統(tǒng)一身份管理平臺(tái)在集團(tuán)化醫(yī)藥企業(yè)中的規(guī)劃與應(yīng)用

邵揚(yáng) 陳慶民

[摘? ? 要] 隨著集團(tuán)化企業(yè)信息化建設(shè)的持續(xù)推進(jìn)，應(yīng)用系統(tǒng)數(shù)量日益增多，但缺乏統(tǒng)一規(guī)劃和管理，在用戶身份管理方面尤為突出，使得用戶信息缺失、不統(tǒng)一、更新不及時(shí)。企業(yè)統(tǒng)一身份管理平臺(tái)基于4A（統(tǒng)一用戶、統(tǒng)一認(rèn)證、統(tǒng)一鑒權(quán)、統(tǒng)一審計(jì)）管理模式，能有效地改善和解決該問(wèn)題，為企業(yè)提供用戶身份全生命周期管理，實(shí)現(xiàn)信息系統(tǒng)單點(diǎn)登錄，提高訪問(wèn)安全等級(jí)，合理分配企業(yè)資源，也為企業(yè)門(mén)戶建設(shè)提供支撐和保障。

[關(guān)鍵詞] 統(tǒng)一身份;統(tǒng)一認(rèn)證;集團(tuán)化企業(yè)

1? ? ? 背? 景

上海醫(yī)藥集團(tuán)股份有限公司是在滬港兩地上市的大型醫(yī)藥產(chǎn)業(yè)集團(tuán)，公司主營(yíng)業(yè)務(wù)覆蓋醫(yī)藥工業(yè)、分銷與零售，下屬單位有幾百家企業(yè)，員工總?cè)藬?shù)超過(guò)5萬(wàn)人。隨著集團(tuán)信息化建設(shè)的發(fā)展，各項(xiàng)業(yè)務(wù)對(duì)信息系統(tǒng)的依賴性逐漸增強(qiáng)，信息系統(tǒng)的數(shù)量不斷增加，用戶數(shù)量快速增長(zhǎng)，用戶管理存在的安全和效率等問(wèn)題越發(fā)突出。諸如：系統(tǒng)多，入口多，用戶訪問(wèn)多個(gè)系統(tǒng)需要多次登錄，需要記住多套賬號(hào)及密碼;用戶身份信息分散于各個(gè)系統(tǒng)，各自獨(dú)立，形成身份信息孤島;存在遺留、僵尸賬號(hào)，離職人員有可能還能訪問(wèn)系統(tǒng)，存在安全風(fēng)險(xiǎn);缺少統(tǒng)一的安全審計(jì)，無(wú)法滿足合規(guī)及審計(jì)要求;各系統(tǒng)分別進(jìn)行手動(dòng)創(chuàng)建賬號(hào)及權(quán)限分配，需要花費(fèi)大量的人力成本和時(shí)間成本，效率低。

上述問(wèn)題都可以通過(guò)建立一個(gè)統(tǒng)一集中、完善有效、持續(xù)運(yùn)作的統(tǒng)一身份管理平臺(tái)來(lái)有效改善。從用戶角度講，每個(gè)用戶只需一個(gè)用戶名，一個(gè)密碼即可訪問(wèn)所有其擁有訪問(wèn)權(quán)限的業(yè)務(wù)系統(tǒng);從管理的角度講，可在同一平臺(tái)上實(shí)現(xiàn)對(duì)用戶的身份全生命周期管理，認(rèn)證與授權(quán)管理，以及集中審計(jì)。實(shí)現(xiàn)統(tǒng)一的“大門(mén)入口”，每人一把安全的“大門(mén)”鑰匙。

2? ? ? 統(tǒng)一身份管理平臺(tái)建設(shè)必要性分析

通過(guò)對(duì)企業(yè)應(yīng)用系統(tǒng)的現(xiàn)狀分析，建設(shè)統(tǒng)一身份管理平臺(tái)，實(shí)現(xiàn)人員在各應(yīng)用系統(tǒng)中用戶身份的統(tǒng)一管理及統(tǒng)一認(rèn)證十分重要。其必要性如下。

2.1? ?提高工作效率

通過(guò)單點(diǎn)登錄模塊部署，實(shí)現(xiàn)一次認(rèn)證即可登錄全局應(yīng)用，大幅節(jié)省了用戶的時(shí)間。

2.2? ?提高運(yùn)營(yíng)效率

目前各應(yīng)用的用戶創(chuàng)建與禁用賬號(hào)權(quán)限時(shí)，都是通過(guò)手動(dòng)操作，這些手動(dòng)操作會(huì)直接浪費(fèi)巨大的人力成本和時(shí)間成本。為了提高運(yùn)營(yíng)效率，需要對(duì)賬號(hào)的生命周期進(jìn)行自動(dòng)化管理。

2.3? ?避免安全后門(mén)

當(dāng)用戶權(quán)限需要變更或離職回收時(shí)，手動(dòng)逐個(gè)操作容易造成不當(dāng)操作，從而產(chǎn)生安全后門(mén)隱患，如遺漏賬號(hào)、違規(guī)私建賬號(hào)、賬號(hào)數(shù)據(jù)誤刪除等。需要通過(guò)技術(shù)手段，盡量避免這些安全后門(mén)。

2.4? ?對(duì)訪問(wèn)行為進(jìn)行控制和審計(jì)

當(dāng)前信息安全事故頻發(fā)，安全風(fēng)險(xiǎn)不僅僅來(lái)自物理環(huán)境和網(wǎng)絡(luò)環(huán)境，更多來(lái)源于應(yīng)用系統(tǒng)以及不同人員訪問(wèn)系統(tǒng)行為控制的缺失。我們需要做到對(duì)用戶訪問(wèn)行為進(jìn)行有效的事前預(yù)警、事中訪問(wèn)控制、事后責(zé)任追溯審計(jì)，合理控制“什么人”在“什么時(shí)間”有權(quán)進(jìn)入“哪些系統(tǒng)”，并實(shí)現(xiàn)集中可視化管理。

2.5? ?政策監(jiān)管要求

《GB/T 25070-2019? 信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》中明確規(guī)定，在用戶身份鑒別時(shí)應(yīng)支持用戶標(biāo)識(shí)和用戶鑒別。在每一個(gè)用戶注冊(cè)到系統(tǒng)時(shí)，采用用戶名和用戶標(biāo)識(shí)符標(biāo)識(shí)用戶身份，并確保在系統(tǒng)整個(gè)生存周期用戶標(biāo)識(shí)的唯一性。在每次用戶登錄系統(tǒng)時(shí)，采用受控的口令或具有相應(yīng)安全強(qiáng)度的其他機(jī)制進(jìn)行用戶身份鑒別，并對(duì)鑒別數(shù)據(jù)進(jìn)行保密性和完整性保護(hù)。

總之，通過(guò)建設(shè)統(tǒng)一身份管理平臺(tái)，可以提高員工和系統(tǒng)管理用戶的工作效率，提升系統(tǒng)的安全性;在應(yīng)用系統(tǒng)繁多和相關(guān)賬號(hào)數(shù)量繁多、各系統(tǒng)安全級(jí)別存在差異化的情況下，通過(guò)建設(shè)統(tǒng)一身份管理平臺(tái)，可實(shí)現(xiàn)一點(diǎn)合規(guī)即全局合規(guī)的目標(biāo)。

3? ? ? 平臺(tái)建設(shè)總體目標(biāo)

建立全集團(tuán)用戶身份管理體系標(biāo)準(zhǔn)，實(shí)現(xiàn)用戶的全生命周期管理;建立全集團(tuán)應(yīng)用的統(tǒng)一訪問(wèn)入口，實(shí)現(xiàn)用戶方便快捷的應(yīng)用訪問(wèn);建立多安全級(jí)別的認(rèn)證系統(tǒng)，實(shí)現(xiàn)用戶訪問(wèn)應(yīng)用的安全保障;建立完善的審計(jì)體系，實(shí)現(xiàn)以用戶為基點(diǎn)的應(yīng)用訪問(wèn)審計(jì)。

4? ? ? 平臺(tái)建設(shè)方案落地

統(tǒng)一身份管理平臺(tái)的核心是通過(guò)建立一個(gè)集中的統(tǒng)一訪問(wèn)控制和用戶身份管理平臺(tái)，實(shí)現(xiàn)用戶的統(tǒng)一認(rèn)證入口和應(yīng)用系統(tǒng)基于標(biāo)準(zhǔn)化管理流程的用戶賬戶與訪問(wèn)控制的統(tǒng)一管理，并制定一套相應(yīng)的技術(shù)管理接口規(guī)范，為將來(lái)集團(tuán)業(yè)務(wù)進(jìn)一步壯大、新增應(yīng)用系統(tǒng)的建設(shè)提供統(tǒng)一的標(biāo)準(zhǔn)，為提升信息化管理水平與完善風(fēng)險(xiǎn)管控機(jī)制提供必要的基礎(chǔ)與保障。因此，我們對(duì)統(tǒng)一身份管理平臺(tái)的建設(shè)規(guī)劃了如下方案。

4.1? ?制度與規(guī)范建設(shè)

為了規(guī)范應(yīng)用的接入流程，增強(qiáng)平臺(tái)的易用性與安全性，同時(shí)降低運(yùn)維和管理的成本，我們編制了與統(tǒng)一身份安全管理平臺(tái)對(duì)應(yīng)的“應(yīng)用接入和集成規(guī)范”“用戶賬號(hào)管理制度”和“系統(tǒng)運(yùn)維管理制度”等相關(guān)制度及規(guī)范。

4.2? ?架構(gòu)部署

為滿足集團(tuán)多層級(jí)管理要求，我們采用分級(jí)部署架構(gòu)（如圖1所示）。在集團(tuán)總部建設(shè)統(tǒng)一身份管理平臺(tái)，在IT建設(shè)相對(duì)成熟、擁有應(yīng)用系統(tǒng)較多的下屬單位，建設(shè)統(tǒng)一身份管理子平臺(tái);對(duì)于應(yīng)用系統(tǒng)較少的下屬單位，可直接將應(yīng)用系統(tǒng)接入集團(tuán)總部平臺(tái)。集團(tuán)總部平臺(tái)與下屬單位子平臺(tái)通過(guò)“聯(lián)邦認(rèn)證”的機(jī)制，實(shí)現(xiàn)與下屬單位的身份認(rèn)證及單點(diǎn)登錄。

4.3? ?實(shí)現(xiàn)用戶賬號(hào)生命周期管理

實(shí)現(xiàn)統(tǒng)一管理應(yīng)用系統(tǒng)的用戶賬戶，包括內(nèi)部員工、其他用戶等用戶類型，建立集中用戶身份信息庫(kù)。通過(guò)和人力資源管理系統(tǒng)（e-HR）對(duì)接，當(dāng)在人力資源管理系統(tǒng)（e-HR）進(jìn)行員工入職、調(diào)崗、離職等人事事件操作時(shí)候，平臺(tái)將會(huì)對(duì)用戶名下的應(yīng)用訪問(wèn)權(quán)限進(jìn)行相應(yīng)的自動(dòng)化安全控制，例如：新增賬號(hào)、調(diào)整崗位、禁用或刪除賬號(hào)等。實(shí)現(xiàn)用戶管理的審計(jì)功能，提供用戶創(chuàng)建、用戶修改、用戶刪除、用戶口令修改、用戶賬號(hào)狀態(tài)變更、各類應(yīng)用賬號(hào)的統(tǒng)計(jì)、各類操作的統(tǒng)計(jì)等審計(jì)報(bào)告。人員入職、離職流程分別如圖2、圖3所示。

4.4? ?實(shí)現(xiàn)針對(duì)應(yīng)用系統(tǒng)的訪問(wèn)控制

通過(guò)對(duì)人員、信息、流程、應(yīng)用系統(tǒng)、移動(dòng)端應(yīng)用接入的全面整合，打通各業(yè)務(wù)系統(tǒng)，整合系統(tǒng)資源，為全集團(tuán)提供一個(gè)統(tǒng)一業(yè)務(wù)及移動(dòng)應(yīng)用接入的管理平臺(tái)，為員工基于PC端及移動(dòng)端提供一個(gè)綜合業(yè)務(wù)辦公的統(tǒng)一入口。集中展示用戶所擁有訪問(wèn)權(quán)限，控制系統(tǒng)鏈接及重要信息鏈接;按照事先設(shè)置的策略，實(shí)現(xiàn)應(yīng)用系統(tǒng)訪問(wèn)控制功能。搭建認(rèn)證及單點(diǎn)登錄平臺(tái)，實(shí)現(xiàn)人力資源管理系統(tǒng)、OA系統(tǒng)、郵箱系統(tǒng)、財(cái)務(wù)管理系統(tǒng)等系統(tǒng)之間安全的單點(diǎn)登錄與登出。

4.5? ?建立多層級(jí)安全級(jí)別的認(rèn)證系統(tǒng)

平臺(tái)具備多種安全級(jí)別的認(rèn)證方式，例如靜態(tài)口令、動(dòng)態(tài)令牌、短信驗(yàn)證碼、二維碼掃描、手勢(shì)、指紋等，同時(shí)平臺(tái)還應(yīng)提供擴(kuò)展能力，以備未來(lái)在認(rèn)證方式和安全手段上的補(bǔ)充和靈活擴(kuò)展，例如人臉識(shí)別、聲紋或者虹膜等生物特質(zhì)手段。根據(jù)系統(tǒng)的安全級(jí)別使用不同的認(rèn)證手段對(duì)用戶進(jìn)行身份驗(yàn)證，支持“多因素認(rèn)證”，支持在訪問(wèn)中隨著應(yīng)用安全等級(jí)的上升進(jìn)行多級(jí)認(rèn)證。同時(shí)做到對(duì)用戶訪問(wèn)行為進(jìn)行有效的事前預(yù)警、事中訪問(wèn)控制、事后責(zé)任追溯審計(jì)，合理控制“什么人”在“什么時(shí)間”有權(quán)進(jìn)入“哪些系統(tǒng)”，并實(shí)現(xiàn)集中可視化管理。譬如：發(fā)現(xiàn)用戶賬號(hào)在非常用時(shí)間段（或非常用登錄地點(diǎn)、非常用機(jī)器）登錄系統(tǒng)，則進(jìn)行增強(qiáng)認(rèn)證或發(fā)短信提醒等。

4.6? ?建立完善的審計(jì)體系

平臺(tái)對(duì)用戶的應(yīng)用訪問(wèn)權(quán)限進(jìn)行集中管理，同時(shí)對(duì)用戶的認(rèn)證及用戶的應(yīng)用訪問(wèn)情況進(jìn)行記錄和審計(jì)，以此幫助管理人員快速了解集團(tuán)應(yīng)用體系的用戶訪問(wèn)和使用情況，杜絕安全風(fēng)險(xiǎn)。

5? ? ? 結(jié)? ? 語(yǔ)

上海醫(yī)藥集團(tuán)股份有限公司統(tǒng)一身份管理平臺(tái)已經(jīng)接入15套系統(tǒng)，管理員工5萬(wàn)多人。下屬單位上藥控股有限公司正在進(jìn)行子平臺(tái)建設(shè)，一期計(jì)劃接入25套系統(tǒng)。本系統(tǒng)的建設(shè)打通了信息孤島，實(shí)現(xiàn)對(duì)OA系統(tǒng)、集團(tuán)郵件系統(tǒng)、人力資源系統(tǒng)等應(yīng)用系統(tǒng)的賬號(hào)、認(rèn)證、授權(quán)和用戶行為審計(jì)的統(tǒng)一入口管理，以達(dá)到“統(tǒng)一身份、集中管理、簡(jiǎn)化應(yīng)用、保障安全”的目的，打破各系統(tǒng)獨(dú)自進(jìn)行認(rèn)證和賬號(hào)管理的格局，建立統(tǒng)一的認(rèn)證和賬號(hào)權(quán)限管理體系。

主要參考文獻(xiàn)

[1]國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局.信息安全技術(shù)? 信息系統(tǒng)安全等級(jí)保護(hù)基本要求（GB/T 22239-2008）[S].2008.