美创科技案例 敏感数据保护产品(医疗行业)

美创科技案例

敏感数据保护产品（医疗行业） 一、客户情况简介

某三甲医院是该省内首批通过三甲评审，融医疗、教学、科研、预防和社会保健于一体的市属最大的综合性三级甲等医院，现为“某省医学科学院临床研究院”。作为地区医疗机构中的龙头单位，承担市肿瘤、产科、骨科、重症医学、急诊、放射、病理、检验、药事、护理、院内感染等质控中心的建设工作。

过去几年中，全国范围内非法获取医疗统方数据的媒体报道层出不穷。给医院造成了恶劣的社会影响，已经成为影响医患关系的最大障碍之一。为此，卫生部强调各级卫生行政部门要切实加强医疗机构统方管理，各级各类医疗机构必须建立本单位统方管理的制度规定。最高法院、最高检察院联合发布《关于办理商业贿赂刑事案件适用法律若干问题的意见》。此外，《中华人民共和国刑法》刑法第二百八十五条、《卫生部八项行业纪律》、《关于加强医院信息系统药品、高值耗材统计功能管理的通知》等相关法律法规明确要求规范“统方”行为。

在医院规范化管理的实际需求及各类法规要求的推动下，2011年医院开始寻求防止非法统方的解决方案。医院信息科对市场上主流的防统方解决方案进行技术选型和测试发现：国内的“防统方”产品大都是数据库审计类产品，是以被动防御的方式事后分析、排查，从而达到准确定位统方数据访问时间、

地点、访问人员等信息，无法实现事先预防和自动阻断，无法真正实现防止统方数据泄露的目标。

美创科技的TRUST CAPAA医院防统方系统，不仅在事后进行全面的审计，更加注重事先预防和自动阻断，从而全方位地保护敏感数据的安全。

二、美创科技解决方案

第一阶段：事先防范

基于“事先防范”的非法统方策略性管理是商业防统方的基础，在“事先防范”的策略性管理中，美创科技防统方的事先防范主要实现以下目标：

•把“统方”基础数据纳入保护体系

•DBA职责分离

•限制特权用户访问统方

•限制Schema访问统方

•限制Schema访问统方

•限制工具型应用访问统方

•严格遵循统方授权和审批管理

第二阶段：自动阻断

通过“事先防范”机制，建立了商业统方的策略性管理后，一旦发现不满足预定义策略的任何统方行为，该行为将被实时阻断，统方窃取行为被拒绝。

自动阻断是防统方管理体系的核心，只有在统方窃取阶段自动阻断，防统方才能真正生效。

通过事先策略性管理，对于可识别的统方操作，引入严格授权和审批流程，只有通过USB-KEY验证之后才可以进行合理合法统计操作。事中授权和审批是实现防统方管理的重要步骤，不论是非法统方和合法统方，统一纳入统方管理，使统方安全进一步得到保障。针对可疑统方行为可以在第一时间通知管理者，使管理者可以快速掌握现场。

第三阶段：事后审计

事后提供非常详尽的审计信息，便于可疑统方分析的回溯管理。海量审计信息主要有以下两个重要作用：

1.审计信息分析以发现访问规律以及一些目前尚未发现的可疑点管理。

2.提供事后追究的证据。

三、方案效果

医院在上线了美创科技的防统方产品后，有效地过滤了非法用户、非法应用、非法终端的访问，有效地限制了具有DBA超级权限用户的访问行为，及时阻断窃取统方数据的行为，并对所有的操作进行详细的记录、分析。

1.实现分权管理，DBA职责分离，只能进行系统维护，无法接触到业务数

据。

2.规范了管理流程，敏感操作必须经过授权和审批才能执行。

3.实现了对第三方运维人员的访问控制。

4.有效地限制工具型应用访问统方数据。

5.有效地阻止了假冒应用和黑客工具接触到敏感数据。

6.对统方数据进行全面保护，无法旁路。

7.所有操作全面审计，精确审计，同时提供对审计信息的分析报告。