行業(yè)合集 | 派拉零信任身份安全醫(yī)療醫(yī)藥行業(yè)方案+案例合集

目前，醫(yī)藥行業(yè)的數(shù)字化發(fā)展涉及全產(chǎn)業(yè)鏈、多主體參與，包括研發(fā)、生產(chǎn)和醫(yī)藥流通等各個環(huán)節(jié)，數(shù)字化的解決方案在加快新藥研發(fā)、提升生產(chǎn)效率的同時，也帶來一定的風險挑戰(zhàn)。

生物藥或創(chuàng)新藥企業(yè)主要是以中小型企業(yè)為主，面向新藥的研發(fā)。目前，企業(yè)主要面臨如下挑戰(zhàn)：

• 關(guān)注業(yè)務和企業(yè)上市，而忽視企業(yè)信息安全建設，不滿足上市公司合規(guī)性監(jiān)管要求；

• 身份管理不規(guī)范，存在信息泄露、身份冒用、越權(quán)訪問等安全風險，無法保障研發(fā)過程中系統(tǒng)所產(chǎn)生的大量沉淀數(shù)據(jù)的安全；

• 未實現(xiàn)匹配員工生命周期的應用賬號和權(quán)限管理，核心人員離職時，由于信息不及時，存在賬號未及時回收的現(xiàn)象；

• 隨著業(yè)務發(fā)展，信息系統(tǒng)增多，系統(tǒng)之間數(shù)據(jù)交互需求增加，接口數(shù)據(jù)報錯無法及時發(fā)現(xiàn)和處理，影響前端業(yè)務正常運營；

傳統(tǒng)藥企主要以大型企業(yè)為主，目前存在如下挑戰(zhàn)：

• 藥企人員較多，系統(tǒng)多，不同的系統(tǒng)架構(gòu)不同，員工應用賬戶和權(quán)限，難以進行集中管控；

• 隨著企業(yè)不斷發(fā)展，不同應用系統(tǒng)中，企業(yè)組織架構(gòu)多樣，導致應用系統(tǒng)中員工與組織的對應關(guān)系混亂，應用權(quán)限難管理；

• 員工人事變動時，應用賬號和權(quán)限，無法自動同步變更，需手動維護，效率低；

• 信息流通不及時，應用系統(tǒng)內(nèi)部存在大量僵尸賬號、幽靈賬號；

• 沒有明確的身份管理標準和規(guī)范，企業(yè)數(shù)字化轉(zhuǎn)型難落地；

醫(yī)療器械作為特殊商品，關(guān)系到人民的生命安全，國家GXP管理標準對其有相當嚴格的要求。在醫(yī)療行業(yè)物流、倉儲等管理環(huán)節(jié)中，也存在一些難題。

• 沒有標準的人員管理規(guī)范SOP，實際管理中人員權(quán)限混亂，職責不清；

• 管理系統(tǒng)之間數(shù)據(jù)不互通，無法實現(xiàn)自動精細化人員身份管理；

由于醫(yī)院機構(gòu)的特殊性，患者預約信息、檢查檢驗信息、就診信息、醫(yī)學數(shù)據(jù)等醫(yī)療信息都是屬于緊急使用的信息，一旦這些數(shù)據(jù)被加密勒索，就會造成很大的影響，因此，在信息化建設過程中，存在以下挑戰(zhàn)：

• 管理人員、科室主任、門診主任等需管理多套系統(tǒng)的賬號密碼；

• 醫(yī)院員工修改密碼、申請權(quán)限等需要等待很長的時間周期；

• 總院與其下屬部門、分支機構(gòu)等存在數(shù)據(jù)壁壘；

• 醫(yī)院員工賬號存在大量弱密碼情況，不滿足安全合規(guī)的要求；

• 處方、電子病歷無人監(jiān)管，如有數(shù)據(jù)泄露，無法追溯到責任人；

  解決方案

   

  No.1醫(yī)藥行業(yè)-生物制藥企業(yè)

   

  目前，大部分生物制藥公司存在上市的需求，而公司內(nèi)部控制環(huán)境不完善、缺乏有效的監(jiān)督機制等問題嚴重影響公司在上市過程中的合法合規(guī)性要求。藥企安全法規(guī)《網(wǎng)絡安全空間法》、《等保條例》等國家信息安全通用法規(guī)中明確提出實行網(wǎng)絡安全等級保護制度、用戶身份的標識和鑒別以及權(quán)限訪問控制等要求。派拉零信任身份管理平臺通過數(shù)字身份安全服務支撐CSV法規(guī)，規(guī)范身份鑒別、可信認證、訪問控制、入侵防范及安全審計等IT制度，快速構(gòu)建“可信、可控、可管”的身份安全防護體系，滿足國家政策法規(guī)的合規(guī)要求；

   

  同時，實現(xiàn)藥企員工從辦公域訪問生產(chǎn)域時的受控訪問，員工所有的訪問行為均在可控的范圍之內(nèi)進行，確保不會出現(xiàn)越權(quán)操作，有效防止從外部發(fā)起的攻擊行為；

   

  對于離職員工，派拉零信任身份管理提供一鍵清權(quán)機制，有效避免離職員工再登錄到系統(tǒng)中訪問核心數(shù)據(jù)的操作；

   

  為藥企制定API管理集成規(guī)范，打通藥企上下游業(yè)務，并對非法的訪問請求進行攔截，實時記錄接口在運行過程中的問題及隱患，減少API數(shù)據(jù)泄露和攻擊風險。

  No.2醫(yī)藥行業(yè)-傳統(tǒng)藥企

   

  針對傳統(tǒng)藥企，派拉零信任身份管理平臺通過與藥企上游hr系統(tǒng)對接構(gòu)建權(quán)威用戶數(shù)據(jù)源，將組織架構(gòu)中的人員信息進行統(tǒng)一管理，保障員工在各個業(yè)務系統(tǒng)中身份數(shù)據(jù)的同步；

   

  為藥企員工提供全生命周期化的賬號管理機制，涉及到入職、離職、調(diào)崗只需員工在系統(tǒng)中進行權(quán)限變更申請即可，無須IT運維人員手動處理；

   

  另外，派拉零信任身份管理平臺可根據(jù)實際企業(yè)運行需求設置相應的策略模塊，定期對系統(tǒng)內(nèi)賬號掃描審核，有效規(guī)避僵尸賬號、孤兒賬號所帶來的安全隱患；

   

  對于權(quán)限濫用，數(shù)據(jù)泄露等風險，派拉零信任身份管理平臺根據(jù)藥企內(nèi)部多元化的管控需求，提供組織、用戶及應用的分級管理設置多元化的角色權(quán)限，實現(xiàn)身份的集中掌控和分級治理。

   

  No.3醫(yī)療行業(yè)

   

  國家GMP管理規(guī)范中明確要求，企業(yè)應當采取適當?shù)姆绞蕉沤^未經(jīng)許可的人員進入系統(tǒng)，企業(yè)系統(tǒng)中的關(guān)鍵數(shù)據(jù)，只有被授權(quán)人員方有修改權(quán)限。派拉零信任身份管理平臺根據(jù)醫(yī)療企業(yè)的業(yè)務邏輯，在設計系統(tǒng)功能模塊的同時，兼顧GMP規(guī)范要求，將倉庫管理軟件WMS、醫(yī)藥銷售追溯平臺等與企業(yè)下游ERP業(yè)務系統(tǒng)打通，實現(xiàn)數(shù)據(jù)的雙向交換，滿足醫(yī)療企業(yè)內(nèi)部大量的數(shù)據(jù)查詢與統(tǒng)計工作，從而最大限度的支持業(yè)務流程；

   

  根據(jù)醫(yī)療企業(yè)的合規(guī)要求，派拉零信任身份管理平臺提供基于ABAC的細粒度授權(quán)，將需要管理的應用系統(tǒng)的權(quán)限回收，并進行統(tǒng)一管理，依據(jù)員工的角色、崗位，職級等為其分配相應的權(quán)限，提升企業(yè)內(nèi)部信息化管理水平；

   

  同時，派拉零信任身份管理平臺集中授權(quán)管理中心對員工訪問行為進行集中、全局性的審計，保障管理員在系統(tǒng)應用、數(shù)據(jù)等發(fā)生問題時能夠方便地總覽各類相關(guān)的日志，實現(xiàn)可追溯式用戶管理體系。

  No.4醫(yī)院

   

  醫(yī)院中醫(yī)務人員使用的應用系統(tǒng)大多比較單一，門診醫(yī)生一般使用HIS系統(tǒng)，放射科醫(yī)生一般只使用PACS系統(tǒng)，但對于醫(yī)院管理人員而言，通常存在需要頻繁訪問各個業(yè)務系統(tǒng)的需求，派拉零信任身份身份管理平臺打通醫(yī)院運營管理系統(tǒng)、醫(yī)院臨床信息系統(tǒng)和醫(yī)院醫(yī)療管理系統(tǒng)以及總院與分院，總院與各個分支機構(gòu)之間的數(shù)據(jù)壁壘，醫(yī)院管理人員只需要一套賬號密碼，即可在無感知的情況下，跨系統(tǒng)訪問，有效提升醫(yī)院管理人員體驗感；

   

  同時，派拉零信任身份管理平臺提供自助服務模塊，醫(yī)務人員可自助進行密碼修改、個人信息修改、權(quán)限申請等操作，提升組織協(xié)同辦公效率；

   

  由于大多數(shù)醫(yī)院員工使用工號作為賬戶名，并設置初始密碼為空或弱密碼，且長期不進行密碼變更，長此以往，賬號被盜或者被攻擊的風險性極高?；谝陨锨闆r，派拉統(tǒng)一訪問控制平臺通過掃碼認證、短信認證等多種認證方式，增強系統(tǒng)訪問認證強度，并結(jié)合員工登錄的設備、網(wǎng)絡、時間等進行智能風險分析，實時監(jiān)測用戶登錄環(huán)境，對異常賬號進行攔截，有效增強系統(tǒng)訪問認證強度；

   

  在病人隱私信息安全監(jiān)管方面，派拉零信任身份管理平臺提供標準的權(quán)限管理規(guī)范，對醫(yī)務人員權(quán)限進行細粒度劃分，確保只有門診醫(yī)生、科室主任等人員有權(quán)限查看病人病人的處方、電子病歷等個人敏感信息，并且為每一個員工分配實名制賬號，實現(xiàn)醫(yī)務人員在系統(tǒng)中的所有操作均有跡可查，有效避免數(shù)據(jù)泄露時無法通過賬號追責到人的情況。