生物医药生产企业药物警戒系统安全等保整改加固

张承

(北京生物制品研究所有限责任公司,北京 100176)

1 整改原因及目标

按照国家GMP要求,企业已经于2017年上线并实施药物警戒系统,当时生物医药生产企业还未列入网络安全重点保护单位,未按照“信息系统网络安全等级保护”的标准进行测评。随着网络安全逐步成为国家安全要求的重要主城部分,特别是2020年新冠疫情爆发后,企业被公安列入“重保”单位,进行了等保备案、并测评并开始整改。

经过等保测评机构的全面测评,发现药物警戒系统目前在各个层面都有一些安全问题,需要通过一系列的安全整改活动,满足业务系统自身的安全需求和等保的安全要求。为了保证药物警戒系统的正常运行,在所有的整改、加固工作之前,对药物警戒系统的所有服务器进行调试、快照备份。在所有的整改、加固工作完成之后,测试药物警戒系统各个环境的基本功能,保证系统可以正常使用的同时,通过等保复测评并取得证书。

2 网络安全现状、系统等保备案及测评简介

该系统部署在企业自有机房,整个系统主要分为互联网接入区、设备接入区和安全管理区。为加强安全运维和有效管理,部署了深信服堡垒机、态势感知系统、APT,实现对网络、服务器等设备进行监控、运维和安全管理,在维护管理区进行系统维护和安全管理工作,且仅允许在指定IP连接管理安全设备。禁止通过互联网进行远程维护。通过部署了日志审计和数据库审计设备,实现各类审计日志的存储分析和回溯。

因此将本系统的物理机房、网络设备、安全设备、应用数据服务器等作为一个定级对象加以考虑,统一进行定级、备案。按照等保定级的标准,信息系统的安全保护等级由业务信息安全等级和系统服务安全等级较高者决定[1]。最终确定企业药物警戒系统安全保护等级为第三级。本文重点讨论药物警戒软件本身的问题整改加固。

3 系统整改范围

经过对前期等保测评报告的详细需求分析,以及了解企业IT基础设施和网络,药物警戒系统的情况,确定整改的内容包括以下四个方面:(1)对现有的服务器、数据库、应用系统进行等保安全加固;(2)针对安全设备的部署提出安全配置要求,跟进配置工作,并监督落实安全要求;(3)整改药物警戒系统测试(培训)、生产、验证三个环境的测评风险项目,并做好快照备份;(4)测试药物警戒系统三个环境的功能,保证所有功能模块使用正常。

4 系统整改实施步骤

4.1 差距分析

该阶段的主要工作内容是分析整理系统的等保差距分析报告,并收集系统的部署环境和安全现状,确定所需安全技术措施的部署和使用情况。根据收集的信息,确定哪些差距项的整改可以落实到操作系统、数据库、应用等层面进行加固[2]。然后和测评机构负责人员、企业IT负责人员以及系统运维人员进行讨论,明确这些整改加固方法的有效性和加固目标的可行,形成《药物警戒系统等保差距安全加固建议》。

以主机环境为例,windows系统整改加固办法如表1所示:

表1 Windows系统整改加固办法表Tab.1 Windows system rectification and reinforcement method table

4.2 加固方案

根据药物警戒系统的等保差距修复建议,确定整改的流程、方法和目标,包括OS/DB及应用系统安全加固的操作步骤、指令、执行结果、准备工作、加固顺序,数据库安全加密的实施方法和流程等。把这些信息整理形成文档,为下一步整改实施提供方法和依据,形成《药物警戒系统等保差距安全加固实施办法》。

以药物警戒系统本身为例,整改加固办法如表2所示:

表2 应用系统整改加固办法表Tab.2 Application system rectification and reinforcement method table

4.3 形成整改报告及培训

在整改完成后报告阶段,总结之前各个工作阶段的工作成果,确定加固实施的效果,完成IQ、OQ、PQ,形成安全整改实施报告。同时,对各阶段发现的问题以及解决方法进行汇总,以便于将来实施的业务信息系统避免类似的问题,以便工作更加顺畅。在报告基本完成之后,与相关业务人员进行沟通,公布实施之后的成果以及对各方的影响,以保证实施结果能够延续和推广,形成《药物警戒系统等保差距安全加固实施报告》。

5 结语

通过一系列的整改实施后,实施报告将提交到网络安全等级保护测评机构,进行复测评。因为该系统按照等保2.0三级备案,通过测评还需要网络基础环境和主链路也要整改。企业所有涉及访问互联网业务信息系统的服务器统一部署在核心交换机的一个单独区域,共用主链路和网络基础环境[4]。因此,其他业务信息系统过等保完全可以引用这部分内容,为更多系统过等保“铺平”了道路。