涉及到较为复杂的网络、技术环境，各方权责划分也尚不清晰，缺乏针对性的法律保护条例。因此，档案管理部门要积极与相关立法部门沟通、协调，反映档案信息安全保护诉求、提供合理化建议，明确数据存放和跨境迁移的具体规定以及侵权责任的界定、赔偿，通过立法手段，确定数字档案相关业务规范与工作条例，使数字档案安全保障有法可依。例如，根据我国《保密法》以及其他相关法律规定，涉密档案在境外存放涉嫌违法;根据欧盟保护个人信息的相关法案，个人信息不得迁移至欧盟境外。
（2）规范云存储服务合同
由于云存储服务的低成本、流动性等特点，服务商为了规避风险，在签署服务合同时往往不愿承担过多义务。根据《合同法》第四十条规定：“提供格式条款一方免除其责任、加重对方责任、排除对方主要权利的，该条款无效。”如果云服务商在服务合同中明确免除自己的安保义务，该条款属于无效条款。因此，对于档案部门来说，为确保托管的数字档案信息的安全性，在要求云存储服务商确保数据安全和系统安全的前提下，还可以根据数字档案信息资源的特殊性，在合同中增加系统安全方面的需求性条款;增加档案部门有权随时监督云服务商系统安全的条款;规定在发现云服务商的系统漏洞，或者系统改变的情况下，要求云服务商作出相应的安保承诺、采取相应的安保措施、变更合同、解除合同等条款，并就造成的侵权损失提出具体赔偿方案。例如英国国家档案馆为保证文件档案管理云平台的安全性及自身的合法权益，在与云服务商签订服务合同时针对服务的可用性、安全性、数据保护、数据所有权、元数据等重要內容提出了20条关键条款。
（3）加强人员管理
一方面，档案部门在构建数字档案信息云存储平台时，要加强对数字档案信息产品及其衍生产品的产权保护，同时选用资质较高、稳定性强、发展前景广阔的云存储服务商;另一方面，云存储服务商作为云端数据的管理者，在遴选运维人员时，要审查其身份、背景，签署保密协定，并对其进行保密教育，提高信息素质和道德修养，降低数字档案信息由于人为的误操作而导致的信息泄露、侵犯知识产权的风险。
四、结语
云存储技术能实现海量数字档案信息资源便捷、高效的存储管理及利用服务，档案部门可以租用或购买云存储服务商提供的软件、操作系统或应用程序，从而节省人力、物力和财力，用户可以利用云存储技术的优势，进入到云归档虚拟资源中心进行检索，从而打破馆际之间的“信息壁垒”。从数字化发展的角度来看，数字档案信息资源云存储既是大势所趋，也是数字档案馆建设的方向之一。要从技术和管理的角度加强对云存储平台和云存储服务商的管控，保证数据存储的安全性，促进数字档案信息资源共建共享目标的实现。
注：本文系湖北省青年档案工作者学术论坛二等奖作品
（作者单位：中建三局档案室）