1、第二章数字信息保存的动机第二章 数字信息保存的动机第一节 数字信息保存的意义第二节 数字信息保存的必要性第三节 数字信息保存的主要问题第四节 数字信息保存的风险第五节 数字信息保存的可行性认证第一节数字信息保存的意义节省人力、物力和财力V.S.第一节数字信息保存的意义长期保存数字信息可以维持其可读性平台、程序和计算机等设备不断更新导致数据无法读取的时间从以年代计算缩短到以年计算数字信息保存的目的在于实现用户对数字信息的有效访问数字图书馆、数字档案管第一节数字信息保存的意义传承人类文化，使社会信息资源长久稳定地保存下去数字信息库数字信息资源逐渐成为社会信息传播、交流和保存的主流介质,长期保存数字
2、信息成为战略性问题数字信息不仅具有传播信息和知识共享的作用,而且具有文化属性数字文化遗产,如文献、出版物、地图、艺术、图像、录音、电影等第二节数字信息保存的必要性1.数字信息丢失成为人们日常生活及办公中不可避免的问题。数字信息丢失主要是指用户无法接触到数据,如用户突然不能打开文件、文件被破坏或者数据不能读出和使用等。数字信息的丢失给人们带来了难以估量的损失,无数的案例和资料证明,数字信息丢失带来的不仅是经济利益的损失,更是全人类文化遗产的损失数字信息丢失主要是由于数字信息数据脆弱,容易丢失,也因为现代信息技术的频繁更新,从而导致数字信息无法读取第二节数字信息保存的必要性案例回放：2006年8月
3、5日,美国宇航局爆出惊人消息:人类首次登月的原始录像带已经丢失。图片来源：https:/ 000多卷档案资料被淹,其中500卷档案资料被冲毁,6台电脑被损毁。案例来源：1.冯惠玲:电子文件风险管理,北京,中国人民大学出版社,2008；2.http:/第二节数字信息保存的必要性案例回放：2000年1月6日,美国华盛顿邮报刊文披露:1999年6月期间,美国国家档案馆约43 000份电子邮件失踪,这些电子邮件包括125个用户的内部文件。据分析,可能是因为有人想删除某一个用户的电子邮件却按错了键,故而造成了这次意外事故。华盛顿邮报对此讽刺说:“专门负责保管他人记录的国家档案馆,自己的记录却难逃厄运,真
4、是太荒谬可笑了。”四川省攀枝花市某商业公司是旗下有30家连锁店的大型连锁企业,服务器是IBM,5块硬盘做RAID5,2007年6月,阵列损坏。服务器内存放有价值400万的储金卡账务信息,还有公司与1 000多家供应商的财务往来,所有商品的资料、库存信息,所有分店的历史进销货等重要账目。服务器一停止工作,直接影响了几十万人每天的消费,而没有了信息系统的平台,所有的部门都无法开展工作,实际上整个企业陷入了瘫痪。案例来源：1.王健:电子邮件管理再敲警钟,载中国档案报,2000-11；2.数据灾难,究竟离我们有多远,见 http:/ Policy Compliance Group(IT PCG)调查结
5、果显示,企业数据丢失主要系内部雇员所为,而并非黑客攻击。IT PCG数据显示:68%的企业表示,每年发生6起敏感数据丢失事件;20%的企业表示,每年发生22起,甚至更多敏感数据丢失事件。调查结果发现,75%的数据丢失源自内部雇员错误,而黑客攻击仅占到了20%。二、人员问题网络管理的网络管理的职责职责网络管理的网络管理的内容内容1 1网络服务器的管理配置和管理服务器属性,对服务器上的信息不断地进行充实与更新。2 2网络用户的管理根据单位人员的工作职权和人员变动情况,为每个用户设置账户、密码和分配不同的网络访问权限,设置对Web内容的访问权限等。3 3网络文件和目录的管理设置目录和文件的共享权限、
6、安全性权限,导出需共享的目录,建立逻辑驱动器与共享目录的连接。检查文件系统的安全,定期搜索系统信息并与主检查表进行比较,查找所有未授权用户随意修改的文件,并且确保在被修改之后能够恢复文件系统。防止数据丢失和数据修复,备份网络数据和建立数据镜像站点(将数据完全地复制到另一台计算机上),重定向恢复数据文件和对敏感数据进行加密管理等。4 4网络打印机的配置和管理创建网络打印机服务器,设置网络打印机的策略、共享属性和安全规则。5 5IP地址的管理给网络设备分配特定的IP地址,对某些计算机的IP地址进行动态分配,对一些工作站的访问分配公用IP地址。6 6网络安全管理网络管理员导出监视配置,设置图表视图选
7、项、系统管理报警选项、事件日志类型。建立审核策略,监视网络活动、网络流量和网络服务。进行故障的分组测试,分析网络故障发生概率,严格管理防火墙账号和口令,堵塞入侵者的攻击路径,应对入侵者攻击等。7 7网络布线的日常维护建立网络布线基准文档,对网络布线故障进行测试与定位。8 8关键设备的管理对这些网络设备的管理,除了通过分管软件监视其工作状态外,更要做好它们的备份工作。三、安全问题缺乏长远的、整体的信息安全规划缺乏时效性的信息安全战略忽略了一些信息安全战略和管理流程网络安全保护措施的落后四、战略管理问题1.长期数字信息保存要求从战略层进行管理构建专业的数字信息保存体系,建立完善的风险预警、风险管理
8、、风险评估机制,构建数字信息保存部门间的协作关系,才能对数字信息实行最全面、经济、合法的长期保存。数字信息的保存与存储应考虑现有和未来的发展条件及环境,格外留心文件的收集、复制、选择和长期保存方案、方法、政策。数字信息的选择要考虑数字信息内容、类型、表现形式和载体类型,同时要考虑到获取资源的方式和保存模式的选择。四、战略管理问题2.存储者与保存者存储者完成存储活动。存储者有责任按照保存授权协议接受待保存的数字信息,包括对提供的数字信息进行审核,检查数据内容的真实性、完整性、有效性和安全性等。保存者在一定权力范围内进行各种操作。对于归档的数字信息,可以在本单位规定的范围内提供利用,或通过互联网在
9、规定的IP地址范围内开展利用。保存者的权力应该主要限制于决定存储地点、复制次数、保存载体、存储系统类型、保存系统模式、IP地址系统内部档案传递的方式和数量等,保存权力的限制直接影响到数字信息长期保存活动的质量,影响到各方利益的获取和维护。四、战略管理问题3.存储管理指对数字信息进行的复制、迁移和仿真等形式的处理。存储管理包括:验证数字信息有效性、安装和卸载支持运行平台、文档管理和数据处理、软件更新或升级、扩展服务功能和服务管理。可以保障数字信息存储者采取有效的保存技术措施,同时也是其有效开展保存和服务的基础。四、战略管理问题3.存储管理应考虑以下内容:(1)定期或不定期对保存的数字信息进行安全
10、性、有效性、物理环境、数据可读性的检查和维护;(2)负责跟踪相关技术的发展,寻找合适的时机进行必需的数据复制、数据迁移和系统仿真等保存技术工作;(3)采取微机管理策略,对数据、系统软件以及责任体系进行备份,建立安全的长期存储系统,负责对数字信息保存整个过程进行质量监督;(4)当存储系统或使用平台出现故障时,存储者应及时采取有效解决措施,并通知利用者。四、战略管理问题4.保存模式的选择存储模式的标准化和广泛性,必须是被相关行业认同和有广泛支持力度的,应得到商业使用者、档案信息资源使用者的广泛支持;存储模式应是公开的,而非私有的,存储模式应有已公开出版的技术资料或公开利用的详细说明书和公开的标准;
11、存储模式应支持元数据,保存格式在其字符流中应有存储元数据的能力,而且对被选的技术有元数据标准支持;存储模式对存储介质的依赖程度尽可能地低;存储模式安全,能实现功能性关闭,如能够限制打印和修改,内容能加密,降低泄露率;用户易用,易用性主要包括是否需要额外增加插件,是否有广泛的支持,是否有高可访问性,等等,同时要考虑个性化的需求,通过服务器的自动工具处理、产生和传递信息,如可视化水印、非常用的图像尺寸和分辨率等。四、战略管理问题5.存储信息的质量管理指保证保存质量和利用质量,主要包括:定期或不定期地检查保存工作,遵守保存授权协议,检查转移数据的迁移和仿真工作。在使用时发现问题后,追踪信息的来源、检
12、查存储过程、跟踪相关技术、提出相应的解决办法。第四节数字信息保存的风险长期存储和存取风险知识产权风险经济风险技术风险人员风险安全风险一、长期存储和存取风险1.信息存储载体的风险由于各种存储介质的物理构成不同导致的信息使用风险。2.硬件故障带来的风险主要有存储介质损毁或过时、系统各类硬件故障、硬件过时以及网络通信、服务故障等。3.软件故障带来的风险主要有软件错误、故障或软件过时（数据无法读取）、病毒或蠕虫袭击。4.信息存放空间的风险由于以不同载体形式存在的信息资源在图书馆中存放的物理空间不同而导致的信息资源使用风险。二、知识产权风险数字信息长期保存的知识产权问题涉及数字信息的长期存储管理和网络传
13、播与服务两个大的环节。数字信息的长期存储管理可以采取多种技术策略,如拷贝数据方式、保存管理技术方法、保存内容深度、保存系统模式等,都会从不同侧面涉及不同的知识产权问题,带来知识产权风险。作为服务提供方的数字信息中心以及其他信息服务机构没有一个明确的限制来服务用户。利用长期保存资源提供服务不但有可能侵犯版权所有者的发行复制权、信息传播权等,而且往往还会牵扯到他们的经济利益和其他利益,这些问题都会带来知识产权风险。三、经济风险数字信息的长期保存是一个动态、持续的过程,在数字信息长期保存过程中需要保存数字信息本身及其相关技术、方法和工具等,这一切活动过程都需要经费的支持。数字信息的保存比传统纸质文献
14、的保存对经费的依赖性更强,也更为脆弱。数字保存系统的成本经费预算中许多费用不断变化,且保存成本难以精确计算,因此,长期保存成本具有不可预测性。如果保存系统的某一环节缺少了经费支持,就会使整个系统面临瘫痪。四、技术风险主要包括根据保护数字信息任务的不同而采取的不同技术路线或技术方案所带来的风险;软件、硬件不配套所带来的风险;软件、硬件选择中存在的风险等。一个典型的例子:光盘塔的兴衰从20世纪末到21世纪初,光盘数据库为主要数据库形式,许多图书馆未做详细技术论证就购置了光盘塔设备,结果在还没有得到充分使用时,光盘数据库技术就已经落后,光盘数据库逐渐被淘汰,磁盘阵列很快就取代光盘塔成为数字图书馆的主
15、要存储设备,从而造成了资金的浪费。五、人员风险保存周期的长期性和保存过程的难以预测性使得人力资源需求规划(如技能、时间、资金等)更加困难。关键岗位技术人员的流失往往会给保护数字信息的工作带来很大的损失,短时间内难以弥补。技术人员的职业道德风险也需要注意。六、安全风险病毒、外部入侵的黑客、拒绝服务攻击、内部的误用和滥用,以及各种灾难事故的发生,时刻威胁着网络的业务运转和网络信息安全。虽然现在大都采用了防火墙和防病毒软件,但往往存在病毒库升级不及时,防火墙策略设置不完善,或者管理措施不到位等问题。第五节数字信息保存的可行性认证法律可行性政策制度可行性认证技术认证一、法律可行性2007年6月22日,
16、审批通过了信息安全等级保护管理办法(公通字200743号)管理办法定级时更为客观地描述了信息系统安全保护等级不再将监管强度、保护措施与系统定级标准相对应,而是根据信息系统被侵害客体的受侵害程度进行划分等级保护工作的主要内容是定级、备案、系统建设整改、等级测评、监督检查科学、准确、公正地确定信息系统的安全等级是开展信息安全等级保护工作的关键二、政策制度可行性认证2005年年底,公安部和国务院信息化工作办公室联合印发了关于开展信息系统安全等级保护基础调查工作的通知,拉开了2006年信息安全等级保护工作的序幕。2006年1月9日,胡锦涛总书记在全国科学技术大会上发表了重要讲话,指出在新时期新阶段,“
17、信息科技将进一步成为推动经济增长和知识传播应用进程的重要引擎”,“建设创新型国家,核心就是把增强自主创新能力作为发展科学技术的战略基点”,“抓住信息科技更新换代和新材料科技迅猛发展的难得机遇,把掌握装备制造业和信息产业核心技术的自主知识产权作为提高我国产业竞争力的突破口”。二、政策制度可行性认证2006年1月20日,公安部、国家保密局、国家密码管理局、国务院信息化工作办公室联合印发了信息安全等级保护管理办法(试行),并于2006年3月正式实施。2006年2月,国务院发布国家中长期科学和技术发展规划纲要(20062020年),明确指出了未来15年信息安全技术发展的重点。二、政策制度可行性认证20
18、06年3月,中央办公厅、国务院办公厅联合转发了20062020年国家信息化发展战略，提出了全面加强国家信息安全保障体系、增强国家信息安全保障能力的战略目标。其战略任务可概括为完成信息安全保障六项工作和提高信息安全保障六大能力。二、政策制度可行性认证信息安全保障六项工作可概括为:建立和完善信息安全等级保护制度;建设以密码为基础的网络信任体系;建设和完善信息安全监控体系,加强网络防范,防止有害信息传播;做好信息安全应急处置工作;做好信息安全风险评估工作,综合平衡安全成本和风险,确保重点,优化信息安全资源配置;促进资源共享,加强灾难备份体系建设。二、政策制度可行性认证提高信息安全保障六大能力可概括为
19、:信息安全核心产品和技术的自主创新能力;信息安全人才保障能力;信息安全法律保障能力;信息安全基础设施支撑能力;网络宣传驾驭能力;国际影响力。二、政策制度可行性认证2006年3月14日,信息安全保障被列入国家“十一五”规划,再显中央对信息安全工作的重视程度。2006年6月6日,公安部、国家密码管理局、国务院信息化工作办公室联合下发了关于开展信息安全等级保护试点工作的通知。2007年，信息安全风险评估指南正式更名为信息安全技术信息安全风险评估规范并颁布。2009年颁布，与评估标准相配套的信息安全风险管理指南。二、政策制度可行性认证国家“十一五”科学技术发展规划、国家自然科学基金“十一五”发展规划、
20、信息产业科技发展“十一五”规划和2020年中长期规划纲要都针对信息领域做出了规定，增加了对信息安全基础理论、关键产品和核心技术的研发力度。二、政策制度可行性认证2006年,国务院发布了国家突发公共事件总体应急预案、18项国家专项应急预案、57项国家部门应急预案和31个省级总体预案,突发事件的应急管理工作受到了空前重视。其中,国家通信保障应急预案、互联网网络安全应急预案、铁路网络与信息安全事故应急预案等多项预案都与信息安全保障工作紧密相关。三、技术认证基于对称密钥、公开密钥以及安全Hash函数等基本安全技术和算法,电子商务采用以下几种认证技术来解决电子商务应用中遇到的各种问题:采用信息摘要方法解
21、决信息的完整性问题;采用数字信封技术保证数据的传输安全;采用数字签名技术进行发送者的身份认证,并同时保证数据的完整性,完成交易的不可否认性;采用口令认证技术或公开密钥技术进行身份认证。三、技术认证1.信息摘要方法信息摘要是由单向Hash加密算法对一个信息作用而生成的唯一的对应一个信息的值,有固定的长度。单向是指不能被解密。信息摘要方法解决了信息的完整性问题。三、技术认证2.加数字信封技术加数字信封技术结合了对称密钥和公开密钥加密技术的优点,克服了对称密钥分发困难和加密时间长的问题。它使用两个层次的加密,具有灵活性、高效性。三、技术认证3.数字签名技术(digital signature)数字签
22、名可保证了信息的完整性和发送者的身份认证及不可否认性。三、技术认证4.数字时间戳(Digital Time-Stamp,DTS)数字时间戳是用来证明信息的收发时间的，是一个经加密后形成的凭证文档,它包括:需加时间戳的文本的摘要、收到文件的日期和时间、数字签名。三、技术认证5.口令认证技术口令认证必须具备一个前提:请求认证者必须具有一个ID,该ID必须在认证者的用户数据库(该数据库必须包括ID和口令)中是唯一的。同时,为了保证认证的有效性必须考虑到以下问题:在认证的过程中,必须保证口令的传输是安全的。请求认证者在向认证者请求认证前,必须确认认证者的真实身份。章节回顾数字信息保存的意义是什么？数字信息保存的必要性有哪些？数字信息保存存在哪些主要问题？数字信息保存的风险有哪些？数字信息保存的可行性认证有哪些方面？
