CIAPH 第八届医药健康行业信息化高峰论坛
康辰药业研发信息化之信息安全建设
2020-10-05  来源:CIAPH 中国医药健康信息化联盟

本文由CIAPH根据康辰药业信息部总监李博在“效率·数智·洞见——第八届医药健康行业信息化高峰论坛”的演讲整理

在“CIAPH—第八届医药健康行业信息化高峰论坛”研发主题会场,北京康辰药业信息部总监李博,做了“药企研发信息安全建设”的专题讲解。他主要分享了信息安全管理的标准化建设内容,也涉及到了康辰药业的信息安全建设经验,包括:风险点识别、设计思路、信息安全体系和实施方式等,结合实际场景细化了“管”、“控”、“查”等管理措施,还有预案措施、审计措施等补充方法。内容全面且详实,对药企实施研发信息安全建设具有很好的参考价值。 

李博

北京康辰药业 信息部总监 李博

各位行业同仁大家好,我是北京康辰药业李博,今天非常荣幸能够为大家分享研发信息安全相关的项目经验。除了分享研发信息化相关的行业认知之外,更多的是康辰药业多年来针对于研发的风险管控点,所形成的一套标准的能够落地实施的信息安全解决方案。为了将内容介绍的更加贴近于业务场景,首先带领大家一起来认识康辰药业。

一、康辰药业介绍

北京康辰药业股份有限公司于2003年成立,是一家基于自研药物成立的企业。2018年于沪市主板上市,是研产销一体化的高新技术企业。

公司自成立以来,非常重视研发工作,主要产品有国家一类止血新药苏灵、密盖息以及一类分子靶向药等。虽然产品主要是在止血领域,但是目前的所有在研项目主要集中于肿瘤药、生物大分子研发领域。近二十年新药创制的实战历程,康辰药业积累了丰富的创新药研发经验。从选题调研、产品甄别、临床前研究、临床研究,注册申报、工业化转换,到产品上市后的临床再研究,康辰建立起了完整的研发体系。

与传统制药企业不同,康辰药业更加贴近于互联网,注重企业文化体系建设,“塑行业一流模式,塑行业一流人才”的双一流工程有效推动了康辰药业人才职业价值的提升。 

二、安全定义

1、信息安全定义

信息安全是一个常态化的话题,也是行业IT同仁们需要日常面对的方面。信息安全没有绝对的安全,都是相对而言的,因此,虽然信息安全的定义大家都耳熟能详,但是需要我们时常多领会,常讲常新。广义来讲包括两个方面:

物理安全:指网络系统中各通信、计算机设备及相关设施等有形物品的保护,使他们不受到雨水淋湿、人为等灾害。

逻辑安全:包含信息完整性、保密性以及可用性等等。物理安全和逻辑安全都非常重要,任何一方面没有保护的情况下,网络安全就会受到影响。

2、信息安全种类

康辰药业在快速搭建持续支撑业务发展的信息化体系过程中,也在不断细化信息安全体系的认知和实践,结合企业的业务,将信息安全划分为以下5个种类:

设备安全:包含机房数据中心核心区域的设备设施安全,例如UPS、精密空调、动环监控等;

网络安全:包含企业内信息传输网络,企业内部骨干网络的访问安全,网络互连的高可用性,例如防火墙、负载均衡、防病毒等安全系统;日常态势感知系统,这是利用态势感知平台,将网络安全设备如防火墙、负载均衡等设备的终端安全,采用集中管理的方式进行的安全通道式管理;

系统安全:保证公司业务系统的连续性,包含系统的高可用性、业务数据的安全性,例如企业云、服务器监控系统等;

数据安全:包含公司信息系统数据库管理、结构化与非结构化数据管理,例如DMS、数据库审计系统等等;

管理安全:根据公司风险评估,确定管理需求,划分安全边界后通过信息化手段和相应配套的管理制度给予执行。

以上的前四点安全分类,绝大部分企业是可以做到的。研发是药品整个生命周期中的初始阶段,药物新品种的研发与公司的经营息息相关,价值极其重要,所以,研发的信息安全,需要一套管理安全体系及配套的管理制度来一起实现,这是今天分享内容的重点。 3、风险识别

风险识别是做信息安全的前提,因此,药企需要紧密结合业务形式,切割关键场景,找寻风险点:

主动泄密:研发人员计算机内储存大量在研文档,文件流动无法监控。具体表现为:人员离职文件交接不清、研发文件拷贝私用、离职前大量删除文件、文件肆意打印、文件肆意上传等等;

设备滥用:移动存储设备不受限,肆意拷贝,无记录可追溯。具体表现为:文件拷贝后不可追溯、U盘等存储肆意使用、笔记本等外接终端风险;

网络威胁:文件内容均为原文,木马攻击窃取后内容暴露。具体表现为:文件受病毒木马感染、办公网实验网互传;

安全意识:员工计算机数据缺乏有效管理,存在安全风险,计算机操作频繁复制粘贴、外发等,无清晰的内容边界。具体表现为:复制粘贴滥用、文件外发渠道过多、数据无法集中管理、无安全意识增加风险。

4、设计思路

信息安全的可能性与易用性是成反比的,如果一步到位的实施整个集团的信息安全管控是不现实的,也会存在一定的风险。因此,在康辰药业信息安全一期的主要范围是研究院,以此作为试点。

整体设计思路是:IT部门细致研究业务场景,划分清楚边界再制定相应管理策略并实施。针对于研究院内部,各部门之间的分工很细,部门职能也是不同的,部门之间有大量需要协作和传递的工作,所以,研究院内部可以是信息透明的,可以划分在同一信息边界,研究院内部文件经加密传输。例如:在药品注册节点的前一年内,注册部就需要准备相应的注册资料,需要和药理部、实验室等各部门做大量的数据交互,因此,在同一信息边界内的话,可以兼顾传输安全性和业务便利性。

在边界之内的信息传输和交互是安全的,一旦跨出信息边界,就需要走相应的管理流程了,需要加解密以增强安全管控,也需要通过相应的信息化手段,如增加解密次数管控等,实现与外部组织之间的协同与合作。

李博1.png

5、信息安全体系

信息安全体系主要分为三个维度来建设:

“管”:对于信息传输渠道和方式的集中管理,主要涉及账号、共享、终端、文件、备份等;

“控”:主要方式是文档加密,包括文件加解密、剪贴板禁用、日志记录、即时通讯、准入控制等;

“查”:主要是监控审计,例如网络监控、打印内容、邮件内容、文件记录、设备管控等。

李博2.png

6、实施方式

信息安全的实施过程中,我们将技术角度与管理角度并重、管理先行的方式来推进。

康辰药业作为集团管控型企业,推行信息安全的过程中,先通过管理角度制定相应制度之后再去推动,是一种比较高效的策略。通过编写《网络安全管理制度》和《数据内容管理制度》进行管理行为要求作为参考,配合系统进行实施。在有了管理制度之后,再做技术角度的实施,通过域控、文件、加密、监控、即时通讯等系统,进行系统搭建,技术上实现管、控、查的系统功能。

需要指出的是:技术与管理两者是相辅相成的,在具体执行的过程需要同步,但是管理的需求、管理点,一定要在制度上有体现,才能高效推进。 7、实施计划

整体的研发信息安全项目,总共分为三期来实施的:

项目一期:( 2018.10-2019.10 ),19年5月上线运行,根据研发楼现有环境单独设计方案。项目试运行5个月后,将安全日志归档和信息安全报告机制建立起来。

项目二期:(2020.2-2021.1),2020年2月启动产品选型测试,重点测试私有云盘、准入控制产品;2020年9月启动网络测试,重点测试网络隔离和终端云桌面产品;2021年1月实现研发楼入驻时具备系统试运行条件,试运行5个月后完成制度修订和安全机制。

项目三期:(2021.8-至今),根据项目二期正式上线5个月后,视情况可启动项目三期,向总部和生产中心进行延伸。

三、方案展示

康辰药业的研发信息安全管理项目,设置了常规的管控要求,即上面介绍到的“管”、“控”、“查”,除了这些标准的管理要求之外,也需要设置相应的预案措施和审计措施等作为补充,才能形成全面落地的管理方案。 1、集中管理的——“管”

前面介绍到了,集中管理的要素很多,真正要做到集中管理的话,首先就要分析清楚管理的内容:

“认人”:对于“人”的管理,主要以账号管理为抓手,做好账号的集中管理认证,以用户名为最小管理单元,登陆账号新建、停用、调整远程集中管控;

“认物”:对于“文件”的管理,将所有的文件放置于文件服务器中(加入到域中)。用于研究院在研文件管理,日常资料编写以及文件共享,方便大家查阅及编写资料,同时也防止个人私自共享行为。文件主要以源文件为主,方便对于异常等情况的追踪可查。

李博3.png

2、文档加密——“控”

文档加密的方法比较简单,基本是在驱动层加密、应用层加密,或者驱动层+应用层的加密,但是企业一定要考虑清楚需要“管”的是什么。以下是康辰药业在管理制度中的几条核心要求:

圈定加密范围:研究院范围全部人员文件(office、文本、图片等办公文件)加密;

剪贴板(100字符内可复制)禁用,截图只对加密系统有效;

部门总监以上人员具有解密权限,其余人员需进行审批,支持手机审批。

李博4.png

3、监控审计——“查”

通过桌面审计系统的实施,实现以下功能:

系统对研发中心局域网内计算机采用7*24小时监控;

监控策略:计算机软硬件变更、文件操作、网站访问、邮件发送、即时聊天、打印内容、屏幕录像,移动存储设备;

非授信USB设备全面禁止使用,已授信U盘需在信息部备案注册,保证研发信息安全体系内实现电子文件可追踪;

信息部负责U盘授信权限管理,综合管理部负责授信U盘实物管理;

研发中心会议室内公用电脑可正常打开加密文件,但外部人员U盘不可用,外部人员文件导入后即自动加密。

4、预案措施

以上三点主要涉及的是标准化的实施方式,在遇到特殊、意外情况时候,则需要制定相应的手段来解决,即制定预案措施。

急需外发文件:正常情况下,由部门总监解密本部门申请;遇到意外紧急时,申请人可以发送邮件至信息部的同时抄送部门总监,在邮件正文中写明申请原因,信息部在特殊解密主机(受控主机),解密后回复邮件给申请人,特殊解密记录定期公示。此处需要强调的是,这个途径是紧急时候的权宜之计,信息部可以有途径解决,但是授权的依然是部门总监。

远程加密办公:这类情况在今年是最为常见的,如研究院员工需出差办公或在家办公的。解决办法是在受控环境搭建一台受控主机(虚拟机),申请人发邮件给信息部申请,信息部按需求开通远程主机使用权限。

5、审计措施

在安全管理推行的过程中,为了减少推行阻力、打消业务部门的疑虑,我们在系统中建立了一个审计账户,并将其交给研究院自己管理,主要用来约束管理员在实际操作动作并形成操作日志。系统试运行稳定后,信息部人员查阅日志的权限将会被取消,只保留加密及桌管设置权限,同时系统自身也会有审计追踪,可监督管理员操作行为,同时管理员登陆日志定期公示。 6、二期方案

二期方案在一期的基础上做一些重点的布局和优化,主要在终端和文件、准入控制两方面,主要包括:

终端和文件:云桌面(个人办公文件不存本机)、用户管理模式(多人共用一台主机)、私有云盘(用户文件目录和账号绑定,应对疫情风险);

准入控制:防止未授权设备私联网络,防止资源外泄。

除了以上介绍的一期方案、二期方案中的技术和管理手段之外,我们还有后期的跟踪管理手段,主要包含三个方面:

安全日志归档:每月定时导出所有操作及特权行为日志,方便未来发生安全事故时追溯行为使用;

信息安全报告:定期将研究院每月日志按不同角度分析,特权行为公示;

信息安全制度:根据迁入研发楼后管理方式的调整,及时完善信息安全制度。

四、经验分享

1、达成效果

实施研发信息安全项目之后,对于风险点的针对性管理,体现出了预期的效果:

针对主动泄密:实现了已加密文件外流不可读、文件操作有记录、文件流动系统可追溯;

针对设备滥用:实现了仅能用授信设备、操作记录可追溯、授信设备领用有流程;

针对网络威胁:实现了文件加密后可防御病毒、存在漏洞的软件已禁用、PC行为规范降低安全风险;

针对安全意识:规范了员工PC操作行为、特殊权限有流程、复制粘贴、屏幕拷贝等操作禁用、文件传送使用专业软件边界确定。

李博5.png

2、经验教训

综上,此次研发信息安全项目能够顺利实施,也总结了一些实践经验和心得,其中的一些关键点,也是实施其他数字化项目的经验。因为信息技术永远只是一种手段,重要的是要有体系化的方法论来配套才能高效的落地推行,才能体现出预期的效果。例如:

高层支持:公司一定要认识到信息安全的确实风险,对信息安全工作给予足够的支持,项目推进才能有力;

制度为先:管理安全的核心在于制度管控,信息化知识制度履行的工具,因此一定要在制度中明确管控点和流程;

安全性&易用性:没有绝对的安全,安全性和易用性永远是成反比的,因此要根据公司管理需要,在安全性和易用性中找到平衡点。

以上是本次项目经验的体会和内容,非常有幸能够分享给行业同仁。行业的数字化疆域非常宽广,需要行业同仁们一起推进探索的前沿,在这个意义之上,需要行业同仁们一起勠力同心,砥砺前行。期望在今后,能与行业同仁们有更多的交流探讨。谢谢聆听!