计算机系统的安全

今天重点说说计算机系统的安全。GMP计算机化系统附录中涉及到系统安全话题的大概有如下三处：

第10条要求到“系统应当安装在适当的位置，以防止外来因素干扰。”

第10条要求“只有经许可的人员才能进入和使用系统。企业应当采取适当的方式杜绝未经许可的人员进入和使用系统”

第19条，关于数据的安全。

一 概述着去说，计算机化系统的安全实际包括两方面的考量因素：物理安全和逻辑安全。

常见的可能会影响系统物理安全的因素比如防水防火，恰当的温湿度，持续的供电，尽量避免灰尘，机房的权限管理等等。

前面说过计算机系统的定义，满足特定功能需求的，硬件和软件的组合。在云技术风声水起之前，计算机系统多数是以实体的形式存在的（尽管云方案也是实体，但这个实体貌似离我们更远一些）。

二 既然是实体，当然就要保证其安全，这其实说的就是物理安全。

比如实验室一台HPLC，边上的工作站旁放着废液瓶，如果不幸废液瓶满了，溢出了，工作站的电脑主板或者HPLC设备的主板烧了，那对你来说就悲催了。

听说过某机房的吊顶上排了消防水的管道，管道有跑冒滴漏，结果导致服务器DOWN机的事件；也亲身经历过机房的空调坏了，导致机房温度过高，服务器自动重启导致数据采集丢失的事件。不要忽略这些看似不起眼的细节，关键时刻有可能会给你带来很大的麻烦。

三 逻辑安全主要是说的对系统和数据的访问权限以及数据的安全性。

系统的权限又分为两个层次，应用软件层与基础架构层，软件层次的权限通常是与业务流程相结合的，需要做什么事情，开通什么权限，职责与权限相对应，密码也要尽可能的变态，强制你经常更换，强制密码应该是复杂的组合等等。基础架构层次的安全主要是针对系统的管理员，比如配置不同的用户，配置不同的读写权限，配置系统时间等等。

安全性相关的要求既可以体现在用户需求中，然后通过系统的设计实现，也可以通过流程来定义安全控制手段。强调系统安全的目的**终还是要回到系统验证的本质上，患者安全、数据完整性和产品质量。