OCR数字化档案的合规存储与访问控制：从纸质到数字的法规衔接

OCR 之后，文件的风险面变大了

纸质档案扫描后只是图片，里面的内容无法被检索，某种意义上"藏"得很安全。一旦做了 OCR，档案里就多了一层可被全文检索的文本——姓名、身份证号、金额、诊断，全部变成了可以用一个关键词捞出来的东西。

这是很多人没有预期到的后果：数字化提升了可用性，也提升了泄露时的暴露面。所以在做档案数字化的同时，访问控制与检索审计需要同步跟上，而不是等上线之后再补。

存储：分层比加密更重要

• 按敏感度分库存放，高敏感档案不与普通档案共用同一套权限；
• 原文与文本层分开考虑——文本层是真正被检索的部分，权限应当至少与原文同级；
• 备份同样在管控范围内，很多泄露发生在备份而不是生产库。

访问控制：检索行为本身要留痕

对数字化档案而言，"谁能看到"只是第一层，"谁搜过什么"同样重要。批量检索敏感关键词是一个明显的异常信号——正常的业务查阅不会一次捞出一千条身份证号。建议对检索行为做日志记录，并对批量导出设置阈值与审批。

保留期限

档案数字化不改变法定保留期限。会计档案、病历、人事档案各有各自的年限要求，到期应当按程序销毁——包括文本层、索引和备份，而不是只删原文。索引里残留的元数据同样属于需要清理的范围。

一份可执行的清单

• 数字化前先做分类，确定哪些档案属于高敏感；
• OCR 完成后抽查识别结果，尤其是数字与姓名——识别错误会导致检索遗漏；
• 为文本层单独设置访问权限，不低于原文；
• 开启检索日志，对批量检索与批量导出设阈值；
• 到期销毁时，把文本层、索引与备份一并纳入销毁范围。