中小微企业档案加密技术制度建设：从规范到落地全实操指南

一、前期准备：工具与基础梳理

1.1 工具安装（零成本可落地）

选用开源免费的GnuPG加密工具，无版权风险，所有操作可离线完成，不同系统直接执行对应命令/下载：

• Ubuntu/Debian系统：执行命令sudo apt update && sudo apt install gnupg2
• CentOS/RHEL系统：执行命令sudo yum install gnupg2
• Mac系统：先安装Homebrew，再执行命令brew install gnupg
• Windows系统：直接从官网下载安装包：https://gnupg.org/download/index.html，默认下一步安装即可，自带图形化工具Kleopatra

1.2 档案分级梳理（制度核心基础）

先完成全单位档案的敏感程度分级，输出签字确认的《单位档案分级清单》，分级标准可直接套用：

• 一级（绝密）：核心人事档案、财务核心报表、未公开资质文件，要求全员权限隔离，仅核心负责人可查看
• 二级（机密）：部门业务文档、客户信息档案，要求部门负责人授权才可查看
• 三级（公开）：对外宣传资料、公开内部制度，可内部全员查看，无需加密

二、技术落地：分级加密全步骤

2.1 生成分级对应密钥

不同级别档案对应不同密钥，严格权限隔离，操作步骤如下：

• 第一步：终端执行命令 gpg --gen-key，按照提示输入密钥名称（一级密钥命名为「绝密档案主管密钥」，二级命名为「机密档案部门密钥」），设置口令长度不低于12位，包含大小写、数字和特殊字符
• 第二步：执行命令 gpg --list-secret-keys --keyid-format=long，输出内容中，sec 行斜杠后的16位字符串就是密钥ID，复制保存备用
• 第三步：私钥必须做离线U盘存储，不能和加密档案放在同一存储设备，公钥留存到加密服务器/电脑即可，避免私钥泄露导致全档案失密

2.2 批量加密脚本（可直接复制使用）

整理好档案后，用以下脚本实现自动批量加密，无需手动逐个操作，完整代码如下：

``` !/bin/bash 档案批量加密脚本 请修改下方配置项后使用 GRADE_ONE_DIR="/your/path/to/level1" 一级绝密档案目录，改为你自己的绝对路径 GRADE_TWO_DIR="/your/path/to/level2" 二级机密档案目录，改为你自己的绝对路径 GPG_KEY_ONE="16位一级密钥ID" 替换为你刚才生成的一级密钥ID GPG_KEY_TWO="16位二级密钥ID" 替换为你刚才生成的二级密钥ID 一级档案加密 find $GRADE_ONE_DIR -type f \( -iname ".pdf" -o -iname ".doc" -o -iname ".docx" -o -iname ".xls" -o -iname ".xlsx" -o -iname ".txt" \) ! -name ".gpg" | while read file; do gpg --encrypt -r $GPG_KEY_ONE --output "$file.gpg" "$file" && rm -f "$file" done 二级档案加密 find $GRADE_TWO_DIR -type f \( -iname ".pdf" -o -iname ".doc" -o -iname ".docx" -o -iname ".xls" -o -iname ".xlsx" -o -iname ".txt" \) ! -name ".gpg" | while read file; do gpg --encrypt -r $GPG_KEY_TWO --output "$file.gpg" "$file" && rm -f "$file" done ```

脚本使用步骤：

• 1. 将上述代码保存为encrypt_archive.sh，修改配置项为你自己的信息
• 2. 终端执行命令 chmod +x encrypt_archive.sh 赋予执行权限
• 3. 执行 ./encrypt_archive.sh 即可自动完成所有对应档案的加密，Windows系统可在安装Git Bash后执行该脚本，单文件可直接用Kleopatra右键加密

三、制度规则建设：明确流程与权责

3.1 日常操作流程规范

• 新增档案：由档案管理员定级后放入对应目录，执行加密脚本，将信息录入《档案加密台账》，台账必须包含：档案名称、定级、加密时间、管理员签字
• 调阅解密：一级档案调阅必须填写《档案调阅申请单》，单位主要负责人签字同意后，取出离线存储的私钥解密，调阅完成后立即重新加密，私钥放回离线存储；二级档案需部门负责人签字同意后解密，调阅完成重新加密
• 销毁档案：过期档案销毁必须彻底删除，执行命令 shred -u 档案文件名.gpg，避免文件被恢复泄露

3.2 权责与审计规则

• 档案管理员：负责档案定级、加密、台账维护，每月1次核对所有敏感档案加密状态，发现未加密档案立即整改
• 密钥保管人：一级私钥由单位主要负责人保管，二级私钥由部门负责人保管，承担密钥泄露的对应责任
• 合规审计：每季度开展1次全单位档案加密审计，核对调阅申请记录与加密状态，形成审计报告，问题项限期整改

四、常见卡壳问题排查

• 加密后无法解密：检查是否密钥ID填写错误，或私钥和公钥不匹配，不要混用不同级别的密钥
• 脚本不执行：检查目录路径是否为绝对路径，是否已经执行chmod +x赋予执行权限
• Windows图形化操作错误：安装GnuPG时勾选全部组件，Kleopatra导入私钥后才可解密，导入错误需要重新导入对应密钥

按照上述步骤操作，即可完成技术+制度结合的完整档案加密体系，全程零成本，所有环节可落地，不需要额外采购付费工具。