档案数字化保密规范：从物理安全到数据加密的实操指南

一、物理环境与设备安全

档案数字化的保密工作始于物理层面。任何软件或流程上的安全措施，如果物理防线被突破，都将形同虚设。

1.1 专用数字化加工场地的建立

你必须设立一个独立的、封闭的数字化加工区。具体操作如下：

• 选址与隔离：选择办公区域内相对独立的房间，确保墙体无窗户或窗户已进行物理封堵。入口安装防盗门和电子门禁系统，记录所有进出日志。
• 监控全覆盖：在场地四角及主要工作台正上方安装高清网络摄像头，确保无死角。录像存储服务器需置于场地内，并设置30天以上的自动循环存储。
• 物品管控：场地内严禁携带手机、相机、U盘、移动硬盘等任何具有存储或拍摄功能的个人电子设备。入口处需配备金属探测仪和储物柜，所有个人物品必须寄存。

1.2 专用设备采购与配置

所有用于数字化处理的计算机、扫描仪等设备必须专用，并做如下配置：

• 计算机：采购全新设备，拆除或永久禁用光驱、USB接口、Wi-Fi及蓝牙模块。操作系统安装完成后，进入BIOS设置，从硬件层面禁用这些端口。
• 扫描仪：选用带自动进纸器（ADF）的平板扫描仪，如富士通fi系列。关键一步：断开或物理移除其网络传输功能模块，确保扫描数据只能通过USB线直连至专用计算机。
• 打印机：原则上数字化加工区内禁止配备打印机。如确需打印校验单，必须使用专用打印机，并同样拆除其网络功能，打印日志需每日核查。

二、数字化操作流程安全

流程是保密工作的骨架，必须设计成环环相扣、相互制约的闭环。

2.1 档案交接与登记

这是责任划分的起点，必须使用纸质与电子双重台账。

• 制作《档案数字化交接单》：表格需包含以下字段：批次号、档案原档号、档案名称、页数、交接人、接收人、交接时间、保管状态（完好/破损）、备注。一式三份，移交方、接收方、监督方各执一份。
• 操作：在监控下，双方逐份清点档案实体与目录，确认无误后签字。任何破损或异常需在备注栏清晰记录并拍照留存。

2.2 扫描与图像处理

此环节核心是“原始数据不出机”。

• 扫描软件设置：使用扫描仪自带软件或IrfanView等轻量级软件。关键设置：扫描输出格式必须设置为多页TIFF或PDF，分辨率设置为300dpi，色彩模式为“黑白”或“灰度”（除非档案为彩色）。保存路径固定为计算机D盘的“原始数据”文件夹。
• 图像处理自动化：使用Python脚本配合OpenCV库进行批处理，避免人工逐页查看。准备以下脚本，保存为`process_images.py`，在存放扫描图像的文件夹中运行： ``` import cv2 import os import sys def auto_deskew_and_clean(image_path, output_path): 读取图像 img = cv2.imread(image_path, cv2.IMREAD_GRAYSCALE) 二值化 _, binary = cv2.threshold(img, 0, 255, cv2.THRESH_BINARY + cv2.THRESH_OTSU) 自动纠偏（寻找轮廓） coords = np.column_stack(np.where(binary > 0)) angle = cv2.minAreaRect(coords)[-1] if angle < -45: angle = 90 + angle (h, w) = img.shape[:2] center = (w // 2, h // 2) M = cv2.getRotationMatrix2D(center, angle, 1.0) rotated = cv2.warpAffine(img, M, (w, h), flags=cv2.INTER_CUBIC, borderMode=cv2.BORDER_REPLICATE) 去噪点 denoised = cv2.medianBlur(rotated, 3) 保存 cv2.imwrite(output_path, denoised) input_dir = "./原始数据" output_dir = "./处理完成" os.makedirs(output_dir, exist_ok=True) for filename in os.listdir(input_dir): if filename.lower().endswith(('.tif', '.tiff', '.jpg', '.png')): input_path = os.path.join(input_dir, filename) output_path = os.path.join(output_dir, filename) auto_deskew_and_clean(input_path, output_path) print("图像批处理完成。") ```
• 质检：质检员在专用计算机上，使用ACDSee等软件的“全屏幻灯片播放”模式快速浏览处理后的图像，仅检查是否有整页模糊、漏扫、错序等重大问题，不阅读内容。发现问题，在《质检记录表》中记录对应文件名和问题，退回上一环节重新扫描。

三、数据存储与传输加密

这是防止数据在静止和移动状态下泄露的核心技术环节。

3.1 存储加密

所有数字化成果必须加密存储。

• 使用VeraCrypt创建加密容器：在专用计算机上安装VeraCrypt（https://www.veracrypt.fr/en/Downloads.html）。安装完成后：
  1. 启动VeraCrypt，点击“Create Volume”。
  2. 选择“Create an encrypted file container”，点击Next。
  3. 选择“Standard VeraCrypt volume”，点击Next。
  4. 点击“Select File”，在D盘（非系统盘）指定位置，输入文件名如`archive_data.hc`，点击保存。
  5. 加密算法选择“AES”，哈希算法选择“SHA-512”，点击Next。
  6. 设置容器大小，应大于预计的整批次档案数据总大小，并预留20%余量，例如数据预计100GB，则设置为120GB。
  7. 设置一个高强度密码：长度至少20位，混合大小写字母、数字和特殊符号（如`J7kP9$mXy2&vR5!qL8@z`）。切勿使用与工作或个人相关的任何信息。
  8. 格式化选项选择“FAT”，点击“Format”完成创建。
• 挂载与使用：在VeraCrypt主界面，选择一个盘符（如Z:），点击“Select File”选择刚创建的`archive_data.hc`文件，点击“Mount”，输入密码。此时会弹出一个名为Z:的新驱动器，所有“处理完成”的数据，都必须移动或保存到这个Z:盘中。工作结束后，务必在VeraCrypt界面点击“Dismount All”卸载。

3.2 传输加密

如需将加密容器文件传输给档案管理部门，必须进行二次加密。

• 使用GPG进行文件加密：在传输方和接收方计算机上均安装GPG4Win（https://gpg4win.org/download.html）。接收方首先生成自己的密钥对：
  1. 打开Kleopatra（GPG4Win组件）。
  2. 点击“File” -> “New Certificate”。
  3. 选择“Create a personal OpenPGP key pair”。
  4. 填写名称（如“档案科-接收端”），邮箱可填写内部工作邮箱。
  5. 点击“Advanced Settings”，将“Certificate Type”改为“RSA 4096 bit”。
  6. 点击“Create”，设置一个保护私钥的密码。
  7. 创建完成后，在Kleopatra主界面右键点击新生成的密钥，选择“Export Certificates...”，将公钥（以.asc结尾的文件）安全地交给传输方。
• 加密与传输：传输方在Kleopatra中点击“File” -> “Sign/Encrypt Files”，选择要传输的`archive_data.hc`文件。在下一个窗口，取消勾选“Sign as:”，在“Recipients”一栏，点击“Add Recipient”，导入接收方发来的公钥文件。点击“Encrypt”，生成一个`archive_data.hc.gpg`加密文件。使用单位内部保密光盘刻录系统，将此.gpg文件刻录到一次性写入（WORM）光盘上，进行物理移交。

四、人员管理与审计追溯

技术手段最终由人执行，人员管理是最后一道防线。

4.1 权限分离与最小化

严格遵循“最小权限”和“职责分离”原则。

• 角色划分：设立四个互斥岗位：档案管理员（负责交接）、扫描员（负责操作设备）、质检员（负责检查图像质量）、系统管理员（负责维护加密环境）。一人一岗，严禁兼任。
• 账户管理：专用计算机为每个角色创建独立的Windows本地账户。扫描员和质检员账户权限设置为“标准用户”，仅能运行指定软件和访问特定目录。系统管理员账户仅用于安装软件和系统维护，日常不使用。

4.2 全流程日志审计

所有操作必须留下不可篡改的记录。

• 启用并加固系统日志：在专用计算机上以管理员身份运行`gpedit.msc`，依次展开“计算机配置” -> “Windows设置” -> “安全设置” -> “高级审核策略配置” -> “审核策略”。
  1. 配置“审核登录事件”为“成功，失败”。
  2. 配置“审核对象访问”为“成功，失败”。
  3. 配置“审核进程创建”为“成功”。
• 集中日志记录：每天工作结束后，系统管理员使用Windows事件查看器，将“Windows日志”下的“安全”、“应用程序”、“系统”日志，以及VeraCrypt的挂载/卸载记录（可通过VeraCrypt日志功能开启），全部导出为.evtx文件，存入另一个独立的加密容器中，长期保存以备审计。

五、成果销毁与应急响应

流程的终点同样需要严格控制。

5.1 数据残留清除

单批次任务全部完成后，必须彻底清除专用计算机上的所有中间数据和临时文件。

• 使用Eraser进行安全擦除：下载并安装Eraser（https://eraser.heidi.ie/download/）。在数据所在的D盘和加密容器曾占用的空间上，右键点击选择“Eraser” -> “Erase Schedule”。
  1. 在任务设置中，“Target type”选择“Unused disk space”。
  2. “Erasure method”选择“DoD 5220.22-M”。
  3. 点击“OK”执行。此过程会覆盖磁盘空闲空间3-7遍，确保已删除文件无法被恢复。

5.2 应急预案

准备应对两种最常见突发状况：

• 设备故障：立即停止工作，将故障设备（特别是硬盘）原地封存，贴上封条并记录。由系统管理员在监控下，使用带有写保护功能的硬盘盒连接至备用专用计算机，使用`dd`命令（Linux）或FTK Imager工具（Windows）对故障硬盘进行全盘只读镜像，后续操作均在镜像上进行，原硬盘封存备查。
• 发现敏感信息泄露迹象：立即冻结所有账户，封存所有相关设备（计算机、扫描仪）和存储介质（硬盘、光盘）。保护现场，不得自行关机或重启。第一时间报告单位保密部门和安全主管部门，由专业技术人员介入进行取证和溯源。