档案数字化外包（档案数字化外包安全管理规范）

　　档案服务通常包括档案寄存服务、档案数字化服务、档案整理服务、档案管理咨询服务、档案开发利用服务、档案销毁服务等几种业务类型。（引自DA/T68.1-2020档案服务外包工作规范第一部分：总则），本文先就档案数字化服务外包所涉及的法规和标准进行梳理，其他几种外包服务的法规标准梳理后续推出。

　　档案数字化外包共涉及：

　　一个法规：

　　档办发〔2014〕7号《档案数字化外包安全管理规范》

　　一个国家标准：

　　GB/T33870-2017干部人事档案数字化技术规范

　　七个行业标准：

　　DA/T31-2017纸质档案数字化规范

　　DA/T43-2009缩微胶片数字化技术规范

　　DA/T52-2014档案数字化光盘标识规范

　　DA/T62-2017录音录像档案数字化规范

　　DA/T68.1-2020档案服务外包工作规范第一部分：总则

　　DA/T68.2-2020档案服务外包工作规范第二部分:档案数字化服务

　　DA/T71-2018纸质档案缩微数字一体化技术规范

　　根据行业和专业特点，各主管部门亦会发布更有针对性的档案数字化技术规范，本文不再对细分领域的档案数字化技术标准赘述

　　《档案数字化外包安全管理规范》属法规性文件，关注档案数字化外包的安全，具有强制执行效力。国家标准和行业标准属推荐性文件，除包含《档案数字化外包安全管理规范》中的内容外，还对档案数字化外包的工作过程、安全保密管理和技术质量要求进行了全方位的补充，其执行效力低于法规，但无特殊原因和正当理由，亦不能轻易违反。

　　本文的梳理逻辑为：

　　1.在安全方面先看《档案数字化外包安全管理规范》的硬性要求，再看国标和行标对其进行的补充和细化。

　　2.在工作过程和技术质量方面，主要看档案服务外包工作规范（DA/T68-2020）的总体要求，不再赘述具体的技术指标。

　　一、对发包方档案部门的要求

　　《档案数字化外包安全管理规范》对发包方的档案部门提出了如下要求：

　　成立由主要领导或分管领导同志参加的档案数字化外包管理组织，明确档案数字化管理的部门、人员及其职责。【标准补充内容：DA/T68.1-2020档案服务外包工作规范第一部分：总则6.2.2.2发包方应明确档案服务外包工作责任部门和负责人,实行责任制。】

　　根据档案数字化总体规划，确定数字化外包档案的范围，提出档案数字化外包安全管理要求和技术指标。【标准补充内容：DA/T68.1-2020档案服务外包工作规范第一部分：总则6.2.2.1发包方应制定档案服务外包工作规划,并得到有效的授权和批准。】

　　提出档案数字化外包招标文件中有关安全管理的要求，协助制定招标文件，审定合同。

　　对数字化服务机构的相关资质、业绩、人员、设备和加工软件等进行考察，并了解是否存在违约行为、安全事故等不良记录。在同等条件下，应优先选用具有与数字化加工相关涉密资质的数字化服务机构。

　　【标准补充内容：DA/T68.1-2020档案服务外包工作规范第一部分：总则6.2.3.2发包方应根据国家法律法规的规定、自身战略和业务的需要、档案的特点及其管理要求,明确对承包方的基本要求:承包方应为依法注册的法人,具有独立承担民事责任的能力;承包方具有履行合同所必需的经营执照和相关资质、许可证明;承包方应具有履行合同所必需的服务能力、经验和信誉等。

　　6.2.3.4发包方应要求承包方提供有关股权结构、法定代表人身份、实际控制人身份、重要高级管理人员身份的文件或证件,营业执照和其他资质、许可文件或证件,对这些文件或证件的原件予以核实后保存其复印件。】

　　建立档案数字化安全保密制度，与数字化服务机构签订安全保密协议，并对档案数字化加工人员进行安全保密教育。

　　【标准补充内容：DA/T68.1-2020档案服务外包工作规范第一部分：总则7.5.2.5承包方应与员工签订书面的保密协议(或保密承诺书),要求员工承诺在工作过程中不摘抄、删改、复制、泄露发包方的档案和其他信息。】

　　制定档案实体交接、数字化加工过程管理、数字化成果验收与交接、存储介质管理、档案实体保护等操作规程或规章制度。

　　建立档案数字化外包项目管理档案，记录档案部门和数字化服务机构实施档案数字化外包项目的全过程。

　　【标准补充内容：DA/T68.1-2020档案服务外包工作规范第一部分：总则6.2.6.3发包方应将在整个档案服务外包工作中形成的具有保存价值的文件材料归档保存,以备日后查用。

　　DA/T68.2-2020档案服务外包工作规范第二部分:档案数字化服务4.3.2发包方应要求承包方将直接参与本项目档案数字化加工过程的员工名单向发包方备案。

　　4.4.1.2发包方应要求承包方将档案数字化加工成果相关的各种工作文件、日志、记录、元数据等一并移交给发包方。

　　5.8.3承包方应将各种工作人员名单、访客名单、保密承诺书、档案交接单、工作流程单、项目验收报告,以及工作过程中形成的其他记录归档保存两份,其中一份提交发包方。】

　　建立监管机制，对数字化服务机构的保密、安全措施落实情况进行监督、检查，防止档案实体受损、丢失，杜绝数字化服务机构擅自复制、留存、使用档案信息的行为。

　　【标准补充内容：

　　DA/T68.1-2020档案服务外包工作规范第一部分：总则6.2.5.1发包方应当对合同的执行情况进行全过程、全方位的监控。

　　6.2.5.2发包方应将直接参与本项目的承包方员工名单予以备案,并对其进行行为规范要求的交底或培训。

　　6.2.5.3发包方应至少每6个月对承包方主要工作场所进行1次实地检查。6.2.5.4发包方应至少每年获取1次承包方自我评估报告或第三方机构评估报告。

　　6.2.5.8发包方应采取措施防止承包方在完成或中止合同后存留发包方的档案及其他涉密或敏感信息。

　　DA/T68.2-2020档案服务外包工作规范第二部分:档案数字化服务4.4.2.2发包方应对承包方自带的各种硬件设备和软件系统进行检查,以确保其无信息留存。】

　　二、对承包方的要求

　　《档案数字化外包安全管理规范》对承包方提出了如下要求：

　　数字化服务机构必须具有工商管理部门核发的有效营业执照，业务范围必须包括档案数字化加工或数据处理类项目。数字化服务机构的法人必须是中华人民共和国境内注册的企业法人或事业单位法人，股东及工作人员必须为中华人民共和国境内公民，国家另有规定的除外。

　　数字化服务机构的工作人员必须提供本人身份证明和公安部门提供的无犯罪记录证明，必要时提供政审材料。数字化服务机构必须与其工作人员签订符合国家劳动法律法规要求的劳动合同。

　　【标准补充内容：DA/T68.1-2020档案服务外包工作规范第一部分：总则7.3.1.2承包方应根据国家劳动法律法规,与员工签订书面劳动合同,履行用人单位义务,保障劳动者权益。】

　　数字化服务机构必须制定并执行数字化安全保密制度，制定并执行档案实体交接、数字化加工过程管理、数字化成果验收与交接、存储介质管理、档案实体保护等操作规范和管理制度。

　　数字化服务机构应建立安全岗位责任制，配备专人负责安全保密工作。【标准补充内容：DA/T68.1-2020档案服务外包工作规范第一部分：总则7.5.2.4承包方应对组织内部关键岗位实行保密安全责任制,确保保密措施的具体落实及泄密责任可追究。】

　　数字化服务机构应对工作人员进行安全保密教育和必要的上岗培训，并与工作人员签订保密协议，明确规定工作人员不得阅读、摘抄、外泄档案内容和其他安全保密责任、义务。安全保密协议应报送档案部门备案。

　　【标准补充内容：DA/T68.1-2020档案服务外包工作规范第一部分：总则7.3.1.5承包方应对所有员工进行不少于5天的岗前培训,至少每年开展1次不少于1天的在岗培训。培训内容应涵盖档案法律法规、档案管理、质量管理、保密管理、风险管理、知识产权管理、环境管理和职业健康管理等方面的知识和要求。

　　承包方应组织员工参加由档案行政管理部门、保密行政管理部门、客户举办的相关法规或档案培训。】

　　数字化服务机构必须积极支持、配合档案行政管理部门的安全保密检查。

　　除以上《档案数字化外包安全管理规范》对承包方的要求外，《DA/T68.1-2020档案服务外包工作规范第一部分：总则》还对风险管理提出了要求:

　　7.5.2.7承包方应制定应急管理处置预案,响应突发的泄密事件,将泄密事件的不良影响最小化。

　　三、对数字化加工场所和设备的要求

　　《档案数字化外包安全管理规范》对数字化加工场所和设备提出了如下要求：

　　数字化加工场所应配备满足安全管理需要的视频监控设备，确保档案暂存处、数字化加工工位、服务器、数据导出端及门窗等无监控死角；视频监控系统应由档案部门专人负责，数字化加工场所设于档案部门之外的，档案部门应定期检查视频监控系统。

　　数字化服务机构应将视频监控数据移交档案部门保存；视频监控数据自产生之日起保存不少于6个月；档案部门应定期对视频监控数据进行回放检查，在删除视频监控数据之前，要留存视频回放安全检查记录。

　　【标准补充内容：DA/T68.2-2020档案服务外包工作规范第二部分:档案数字化服务4.2.4.4发包方应自行或要求承包方在档案数字化加工场所安装视频监控系统。】

　　数字化加工场所须封断所有档案数字化加工设备的无线网络功能，并定期进行相关检测。档案数字化加工网络要与其他网络物理隔离，禁止使用无线网卡、无线键盘、无线鼠标等设备。

　　数字化工作人员存放随身物品要有专用储物箱柜，并与档案装具分区放置；数字化加工场所不得有非工作需要的私人物品，包括照相机、摄像机、手机、录音机、笔记本电脑、平板电脑等各类电子设备和各类移动存储介质；严禁擅自将数字化加工场所内的物品带离现场。

　　工作人员要挂牌上岗，接受身份核查登记和安全检查，严禁无关人员进入数字化加工场所。工作人员不得在数字化加工场所内从事与数字化无关的活动，严禁在数字化加工区内喝水、进食、吸烟等，严禁携带火种进入数字化加工场所。

　　档案部门和数字化服务机构应指定有关人员经常对数字化加工场所进行巡查，确保有关数字化加工和管理的各项规章制度和操作规范得到切实贯彻和执行。

　　【标准补充内容：DA/T68.2-2020档案服务外包工作规范第二部分:档案数字化服务5.4设备管理和5.5现场管理两个章节进行了进一步细化，这里不再赘述】

　　四、对数字化技术标准的要求

　　一般性的纸质档案数字化按照DA/T31-2017纸质档案数字化规范执行，其中干部人事档案的数字化按照GB/T33870-2017干部人事档案数字化技术规范执行。数字化的同时还要生成缩微胶片的按照DA/T71-2018纸质档案缩微数字一体化技术规范执行。

　　录音录像档案数字化按照DA/T62-2017录音录像档案数字化规范执行

　　缩微胶片数字化按照DA/T43-2009缩微胶片数字化技术规范执行

　　数字化成果光盘按DA/T52-2014档案数字化光盘标识规范进行标识

　　五、对涉密档案数字化外包的要求

　　档案按照敏感程度分为三大类：

　　国家秘密类：国家秘密是指关系国家的安全和利益，依照法定程序确定，在一定时间内只限一定范围的人员知情的事项。《中华人民共和国保守国家秘密法》对有关的问题作了规定。国家秘密的密级分为“绝密”、“机密”、“秘密”。

　　工作秘密类：属于各单位内部不宜公开的内容，不同单位叫法略有不同，比较常见的叫法有内部文件、敏感信息、工作秘密、商业秘密等。

　　普通类：内容可以公开的。

　　以干部人事档案为例：

　　1.国家领导人、中央管理干部和省管干部（部分省市的县级党政一把手也属省管干部）的档案属于国家秘密，必须要求承包方有涉密载体印制资质（数字化）。

　　2.一般性的处级及以下干部的档案属于工作秘密。《档案数字化外包安全管理规范》要求在同等条件下应优先选用具有与数字化加工相关涉密资质的数字化服务机构。但发包方在选择承包方时，更应着重考察承包商的安全保密意识和保密管控措施。

　　3.工作秘密等级的档案数字化外包项目如一味强调涉密资质，可能出现“门槛导致高价、高价促成转包”的现象，发包方应加强管理，防止此类现象产生。

　　档案数字化外包安全管理规范

　　一、总则

　　1.1为加强档案数字化外包安全管理，确保档案数字化过程中档案实体与信息安全，根据国家有关规定和标准，制定本《规范》。

　　1.2各级各类档案馆、室等档案部门（以下简称“档案部门”）开展档案数字化外包工作，具有独立法人身份的档案数字化加工服务机构（以下简称“数字化服务机构”）承担档案数字化外包服务，应遵循本《规范》开展安全管理工作。档案部门自行开展档案数字化时，可参照本《规范》实施安全管理。

　　1.3本《规范》所称数字化外包档案指非涉密档案，涉密档案数字化按国家有关规定执行。

　　1.4档案数字化外包安全管理应按照“安全第一、预防为主”的原则，采取科学有效的安全管理措施，应用确保档案安全的技术手段，建立权责明确、覆盖档案数字化全过程的岗位责任制，对档案数字化全过程实行严格监督和管理，确保档案实体与信息安全。

　　二、档案部门的安全管理

　　2.1成立由主要领导或分管领导同志参加的档案数字化外包管理组织，明确档案数字化管理的部门、人员及其职责。

　　2.2根据档案数字化总体规划，确定数字化外包档案的范围，提出档案数字化外包安全管理要求和技术指标。

　　2.3档案数字化外包招标文件中有关安全管理的要求，协助制定招标文件，审定合同。

　　2.4对数字化服务机构的相关资质、业绩、人员、设备和加工软件等进行考察，并了解是否存在违约行为、安全事故等不良记录。在同等条件下，应优先选用具有与数字化加工相关涉密资质的数字化服务机构。

　　2.5建立档案数字化安全保密制度，与数字化服务机构签订安全保密协议，并对档案数字化加工人员进行安全保密教育。

　　2.6制订档案实体交接、数字化加工过程管理、数字化成果验收与交接、存储介质管理、档案实体保护等操作规程或规章制度。

　　2.7建立档案数字化外包项目管理档案，记录档案部门和数字化服务机构实施档案数字化外包项目的全过程。

　　2.8建立监管机制，对数字化服务机构的保密、安全措施落实情况进行监督、检查，防止档案实体受损、丢失，杜绝数字化服务机构擅自复制、留存、使用档案信息的行为。

　　三、数字化服务机构的安全管理

　　3.1数字化服务机构必须具有工商管理部门核发的有效营业执照，业务范围必须包括档案数字化加工或数据处理类项目。

　　3.2数字化服务机构的法人必须是中华人民共和国境内注册的企业法人或事业单位法人，股东及工作人员必须为中华人民共和国境内公民,国家另有规定的除外。

　　3.3数字化服务机构的工作人员必须提供本人身份证明和公安部门提供的无犯罪记录证明，必要时提供政审材料。

　　3.4数字化服务机构必须与其工作人员签订符合国家劳动法律法规要求的劳动合同。

　　3.5数字化服务机构的人员数量与素质、技术与管理水平、设施与设备状况能够满足拟承担项目的要求。

　　3.6数字化服务机构必须制订并执行数字化安全保密制度，制订并执行档案实体交接、数字化加工过程管理、数字化成果验收与交接、存储介质管理、档案实体保护等操作规范和管理制度。

　　3.7数字化服务机构应建立安全岗位责任制，配备专人负责安全保密工作。

　　3.8数字化服务机构应对工作人员进行安全保密教育和必要的上岗培训，并与工作人员签订保密协议，明确规定工作人员不得阅读、摘抄、外泄档案内容和其他安全保密责任、义务。安全保密协议应报送档案部门备案。

　　3.9数字化服务机构必须积极支持、配合档案行政管理部门的安全保密检查。

　　四、数字化场所的安全管理

　　4.1数字化加工场所一般设在档案部门独立、可封闭的建筑内。

　　4.2数字化加工场所应符合防盗、防火、防尘、防水、防潮、防高温、防日光及紫外线照射、防有害生物、防污染等安全管理要求。

　　4.3数字化加工场所应配备满足安全管理需要的视频监控设备，确保档案暂存处、数字化加工工位、服务器、数据导出端及门窗等无监控死角；视频监控系统应由档案部门专人负责，数字化加工场所设于档案部门之外的，档案部门应定期检查视频监控系统，数字化服务机构应将视频监控数据移交档案部门保存；视频监控数据自产生之日起保存不少于6个月；档案部门应定期对视频监控数据进行回放检查，在删除视频监控数据之前，要留存视频回放安全检查记录。

　　4.4数字化加工场所应配备符合国家标准并满足工作需要的档案装具，用于分别存放待数字化处理和已数字化处理的档案。

　　4.5数字化加工场所须封断所有档案数字化加工设备的无线网络功能，并定期进行相关检测。

　　4.6数字化工作人员存放随身物品要有专用储物箱柜，并与档案装具分区放置；数字化加工场所不得有非工作需要的私人物品，包括照相机、摄像机、手机、录音机、笔记本电脑、平板电脑等各类电子设备和各类移动存储介质；严禁擅自将数字化加工场所内的物品带离现场。

　　4.7工作人员要挂牌上岗，接受身份核查登记和安全检查，严禁无关人员进入数字化加工场所。

　　4.8工作人员不得在数字化加工场所内从事与数字化无关的活动，严禁在数字化加工区内喝水、进食、吸烟等，严禁携带火种进入数字化加工场所。

　　4.9档案部门和数字化服务机构应指定有关人员经常对数字化加工场所进行巡查，确保有关数字化加工和管理的各项规章制度和操作规范得到切实贯彻和执行。

　　五、数字化加工设备、网络环境与数据载体的安全管理

　　5.1档案数字化加工过程中建议使用档案部门提供的相关设备，使用数字化服务机构设备的，档案部门应当对其进行必要的安全检查。

　　5.2档案数字化加工使用的计算机、扫描仪等设备，必须采用技术手段或专业物理设备封闭所有不必要的信息输出装置或端口，如USB接口、红外线、蓝牙、SCSI接口、光驱接口等，封闭的装置或端口要定期进行检查。

　　5.3档案数字化加工过程中推荐使用国产设备并使用正版软件。数据安全与网络监控软硬件必须使用通过国家安全认证的国产品牌产品。除必要的操作系统、杀毒软件、加工软件和第三方安全管理软件外，档案数字化加工计算机不允许安装任何与加工无关的软件。

　　5.4档案数字化加工网络要与其他网络物理隔离，禁止使用无线网卡、无线键盘、无线鼠标等设备。

　　5.5档案数字化加工网络环境中应配备具有权限管理、设备管理、端口管理、日志管理和安全审计等功能的数字化加工安全保护系统，准确记录授权用户的访问行为、设备接入和电子档案信息流向等信息。

　　5.6档案数字化加工系统应具备流程定义、任务分配、过程跟踪、质量检测、成品制作、数据验收、数据备份管理等功能，并分别设置管理员、保密员、审计员，实行“三员分离”。

　　5.7档案数字化加工过程中建议由档案部门提供计算机等设备的硬盘、移动存储介质以及无法确保数据可靠清除的设备，并逐一进行检查、登记。数字化工作完成后，这些设备必须交由档案部门统一保管或销毁，严禁擅自带走。

　　5.8用于档案数字化加工的设备和存储介质严禁与其他设备和存储介质交叉使用，非数字化专用的设备和存储介质严禁带入数字化加工场所。

　　5.9档案数字化过程中使用的移动存储介质和刻录设备应由档案部门指定专人保管，并对使用情况进行记录。档案数字化成果的拷贝和刻录应相对集中。档案部门应指定专人负责移动存储介质数量的清点，数字化服务机构完成拷贝或刻录的数据介质（包括损坏的数据介质）应及时交接给档案部门指定的人员，并办理交接手续。

　　5.10档案数字化设备和存储介质不得擅自送外维修，必须送外维修的应办理书面审批手续，并由档案部门人员现场监督。

　　5.11处理尚未开放档案的信息设备的管理和使用应符合国家有关秘密载体管理和使用的相关规定。

　　六、档案实体的安全管理

　　6.1档案部门要对拟数字化的档案进行涉密性、完整性、有序性及档案实体与目录的一致性检查。涉密档案要予以筛除，档案实体破损、残缺的要进行登记与处理，档案实体与文件目录不对应的要进行必要的记录或标示。

　　6.2档案部门人员应按照工作计划分批调档，并与数字化服务机构的档案接收人员进行清点、核对，双方确认准确无误后填写档案交接清单一式两份，注明交接档案的内容、数量、状况、交接时间和经办人等。

　　6.3档案数字化加工不得损毁档案，出现档案损毁的，需按有关规定进行处罚，并进行修复和登记。需要拆装档案时，应尽可能地保持档案原貌。

　　6.4档案数字化过程中要建立档案流程单，流程单包括档号、加工工序、设备编号、数量、经手人、加工时间等，数字化加工过程中档案流程单应与档案实体同步流转。

　　6.5档案数字化过程中发现有涉密标识且无解密标识的档案，数字化外包服务机构应停止该档案的数字化加工，在登记目录后立即将档案移交档案部门。

　　6.6正在进行数字化加工的档案必须每天入库（柜），不得在加工工位上留存过夜。

　　6.7数字化档案要专人专柜保管，数字化加工完毕的档案要及时归还入库。对于离库时间较长或有虫霉隐患的档案，应进行消毒杀虫处理。

　　七、档案数字化成果移交接收与设备处理的安全管理

　　7.1档案数字化任务完成后，档案部门应组织专业人员按照本《规范》的要求，对向档案部门移交的数字化加介质（如存储介质、移动介质、备份介质等）、加工监控视频回放安全检查记录、档案实体出入库交接记录、加工人员变更记录等进行安全保密专项验收；凡未开展安全保密专项验收或验收不合格的，不得对项目进行总体验收。

　　7.2档案数字化成果必须通过完整性、准确性、可性和安全性检测，检测合格后双方办理数据交接手续。

　　7.3档案数字化任务完成后，数字化服务机构应会同档案部门拆除其自带加工设备中的硬盘等存储介质，并将其与数字化过程中使用过的其他移动存储介质一起移交给案部门，并办理相关移交手续。

　　7.4档案数字化任务完成后，档案部门必须组织专业人员对数字化服务机构所用的设备进行检查，以确保其设备中无信息留存。凡存有信息的，必须作清除信息的安全处理。

　　7.5数字化服务机构应将档案数字化过程中形成的日志、记录等原始记录材料移交档案部门，作为项目档案内容进行管理。