統一身份管理平臺在集團化醫藥企業中的規劃與應用

邵揚 陳慶民

[摘? ? 要] 隨著集團化企業信息化建設的持續推進，應用系統數量日益增多，但缺乏統一規劃和管理，在用戶身份管理方面尤為突出，使得用戶信息缺失、不統一、更新不及時。企業統一身份管理平臺基于4A（統一用戶、統一認證、統一鑒權、統一審計）管理模式，能有效地改善和解決該問題，為企業提供用戶身份全生命周期管理，實現信息系統單點登錄，提高訪問安全等級，合理分配企業資源，也為企業門戶建設提供支撐和保障。

[關鍵詞] 統一身份;統一認證;集團化企業

1? ? ? 背? 景

上海醫藥集團股份有限公司是在滬港兩地上市的大型醫藥產業集團，公司主營業務覆蓋醫藥工業、分銷與零售，下屬單位有幾百家企業，員工總人數超過5萬人。隨著集團信息化建設的發展，各項業務對信息系統的依賴性逐漸增強，信息系統的數量不斷增加，用戶數量快速增長，用戶管理存在的安全和效率等問題越發突出。諸如：系統多，入口多，用戶訪問多個系統需要多次登錄，需要記住多套賬號及密碼;用戶身份信息分散于各個系統，各自獨立，形成身份信息孤島;存在遺留、僵尸賬號，離職人員有可能還能訪問系統，存在安全風險;缺少統一的安全審計，無法滿足合規及審計要求;各系統分別進行手動創建賬號及權限分配，需要花費大量的人力成本和時間成本，效率低。

上述問題都可以通過建立一個統一集中、完善有效、持續運作的統一身份管理平臺來有效改善。從用戶角度講，每個用戶只需一個用戶名，一個密碼即可訪問所有其擁有訪問權限的業務系統;從管理的角度講，可在同一平臺上實現對用戶的身份全生命周期管理，認證與授權管理，以及集中審計。實現統一的“大門入口”，每人一把安全的“大門”鑰匙。

2? ? ? 統一身份管理平臺建設必要性分析

通過對企業應用系統的現狀分析，建設統一身份管理平臺，實現人員在各應用系統中用戶身份的統一管理及統一認證十分重要。其必要性如下。

2.1? ?提高工作效率

通過單點登錄模塊部署，實現一次認證即可登錄全局應用，大幅節省了用戶的時間。

2.2? ?提高運營效率

目前各應用的用戶創建與禁用賬號權限時，都是通過手動操作，這些手動操作會直接浪費巨大的人力成本和時間成本。為了提高運營效率，需要對賬號的生命周期進行自動化管理。

2.3? ?避免安全后門

當用戶權限需要變更或離職回收時，手動逐個操作容易造成不當操作，從而產生安全后門隱患，如遺漏賬號、違規私建賬號、賬號數據誤刪除等。需要通過技術手段，盡量避免這些安全后門。

2.4? ?對訪問行為進行控制和審計

當前信息安全事故頻發，安全風險不僅僅來自物理環境和網絡環境，更多來源于應用系統以及不同人員訪問系統行為控制的缺失。我們需要做到對用戶訪問行為進行有效的事前預警、事中訪問控制、事后責任追溯審計，合理控制“什么人”在“什么時間”有權進入“哪些系統”，并實現集中可視化管理。

2.5? ?政策監管要求

《GB/T 25070-2019? 信息安全技術 網絡安全等級保護安全設計技術要求》中明確規定，在用戶身份鑒別時應支持用戶標識和用戶鑒別。在每一個用戶注冊到系統時，采用用戶名和用戶標識符標識用戶身份，并確保在系統整個生存周期用戶標識的唯一性。在每次用戶登錄系統時，采用受控的口令或具有相應安全強度的其他機制進行用戶身份鑒別，并對鑒別數據進行保密性和完整性保護。

總之，通過建設統一身份管理平臺，可以提高員工和系統管理用戶的工作效率，提升系統的安全性;在應用系統繁多和相關賬號數量繁多、各系統安全級別存在差異化的情況下，通過建設統一身份管理平臺，可實現一點合規即全局合規的目標。

3? ? ? 平臺建設總體目標

建立全集團用戶身份管理體系標準，實現用戶的全生命周期管理;建立全集團應用的統一訪問入口，實現用戶方便快捷的應用訪問;建立多安全級別的認證系統，實現用戶訪問應用的安全保障;建立完善的審計體系，實現以用戶為基點的應用訪問審計。

4? ? ? 平臺建設方案落地

統一身份管理平臺的核心是通過建立一個集中的統一訪問控制和用戶身份管理平臺，實現用戶的統一認證入口和應用系統基于標準化管理流程的用戶賬戶與訪問控制的統一管理，并制定一套相應的技術管理接口規范，為將來集團業務進一步壯大、新增應用系統的建設提供統一的標準，為提升信息化管理水平與完善風險管控機制提供必要的基礎與保障。因此，我們對統一身份管理平臺的建設規劃了如下方案。

4.1? ?制度與規范建設

為了規范應用的接入流程，增強平臺的易用性與安全性，同時降低運維和管理的成本，我們編制了與統一身份安全管理平臺對應的“應用接入和集成規范”“用戶賬號管理制度”和“系統運維管理制度”等相關制度及規范。

4.2? ?架構部署

為滿足集團多層級管理要求，我們采用分級部署架構（如圖1所示）。在集團總部建設統一身份管理平臺，在IT建設相對成熟、擁有應用系統較多的下屬單位，建設統一身份管理子平臺;對于應用系統較少的下屬單位，可直接將應用系統接入集團總部平臺。集團總部平臺與下屬單位子平臺通過“聯邦認證”的機制，實現與下屬單位的身份認證及單點登錄。

4.3? ?實現用戶賬號生命周期管理

實現統一管理應用系統的用戶賬戶，包括內部員工、其他用戶等用戶類型，建立集中用戶身份信息庫。通過和人力資源管理系統（e-HR）對接，當在人力資源管理系統（e-HR）進行員工入職、調崗、離職等人事事件操作時候，平臺將會對用戶名下的應用訪問權限進行相應的自動化安全控制，例如：新增賬號、調整崗位、禁用或刪除賬號等。實現用戶管理的審計功能，提供用戶創建、用戶修改、用戶刪除、用戶口令修改、用戶賬號狀態變更、各類應用賬號的統計、各類操作的統計等審計報告。人員入職、離職流程分別如圖2、圖3所示。

4.4? ?實現針對應用系統的訪問控制

通過對人員、信息、流程、應用系統、移動端應用接入的全面整合，打通各業務系統，整合系統資源，為全集團提供一個統一業務及移動應用接入的管理平臺，為員工基于PC端及移動端提供一個綜合業務辦公的統一入口。集中展示用戶所擁有訪問權限，控制系統鏈接及重要信息鏈接;按照事先設置的策略，實現應用系統訪問控制功能。搭建認證及單點登錄平臺，實現人力資源管理系統、OA系統、郵箱系統、財務管理系統等系統之間安全的單點登錄與登出。

4.5? ?建立多層級安全級別的認證系統

平臺具備多種安全級別的認證方式，例如靜態口令、動態令牌、短信驗證碼、二維碼掃描、手勢、指紋等，同時平臺還應提供擴展能力，以備未來在認證方式和安全手段上的補充和靈活擴展，例如人臉識別、聲紋或者虹膜等生物特質手段。根據系統的安全級別使用不同的認證手段對用戶進行身份驗證，支持“多因素認證”，支持在訪問中隨著應用安全等級的上升進行多級認證。同時做到對用戶訪問行為進行有效的事前預警、事中訪問控制、事后責任追溯審計，合理控制“什么人”在“什么時間”有權進入“哪些系統”，并實現集中可視化管理。譬如：發現用戶賬號在非常用時間段（或非常用登錄地點、非常用機器）登錄系統，則進行增強認證或發短信提醒等。

4.6? ?建立完善的審計體系

平臺對用戶的應用訪問權限進行集中管理，同時對用戶的認證及用戶的應用訪問情況進行記錄和審計，以此幫助管理人員快速了解集團應用體系的用戶訪問和使用情況，杜絕安全風險。

5? ? ? 結? ? 語

上海醫藥集團股份有限公司統一身份管理平臺已經接入15套系統，管理員工5萬多人。下屬單位上藥控股有限公司正在進行子平臺建設，一期計劃接入25套系統。本系統的建設打通了信息孤島，實現對OA系統、集團郵件系統、人力資源系統等應用系統的賬號、認證、授權和用戶行為審計的統一入口管理，以達到“統一身份、集中管理、簡化應用、保障安全”的目的，打破各系統獨自進行認證和賬號管理的格局，建立統一的認證和賬號權限管理體系。

主要參考文獻

[1]國家質量監督檢驗檢疫總局.信息安全技術? 信息系統安全等級保護基本要求（GB/T 22239-2008）[S].2008.