数字档案馆系统保密功能不严格 五步可直接操作的纯干货整改指南

第一步：基础权限与审计闭环硬修复（2小时内完成）

1.1 修复三员权限分离漏洞

首先确认系统是否严格区分系统管理员、安全管理员、安全审计员，若存在一人多岗的情况立即修正：

• 打开系统配置后台，找到「用户与权限管理」→「角色配置」模块
• 删除原有的“超级管理员”或具备全部权限的自定义角色
• 分别创建标准三员角色，复制以下权限清单配置（角色命名必须清晰）：
  • 系统管理员：仅负责系统硬件、基础软件、数据库的日常维护，无档案浏览、内容修改权限
  • 安全管理员：仅负责档案密级设置、访问权限审批、安全策略配置，无系统底层维护权限
  • 安全审计员：仅负责查看、导出、备份所有操作日志（包括登录、密级变更、权限调整、档案操作），无其他任何权限
• 启用角色权限互斥锁：进入「高级配置」→「安全策略」→「角色互斥」，勾选“三员角色之间不可兼任”

1.2 强制开启审计日志不可篡改与留存

审计日志是保密检查的核心依据，必须严格配置：

• 在「安全审计」模块中开启全量日志记录：勾选登录失败/成功、密级变更、访问涉密档案、权限调整、档案导出/打印/复制、系统配置修改等所有事件
• 配置日志加密存储与防篡改：进入「日志管理」→「存储设置」，启用“SHA-256哈希签名+时间戳绑定”，哈希签名存储路径需与日志主库物理隔离（例如Linux系统下指定为/srv/archive_log_hash/，Windows指定为D:\Archive_Log_Hash\，该分区不能与应用、数据库同分区）
• 设置日志留存时间≥6年，开启“日志满后自动加密备份到外部离线存储介质”的触发条件

第二步：涉密档案访问边界加固（4小时内完成）

2.1 绑定IP+MAC白名单（仅适用于涉密内网）

如果数字档案馆部署在涉密内网，必须启用双绑定：

• 收集所有授权访问用户的固定内网IP+设备MAC地址（Windows查看命令：ipconfig /all，Linux查看命令：ip addr show）
• 进入「网络安全」→「访问控制」→「白名单配置」，开启“仅允许白名单内设备访问”
• 逐个添加白名单条目，格式为：IP地址/MAC地址，用户姓名/工号（备注必填，便于审计）

2.2 配置涉密档案分级权限（分密级配置，6小时内完成）

首先确保所有档案有明确密级（公开/内部/秘密/机密），没有密级的先由安全管理员批量标注为“待审核密级”：

• 进入「档案管理」→「密级与权限模板」，按密级创建对应模板：
  • 公开档案：授权所有内部用户浏览、下载公开版本
  • 内部档案：授权部门负责人及以上、档案相关人员浏览，禁止下载、打印、复制
  • 秘密/机密档案：仅授权密级知悉范围内的单人，启用单次访问授权码（每次访问需安全管理员或密级知悉部门领导审批生成，授权码有效期≤4小时）
• 批量/逐个将档案绑定到对应模板，启用密级自动降级提醒（设置为“距保密期限剩余30天提醒安全管理员”）

第三步：内容操作痕迹与安全水印补全（3小时内完成）

3.1 强制添加屏幕+打印双重动态水印

水印必须包含可追溯的核心信息：

• 进入「安全策略」→「内容保护」→「水印配置」，分别开启屏幕水印、打印水印
• 配置双重动态水印参数（可直接复制）：
  • 位置：平铺覆盖整个内容区域，透明度设置为20%（不影响阅读但可清晰追溯）
  • 内容：当前登录人姓名+工号+当前访问时间+数字档案馆系统ID
  • 字体：微软雅黑，字号12号，颜色深灰色
  • 旋转角度：-45度
• 对秘密/机密档案额外开启屏幕截图拦截（仅适用于Windows/macOS桌面客户端，进入「安全策略」→「桌面客户端限制」，勾选“禁止一切第三方截图工具及系统自带截图功能”）

3.2 启用涉密档案内容预览加密

禁止用户直接获取档案的临时预览文件：

• 进入「内容管理」→「预览设置」，开启“涉密档案预览仅生成内存渲染流，不生成本地/服务器临时文件”
• 对于机密档案，预览窗口禁止最大化，窗口边缘必须保留水印，预览时长单次≤2小时

第四步：数据库与文件存储硬加密（1天内完成）

4.1 数据库表加密（以MySQL 8.0为例）

如果数据库未加密，立即对核心表（档案表、用户表、权限表、操作日志表）进行透明数据加密（TDE）：

• 首先检查MySQL是否支持TDE：SHOW VARIABLES LIKE 'have_innodb_keyring'; -- 需返回YES
• 安装并配置keyring插件（以file_keyring为例）：
  • 修改MySQL配置文件my.cnf（Linux）/my.ini（Windows），添加以下内容：

    [mysqld]
    early-plugin-load=keyring_file.so
    keyring_file_data=/var/lib/mysql-keyring/keyring   Linux路径
    keyring_file_data=C:\ProgramData\MySQL\MySQL Server 8.0\keyring   Windows路径
    

  • 重启MySQL服务：Linux执行systemctl restart mysqld，Windows在「服务」中重启MySQL80
• 对核心表执行加密命令：ALTER TABLE 表名 ENCRYPTION='Y';

4.2 档案文件加密（以Linux文件系统为例）

对存储档案文件的分区进行LVM加密：

• 首先确保系统安装了cryptsetup：yum install cryptsetup -y（CentOS/RHEL）或apt install cryptsetup -y（Debian/Ubuntu）
• 备份分区内所有档案到外部离线存储介质
• 执行加密操作（假设分区为/dev/sdb1）：
  • 擦除分区数据：dd if=/dev/urandom of=/dev/sdb1 bs=1M count=100
  • 初始化LUKS分区：cryptsetup luksFormat /dev/sdb1（输入强密码，需包含大小写字母、数字、特殊字符，长度≥16位）
  • 打开加密分区并映射：cryptsetup luksOpen /dev/sdb1 archive_encrypted
  • 格式化映射分区：mkfs.ext4 /dev/mapper/archive_encrypted
  • 挂载并配置自动挂载（需手动修改/etc/crypttab和/etc/fstab，防止重启后丢失数据）

第五步：漏洞扫描与应急响应准备（1天内完成）

5.1 执行系统漏洞全量扫描

使用开源的OpenVAS（GVM）进行免费合规扫描：

• OpenVAS最新版下载地址：https://greenbone.github.io/docs/latest/getting-started.html
• 按照官方文档安装后，创建扫描任务，目标为数字档案馆的内网IP，扫描模板选择“Full and Fast Ultimate”
• 扫描完成后导出PDF报告，对所有高危、中危漏洞立即修复（修复方案可参考报告中的CVE编号和官方补丁链接）

5.2 配置应急响应脚本

创建简单的应急响应脚本，用于快速切断访问并备份关键数据：

• Linux应急脚本（可直接复制为archive_emergency.sh，设置chmod +x权限）：

  !/bin/bash
  切断白名单外所有访问（需先保存当前iptables规则）
  iptables -P INPUT DROP
  备份核心数据库表
  mysqldump -u root -p'你的数据库密码' archive_db user_table permission_table operation_log_table secret_archive_table > /srv/archive_backup/$(date +%Y%m%d_%H%M%S)_db_backup.sql
  加密备份哈希签名日志
  tar -czf /srv/archive_backup/$(date +%Y%m%d_%H%M%S)_hash_log_backup.tar.gz /srv/archive_log_hash/