档案管理系统三员分立是什么？三类职责怎么划分与落地

档案管理系统的三员分立，是指把系统管理员、安全保密员（也称安全管理员）、安全审计员三类职责分给三个不同的人，各管一摊、互相制约：管系统的人不批业务，批业务的人不改配置，管审计的人只能看、不能改。它是等级保护、分级保护对应用系统的基本要求，也是数字档案室测评、机关档案检查时常被问到的一项。

为什么档案系统要三员分立

档案系统里放的是单位的原始记录，很多带密级、控制使用范围。如果一个超级管理员什么都能做——建用户、改权限、删档案、批借阅、清日志——那么出了问题就说不清：是谁删的、谁批的、日志有没有被动过，全凭这一个人自己说。

三员分立要解决的就是「一个人说了算」的问题，核心有三点：

• 权力拆开：配置系统、处理业务、监督审计由不同的人做，任何一个人都不能独立完成「越权操作 + 抹掉痕迹」；
• 互相制约：系统管理员管配置但不批业务，安全保密员批业务但不改配置；所有人的操作，安全审计员都能看到；
• 有据可查：发生问题时，审计记录能还原「谁、在什么时间、对什么对象、做了什么」，而且审计记录本身不能被任何一员私自修改。

等级保护基本要求（GB/T 22239-2019）在第三级及以上对系统管理、审计管理、安全管理分别提出了要求；分级保护相关保密标准对三员设置要求更为严格。档案系统部署在这类网络环境中，应用层同样要做到三员分立，不能只在操作系统、数据库层面做。

三员各管什么：职责划分表

不同单位的叫法略有差异，但分工逻辑基本一致。以档案系统为例：

普通用户（档案员、利用者）不属于三员，按岗位授予著录、检索、借阅申请等功能权限即可。

有两条原则贯穿始终：

1. 三员不得由同一人兼任，也不应由一人同时持有两个角色的账号；
2. 三员的操作同样要被审计，包括系统管理员改配置、安全保密员审批，都要进日志，由安全审计员监督。

落地时的常见误区

很多系统在功能清单上写了「三员分立」，测评时却过不了，常见问题有这几类：

• 只在菜单上分开：页面上隐藏了按钮，但后端接口没有按角色鉴权，换个账号直接调接口照样能做。检查时测评人员往往会直接调接口验证；
• 保留了超级管理员：三员之外还有一个账号什么都能做，等于没有分立。初始化完成后应停用或收回这类账号；
• 审计员能改日志：审计员有「删除日志」「清空日志」的功能，或者日志存在普通表里、数据库管理员可以随意修改，日志的可信度无从谈起；
• 日志防篡改只靠权限：仅靠「没人有权限改」并不能证明日志没被改过。更稳妥的做法是对日志做摘要串联，任何一条被改动都能校验出来；
• 审批谁都能批：借阅、销毁的审批没有限定由哪类职责办理，任何管理员账号都能点「通过」。

验收和检查时看什么

数字档案室测评或安全检查时，可以按下面的清单自查：

• 系统中是否设置了三类管理角色，且由不同人员担任，有书面任命；
• 每个管理接口是否在后端按职责鉴权，越权调用是否被拒绝；
• 是否存在三员之外的超级管理员账号；
• 登录日志、操作日志是否完整记录账号、时间、对象、操作与结果；
• 日志是否有防篡改机制，能否给出校验结果；
• 借阅、销毁等审批是否限定办理职责，审批轨迹是否可查；
• 审计台账能否导出，便于离线核对和存档。

数字档案室从规划到测评的整体步骤，可参考《数字档案室建设流程与验收要点》；电子文件真实性、完整性等检测要求，可参考《电子文件四性检测是什么？》。

子书的做法

子书的守藏数字档案管理平台面向机关、事业单位的数字档案室，内置系统管理员、安全保密员、安全审计员三类职责：

• 后端按职责鉴权：用户管理、审批设置限系统管理员，删除档案、全宗维护、借阅与销毁审批等敏感操作限管理类职责，审计日志限审计相关角色查看；职责校验落在每个业务接口上，越权调用直接拒绝，不依赖页面隐藏按钮；
• 审计防篡改：登录日志与操作日志逐条以国密 SM3 摘要串成哈希链，可一键校验，任何一条被改动都会定位到具体位置；审计台账可导出，附带摘要，便于离线核对；
• 审批职责可配置：借阅、销毁可配置 1–3 级串行审批，并指定每一级由哪类职责办理，可按单位的三员制度配置为只由安全保密员审批，每张单据的逐级审批轨迹都可查；
• 生产环境加固：部署时强制使用外置密钥，未配置即拒绝启动，避免带着默认配置上线。

如需了解三员分立在档案系统中的具体配置，或评估贵单位数字档案室建设方案，可预约演示。