档案数字化整理与 ISO27001 认证落地的七步实操指南

一、核心概念澄清：档案整理与ISO27001的关系

档案整理是ISO27001信息安全管理体系认证中，对“A.8 资产管理”和“A.9 访问控制”等控制项的具体实践。其核心目标是将物理或电子档案的管理过程标准化、可审计化，确保信息资产的保密性、完整性和可用性。

二、准备阶段：明确范围与组建团队

在开始任何操作前，必须完成两项准备工作。

1. 界定档案整理范围

使用以下表格，明确本次整理涉及的具体信息资产类别，这是后续所有工作的边界。

2. 组建核心实施小组

小组必须包含以下角色，并明确其职责：

• 负责人（1名）：来自管理层，负责资源协调与最终审批。
• 执行组长（1名）：熟悉业务与流程，负责制定计划并推动落地。
• 部门接口人（若干）：各业务部门指定，负责本部门档案的盘点、分类与移交。
• IT支持（1名）：负责电子档案管理系统权限、备份等技术配置。

三、第一步：现状盘点与分类分级

1. 物理档案盘点

为每一份或每一类档案创建一个盘点记录表，可使用Excel，字段如下：

• 档案编号（暂留空）
• 档案名称
• 所属部门/责任人
• 存放位置（精确到柜、层）
• 介质类型（纸质/光盘/硬盘等）
• 创建日期/有效期
• 初步密级（按“公开”、“内部”、“秘密”、“机密”初步标识）

2. 电子档案盘点

在服务器或共享盘根目录执行以下命令，生成文件树状清单（以Linux为例）：

find /path/to/archive -type f -exec ls -lh {} \; | awk '{print $5, $6, $7, $8, $9}' > file_inventory_$(date +%Y%m%d).txt

对清单进行人工复核，记录文件用途、责任人和初步密级。

四、第二步：制定档案管理策略

这是满足ISO27001控制要求A.8.1.1（资产清单）、A.8.2.1（信息分类）的关键文档。策略文件需包含以下章节：

• 分类标准：明确定义“公开、内部、秘密、机密”四级的具体判断准则。
• 标识规范：规定物理档案封面标签格式、电子文件命名与元数据规则。
• 存储与保管要求：规定不同密级档案的存储环境（如机密文件需入保险柜）、备份周期（如每日增量、每周全备）。
• 访问控制矩阵：以表格形式定义不同角色（如员工、经理、总监）对各级别档案的“读、写、复制、删除”权限。
• 保留与销毁策略：明确各类档案的最短保留期限（如财务凭证保留30年）及销毁流程（需双人监督并记录）。

五、第三步：执行标准化整理操作

1. 物理档案整理步骤

编号：采用“部门代码-年份-类型-序号”规则，如“HR-2023-CONTRACT-001”。使用标签机统一打印粘贴。

装盒与索引：将已编号档案按顺序装入标准档案盒，盒脊贴上包含编号范围、名称、密级的标签。同时创建该档案盒的电子索引表。

上架：根据密级放入指定文件柜，柜外张贴显眼的密级标识。

2. 电子档案整理步骤

目录重构：在服务器创建如下标准目录结构：

/公司档案/
├── 公开/
├── 内部/
│   ├── 行政/
│   ├── 人事/
│   └── ...
├── 秘密/
└── 机密/

迁移与命名：将盘点后的文件按策略迁移至对应目录。统一使用“YYYYMMDD_档案名称_版本号_责任人”格式重命名文件，例如：20231027_员工手册_v2.0_张三.pdf。

权限设置：根据访问控制矩阵，在操作系统或文件服务器上配置精确的目录权限。例如，在Linux上设置机密目录权限：

chmod -R 750 /公司档案/机密/
chown -R root:confidential_group /公司档案/机密/

六、第四步：建立配套流程与记录

ISO27001强调“说、写、做一致”，必须建立并执行以下四个流程：

• 档案借阅流程：设计《档案借阅申请单》，必须包含申请人、档案编号、用途、预计归还日期、审批人签字栏。借出时需登记，归还时需核销。
• 档案销毁流程：设计《档案销毁记录单》，必须包含销毁档案清单、销毁方式（碎纸/消磁/覆盖）、销毁人、监督人、日期。销毁过程需拍照或录像留存。
• 定期盘点流程：规定每季度或每半年对高密级档案进行100%盘点，对普通档案进行抽样盘点，填写《档案盘点差异报告》。
• 变更管理流程：档案密级、保管责任人、存储位置发生变更时，需提交申请，经审批后更新资产清单，并通知所有相关人员。

所有流程记录表单必须保存至少3年，作为管理评审和认证审核的证据。

七、第五步：选择与配置管理工具（可选但推荐）

对于电子档案，使用专业工具能极大提升管理效率和合规性。

1. 开源方案：使用NextCloud搭建

安装后，进行关键配置：

启用文件访问控制插件：在应用商店中启用“File Access Control”应用。

配置分类标签：在“设置”->“管理”->“文件分类”中，创建“内部”、“秘密”等标签，并关联到对应的颜色。

设置访问规则：在“File Access Control”中，创建规则，例如：“为所有带有‘秘密’标签的文件，禁止分享链接，禁止下载到本地”。

配置审计日志：确保“设置”->“管理”->“日志”已开启，记录所有文件的查看、下载、分享操作。

2. 商用方案关键评估点

如果采购商用系统，必须要求供应商提供以下功能的演示或证明：

• 细粒度的权限控制（到文件级别）。
• 完整的操作审计日志，且日志不可篡改。
• 支持文件自动加密存储。
• 支持与AD/LDAP等企业身份源集成。

八、第六步：内部培训与意识宣贯

培训内容必须具体，避免空谈安全意识。

培训材料：制作一份《档案管理实操速查卡》，内容需包括：如何申请借阅、如何正确命名电子文件、如何识别档案密级标签、发现违规行为向谁报告（附上具体联系人邮箱和电话）。

培训方式：组织1小时线下或线上会议，由执行组长讲解，重点演示借阅申请单的填写和电子档案的正确上传步骤。培训后，要求所有涉密岗位员工签署《档案安全管理承诺书》。

九、第七步：内部审计与持续改进

在认证审核前，必须进行至少一次完整的内部审计。

1. 审计检查表

依据管理策略和流程文件，制定检查项：

• 随机抽取10份“秘密”级档案，检查其物理存放位置是否与清单一致，借阅记录是否完整。
• 在电子系统中，检查“机密”目录的权限列表，是否与访问控制矩阵完全一致。
• 检查过去3个月的《档案销毁记录单》，手续是否完整，是否有监督人签字。
• 访谈3名不同部门的员工，询问其档案分类标准和借阅流程，评估培训效果。

2. 管理评审与改进

将内部审计发现的问题汇总成《不符合项报告》，召开管理评审会议。针对每个问题，制定具体的纠正措施、明确的责任人和完成截止日期。例如：“问题：研发部部分代码档案未按新规则命名。措施：由IT支持张三于11月30日前，对‘/公司档案/内部/研发/’目录下的文件进行批量重命名脚本处理，并通知部门接口人李四后续监督。” 此过程记录将直接成为认证审核中“持续改进”的有力证据。

完成以上七步，你的档案管理体系不仅满足了ISO27001认证的核心要求，更形成了一套可长期运行、持续优化的安全运维机制。