首页 > 热点资讯 >新闻内容

终端安全进入自适应数据安全运营时代

2021年06月02日 11:36

2021年,将是数字化转型过程中及其重要的一年!

世间万事万物都存在有规律的节点,这一年不仅将是世界格局的转折点,还将是很多行业生死攸关的转折点,更将是无数普通人逆袭的绝佳之年。

如果一个时代,让你觉得不适、焦虑和充满危机,惶惶不可终日,说明什么呢?说明它是一个正在激变的大时代。

很多人觉得社会已经越来越成熟,大佬割据的格局已定,创业机会已经很少,实际上真正的颠覆才刚刚开始。

机会永远不会消失,只会从一个产业转移到另一个产业,一群人转移到另一群人。总有一些拥有敏锐商业嗅觉的投资人和创业者把握住了机会,并不断刷新着创富神话!

中国经济的上半场结束了,经济的下半场正在开辟,在面临疫情和国际压力的双重背景下,数字化已经成为了的国家战略,数据已经作为生产要素越来越得到重视,这一蓝海市场的发展带来了新的机遇。

在今天所有的不确定性中,数字化趋势是最确定的!数字化趋势中,数据安全就是数字化转型的新基建!

那么,数据作为生产要素后,数据安全领域未来的风口到底在哪里?未来的发展趋势怎样呢?

数据安全早已不是新鲜话题,尤其是进入云时代之后,云架构让传统数据的安全边界崩塌,一切都可能成为渗透到核心数据的安全威胁,这是数据面临的最大安全问题。海量高价值的数据信息,包括个人客户数据资料、财务信息、企业商业机密、核心代码、设计图纸、机密文件等,最容易成为有意和无意泄漏泄密的对象。

很多组织已经开始意识到了数据安全问题,从多方面增加各种防护措施,但依然不容乐观。

目前,网络连接一切,基于大数据和云计算的检测、分析和响应技术成为主流。网络边界的概念完全被打破,安全不再割裂,所有的安全问题都可归结于数字安全问题。一切安全都是数据安全,一切风险都是数据风险。

零信任无边界自适应的数据安全运营就成为了方向!

终端安全发展简史

终端安全是网络安全发展史上浓墨重彩、不可无视的一笔。

终端安全主要包括两个概念:其一是关注内外网边界的安全、其二是关注内网的安全,即所谓的“外部防入侵、内部防泄漏”策略。

终端安全在应用环境中的实际需求如下:

所有组织内部的数据只要存在就有泄密的隐患

任何类型的数据和电子文档内容都有可能泄密

任何数据的接触者都有可能成为泄密源头

任何数据应用过程的全链路全生命周期的环节都可能成为泄密渠道

数据的应用行为都可能引起内容扩散泄露

目前,国内绝大多数组织大多也都仍然依据上图在开展安全防护技术体系的构建,基本上是包括防病毒管理、安全桌面管理、网络准入管理、终端防泄漏管理等多个细分模块。

但是,一方面,由于这些模块相互独立,难以统一管理,无法做好数据安全趋势分析,大多数解决方案也难以做到区分对待和细颗粒度管理,“一刀切”等粗暴的管理逻辑使得企业用户感觉自己的行为受限、受监控,通常会产生抵触情绪。

抵触情绪,使得用户很容易将日常应用中发生的问题一股脑都推到终端安全软件的身上,使得产品在推广过程中阻力重重,不少企业的终端安全因此最终成为了摆设或者干脆弃之不用。

另一方面,为了博用户的眼球,或者为了满足客户的不懂装懂的要求,或者为了控标而有意无意的行为,很多终端安全管理还增加了大量与办公自动化相关的客户化产品功能。

这样的结果是,感觉似乎功能强大,能博得一些客户的眼球,但却造成每一个企业级终端安全产品实施都成为一个“出力不讨好,黄胖炒年糕”的苦差事。过程艰难不说,而且效果不佳。

去年,有客户找到我,说是能否用我们的“自适应数据安全运营平台”帮助他们解决实施了一年未能成功上线的项目?我看了他们的实施实际后发现,他们的失败就是原因主要有二:

一是源于数据安全过多的增加了与其它系统、其它品牌的功能,导致多个不同品牌的产品实施后,为了解决技术冲突或产品融合的问题,项目实施人员殚精竭虑,不知道哪里会出毛病,哪朵云彩会下雨。供应商吃苦不说,用户方也差点因为这原因而导致项目以失败告终。

二是由于采用的供应商的解决方案只能关注边界的安全,无法预知数据在内部的流转引起的不安全问题,等到了边界的时候,常常是文件或者数据已经变得系统无法识别了,基于边界的终端安全防护就形同虚设了。

知道问题的关键后,我们的“自适应数据安全运营平台”在一周内就完成了客户的上线。

再一方面,绝大多数终端安全是基于边界的防护,它们的防护手段相对单一和粗暴一些,它们主要就是在边边界防护进行阻拦或者审计等。但是,目前的数据泄密,来自内部的数据风险急剧的增加,传统基于边界的防护却很难检测或跟踪。

复杂系统的不稳定性,数字世界安全的高度统一性,决定了终端安全的特性将从伴生需求走向内生需求。

终端安全将会从以安全管控、监测为主的事件驱动,即威胁防御模式转变为向威胁与风险驱动的模式,零信任无边界自适应将是主要的安全防护模式。

控制已经不再是目的,动态权限管理、实时风险识别、数据扩散风险态势、数据资产管理、数据安全运营、行为分析等将成为数据风险控制的主要目标,自动化的接入或拒绝终端访问,更细粒度的动态授权,智能化的识别、操作溯源、在数据离开边界前就识别风险的存在、AI智能分级分类、风险态势和扩散态势、加密、沙箱、隔离、远程定位等将会成为终端安全管理的内在需要,并直接嵌入终端设备。

网络安全和终端安全的差别:

终端安全性是关于保护流程、业务数据和通过连接到网络的设备存储或传递的敏感信息的安全。只有在您保护了终端(这是数据最容易泄漏的部分)之后,您才能够或应该致力于保护整个系统,以免网络犯罪分子、恶意泄漏或无意泄漏。

防病毒与终端安全的差别:

防病毒是一个总括术语。它是一个由多个功能组成的程序,每个功能保护终端设备的不同部分(电子邮件、浏览器、文件等)。但是,并不是所有的防病毒产品都能完全保护您的设备,因此可能需要进一步的保护。

终端安全对于终端用户和企业系统/数据中心有什么不同:

终端安全的基础对于他们来说是相同的。但是,受保护数据的类型和结构不同。企业不仅存储自己的数据,还存储有关客户、员工和企业本身的敏感信息。

终端安全管理是什么?

一系列内嵌的规则和策略,包含内嵌的法律、法规等,以及每个用户的权限和角色,他们定义了连接到业务网络的每个设备必须遵守的安全级别、授权范围、操作权限等。这些规则、策略、权限和角色,可能包括数据运营的全链条、数据全生命周期、数据到达的远程地点的全部,发现需要保护的数据、文件、图像,并智能的做好分类分析,然后在不改变原有数据运营流程、业务流程和使用习惯的前提下,自动识别、记录、跟踪、违规告警、阻断等一系列的管理行为。同时对数据扩散风险、数据泄漏风险、操作行为风险、数据资产管理等起到决策和管理辅助作用。

什么是一体化数据资产安全?

在过去,提供商有信心只使用防病毒软件、物理防火墙设备和关注边界的DLP来保护客户数据。传统的解决方案使您的业务客户面临复杂的数据泄漏风险,这使得您的业务、客户数据、组织机密、个人隐私等容易受到数据泄漏的影响,这也包括与超级账户、远程工作者、外包团队、协同工作团队、运维人员等相关的风险。

今天,随着一切都在网上和向云移动,数据安全解决方案必须紧随其后,昨天的体系结构在今天的环境中已经不可持续了。为了实现全面保护,您的客户需要一体化的下一代终端保护和基于云的网络安全解决方案的结合,可以随时随地覆盖用户。网络防泄漏、邮件防泄漏、加密、脱敏、自适应无边界的数据安全运营、关注数据中心本身,也关注终端;关注企业数据边界也关注内部系统、部门、人员等,在安全与业务之间取得良好的平衡。

最匹配安全目标的就是最合适的:

数据安全管理是一个长期的行动,它随组织的发展和变化。因为,对于将要实施终端安全的企业来说,最大的困难就在于产品选型。市场上充斥着各种终端安全产品,其功能和所使用的技术根据其核心使用场景的不同有大量的重复,如果企业没有明确的终端安全管理目标,很容易在产品选型的过程中迷失。

所以,针对组织的数据安全的现状和迫切需要解决的问题,选择能够适合现在需要的产品,同时又能按需扩容、能有效在将来的需求中平滑升级功能模块、能不断升级内嵌的政策和法规知识图谱、开箱即用的大量的安全策略并可根据自身要求任意组合使用、权限策略、分级分类知识库和策略等等,是选择的重要指标。不要被忽悠了而去关心时候有很多跟OA或其他功能雷同的累赘功能上,否则,最后的安全管控肯定不甚理想!

统一身份管理

今天,终端安全的外延和内核均发生了很大的变化,传统的终端安全管理内容已经不能满足企业安全管理的发展和需要。企业安全风险管理的概念已经不再局限于针对终端是否安装防病毒、病毒库是否及时升级、是否违规外联、是否违规内联、是否U盘违规使用等被动防护需求,而是聚焦于主动防御功能,尤其是针对用户在终端操作行为的分析与监控、敏感数据在终端的使用和流转情况等终端安全风险进行管控和全面展现,管理人员需要及时掌握所辖区域终端信息安全的现状,及时进行风险排查和处置。

我们建议,将终端用户纳入企业统一用户身份管理将极大的提高终端数据安全管控精确度,匹配用户所在组织机构、岗位设置,以及企业数据分级分类管理要求,就可以针对特定岗位用户制定和下发明确的管控策略,实施监测与管控,并审计终端操作行为,避免“一刀切”造成该管的没管好,不该管的不好用的情况。可以做到用户无感,减少抵触情绪,有利于项目成功。

创新支撑的自适应数据安全运营平台

2020年4月,在中共中央、国务院印发的《关于构建更加完善的要素市场化配置体制机制的意见》中,“数据”作为新型生产要素,首次被纳入市场化配置的生产要素中。

2020年5月,国家发改委发布“数字化转型伙伴行动”倡议,构建数字化产业链,支撑经济高质量发展。

2020年8月,国资委在《关于加快推进国有企业数字化转型工作的通知》中提出,要加速传统企业全方位、全角度、全链条的数字化转型。

迈入数字化时代,数据运营成为新的价值驱动。开放共享成为数据合理有效利用的前提,数据价值的挖掘利用成为企业创新发展的抓手。企业内部数据运营环境因而发生显著变化,数据量急剧增长、业务流程纷繁复杂、接触数据的用户角色流动频繁,内部数据也因此面临更复杂的暴露风险和扩散滥用风险。这些风险环节也同样容易被恶意用户或病毒木马利用,导致更频繁、更隐蔽的恶意泄露和攻击窃取等风险事件的发生。

而传统安全产品和技术手段的堆叠,一方面会存在安全盲区导致防护效果降低,另一方面会极大影响数据流转效率,牺牲数据价值。

另外,传统的基于边界防护的数据防泄漏产品,他们关注的是在边界的防护上,只在当敏感数据要离开边界的时候告警或采取措施,它们的防护手段相对单一和粗暴一些,主要就是在边界进行阻拦或者审计等。但是,目前数据泄密,来自内部的数据风险急剧的增加,传统解决方案却很难检测或跟踪。

由于传统的数据防泄漏更多是管边界,所以对内部环境下的的恶意行为,例如恶意的数据、一些变形或其他一些恶意手段,它检测效率会很低。等这些数据到了边界处的时候,数据已经发生了很大变化的时候,传统的防泄漏产品可能完全检测不出来,更别说防护了。

站在数据运营的角度思考数据风险发生的原因以及有效的应对思路,基于零信任概念的自适应数据安全运营的防护这一理念越来越得到认可

自适应数据安全运营平台的核心是在数据运营中内嵌数据安全属性,解决数据运营过程中的数据安全问题,以一个平台的方式运行。

其目标是在不影响数据业务流程正常运行的情况下更有效的检测和保护组织内的敏感数据资产,对敏感数据的扩散及滥用风险进行快速响应,将数据安全防护策略传递至参与数据运营的所有人员。

基于该理念,自适应数据安全运营平台,以AI人工智能为核心驱动,对数据业务全流程进行无改造映射,安全防护与数据业务独立运行,互不影响。帮助用户管理跟踪各种类型、各种来源的个人隐私数据及商业数据,建立敏感数据资产全景视图,促进数据快速流转及安全协作共享,防范内部敏感数据违规滥用风险,基于数据角色及用户风险进行自适应的精准动态防护,打造以数据运营为核心的数据安全生态体系。

对数据在内部环境的数据全生命周期和全链路上,围绕数据、人、位置打造三维一体的安全体系,对内部就数据、文件等的活动轨迹有全面的监控,方便溯源,在全链路的监控下,整个数据的变化过程都能够清晰的跟踪,对类似恶意变形的操作行为等,检测率明显更高更准确,更能体现事前、事中、事后的全方位监控、报警、阻断、溯源等需要。

如果您认同我们的营销思想和做事的价值观,希望解决企业自身的经营难题和营销困境,可以联系我们。我们会真诚地为您解决难题,改变困境,合作共赢!帮助企业抓住商业趋势,找到市场“需求点”,让您的每一件事、每一个资源都能创造更大的价值,获益更多!


相关推荐

软文平台,企业该这样选择

随着互联网的发展,现在软文推广无处不在,软文推广呈现的形式多样生动,软文推广已经成为了各个企业商家推广品牌和产品的重要营销方式。但是关于软文推广,很多人都有误区。普遍的软文营销错误观念有下列4种:1、必须的情况下才做软文营销许多公司和店家在做软文营销时都是有一个错误观念,觉得软文营销是在有线下活动或品牌推广的情况下做的,别的情况下就没必要干了。实际上,公司在发展趋势的全过程中,无论是早期还是后半期,无论是有没有线下活动或是品牌推广,都必须长期性不断的做软文营销来提高知名品牌有关制造行业词的排行,那样当潜在用户在检索关键词时才可以产生引流方法的实际效果。2、软文营销是以便转换率软文营销有很多功效,例如公司和商品的信息传播、清除负面新闻的危害,及其提高客户的信赖感。但假如你觉得做软文营销是产生转换,那你就错的离谱。在大部分状况下,软文营销转换率是难以开展统计分析的,除非是在推广软文之中含有相匹配网址和购买网站,不然难以根据软文营销就产生网站访问量或是顾客总数。并且如今许多网络媒体发推广软文都很严苛,文章内容无法附加网址和购买网站,因此想根据软文营销就产生网站访问量或是顾客总数的念头是不正确的。3、推广软文随意写一篇就可以软文营销的实际效果优劣,在于推广软文的品质优劣。殊不知大部分公司和店家对推广软文的品质也不高度重视,认为推广软文随意写一篇就可以发,从来没有去想受众人群、本身优点这些这种难题,那样写出去的推广软文压根没有人付钱。软文营销在写的情况下,要依据你的营销推广目的,对于你的总体目标受众群体,挑选适合的营销软文,那样的软文才有实际效果。4、认为自身发就可以了在网络时代下,每一个人都能够有着自身的新闻媒体,乃至不用一切成本费就可以有着自身的新闻媒体账户。也因而,许多公司和店家在做软文营销时都是有一个错误观念,认为做软文营销用自身的网络媒体公布就可以了。实际上,软文营销公布的网络媒体和方式是有规定和规范的。假如仅仅单纯性发布商品或是活动详情,针对公布的网络媒体公信力的规定不是高的。可是如果是公布媒体公关稿或是想提升报导的公信力,那么就必须依靠公信力的主流媒体服务平台帮助了。许多公司在做软文营销时都是碰到许多难题,例如不清楚怎么写文章,标题不清楚如何取比较好,不清楚软文发到什么网络媒体好,或是是传出去的推广软文不被百度收录这些。假如你的公司也是有这类状况,提议你找一个技术专业的软文发稿服务平台做推广,技术专业的软文发稿服务平台会帮你处理之上你碰到的全部难题。挑选一家高品质的第三方软文发稿服务平台必须考虑到下列三点:1、看服务平台有着的新闻媒体总数有着新闻媒体总数的是多少是一家第三方软文发稿服务平台是不是高品质的参照规范。一般高品质的第三方软文发稿服务平台有着的新闻媒体总数会比较多,例如易推便是现阶段销售市场上有着上万家和新闻媒体总数的软文营销服务平台。2、看服务平台的新闻媒体是不是知名现阶段目前市面上较为大中型的著名新闻媒体有百度搜索、搜狐网、新浪网、新浪网,一个权重值高的门户网推广效果很有可能胜于几十个小网络媒体,一个有百度收录的网站胜于几十个沒有百度收录的网站。因而宣传策划全过程中一定要挑选合理的方式,那样的营销推广才不容易破坏环境,人力资源,资金。3、看服务平台的服务项目有什么一个技术专业靠谱的软文发稿服务平台,有一套详细售后维修服务系统软件,可以为顾客出示健全的服务项目,除开能编写高品质推广软文、搞好方案策划、防范风险,还能保证文章内容传出随后被百度搜索引擎百度收录和排行。软文推广营销并不是一件简易的事儿,绕开错误观念才可以获得预期目标,才可以使资金投入成本费与盈利做到最优控制的平衡。

2020年08月13日 10:42

租客网:中介经纪人2020年现状

今天租客网跟大家说一说中介行业经纪人的现状。作为地产行业的一支特别的队伍,他们大多是20来岁的年轻小伙子,拿着偏低的底薪,常年907,在大城市里租房生活的人。每天都在为指标奔波,使出浑身解数来开单。四月底的城市,大多数的房产门店渐渐活跃起来,穿着西装的房产经纪人开始恢复了正常的上班。而疫情之后的城市还是显得有些萧条,来看房源的人几乎没有,门店里的中介经纪人也闲不住,和周围的小贩坐在一起聊天。还记得过年前的房产经纪人是这样的:“阿姨、姐、叔叔,要不要看房子?这套房子最近做活动超低价,不来看看吗?”,几乎在每个城市的主干道、大型超市、公园的旁边,你都能看到一个个西装革履、手持单页戴着xx公司工牌的房产经纪人。小编曾看到过一句话:有人的地方就有房产经纪人,有小区的地方就有中介门店。房地产中介有个“小阳春”的说法,指的是在春节结束之后的一段时间,是房产经纪人开单最好的时期,这个阶段换工作的白领比较多,租房市场十分活跃;家里有孩子需要上小学的家庭,也要筹备学区房。所以,无论是二手房还是租房,都会迎来一个爆发。但是,这个春节,一场疫情,令一切成为泡影。现在的房产经纪人,近况着实不太令人乐观,几个月没有开张的大有人在。小王是一名房产经纪人,前几年楼市还未进行调控的时候,他一年的佣金都有20多万,但近两年随着楼市的持续调控,房地产市场逐渐变冷,不断的有人离职,也不断的有新人进来,靠着自己的努力,疫情未发生时,他还是能成功地开单,虽然收益虽然比前几年少但是生活绰绰有余。随着疫情,房产市场越来越差,即便现在的他依旧很努力,可他已经连续4个月没有卖出房子了,而上一单的销售佣金还要2个月以后才有可能拿到,连吃饭都成问题。走投无路的小王一口气装了很多房产平台APP,在每一个平台上都进行尝试,最终的目的只有,就是想开单,最后通过租客网的线上分销和VR看房成功开了一单,这一单帮他度过了难关,最起码不用担心吃饭的问题了,小王很开心。作为房产经纪人的苦与累,相信只有真正扎根于房产经纪行业的人,才能够深有体会。疫情当下,给房产经纪人的工作开展带来了很大的困难,每一位房产经纪人都需要更加高效便捷的工具,租客网平台实时VR看房的优势,在了解客户真正的需求的同时,也能从各方面节省客户和经纪人的时间,让客户感觉到房产经纪人的高效率,减轻房产经纪人本身的工作强度。现在这个社会,互联网是最基础的设施,几乎所有的公司都在向互联网所靠拢,力求提高效率,降低成本。房产行业也不例外,疫情期间,房产行业严重依赖于线上互联网。无论是买房还是购房,客户先进行线上VR看房都是必不可少的一个环节。将房源信息放到线上,多了一个信息分发渠道的同时,也为客户和房产经纪人带来了便捷。机遇,永远属于有远见的人。

2020年05月05日 14:05

明辨假证 顺利出口 -- BSI详解口罩CE认证的法规和流程

导言:BSI详细解读欧盟CE认证的法规要求和流程,同时也帮助大家识别和判定真正有法律效力的CE证书。  为有力支持全球抗击疫情工作,规范认证市场秩序,2020年4月5日市场监管部门开展口罩、防护服等防疫用品领域认证活动专项整治行动,重点打击虚假认证、买证卖证等认证违法行为。为了帮助口罩等防疫用品生产企业了解欧盟法规,帮助其防疫用品合法的进入欧盟等国际市场。对此,BSI详细解读欧盟CE认证的法规要求和流程,同时也帮助大家识别和判定真正有法律效力的CE证书。  I.口罩CE认证的法规要求  欧盟CE认证(或CE标记)是欧盟对产品在欧盟上市而进行监管模式。欧盟委员会针对不同的产品制定不同的法规,规定产品的质量和安全的基本要求,以及上市的流程和程序,法规适用于所有成员国。各成员国对应的主管当局负责该法律在本国的执行,但是对产品上市的批准,也就是CE认证是通过欧盟认可的第三方机构,即公告机构(NotifiedBody)来进行的,欧盟成员国及其主管当局是不会直接发放CE证书的,只对公告机构进行监管,公告机构的资格是由成员国的主管当局和/或欧盟认可的(Designation)。公告机构为制造商(在我国称生产企业或者注册人)提供CE认证服务,也就是进行法规符合性审核(类似我国药监局器械审评中心和体系核查中心的职责),达到法规要求的,向制造商发放CE证书。制造商获取CE证书之后,就可以签署符合性申明,打上CE标记,该产品就可以在欧盟境内(欧盟经济区EEA)自由的销售。需要说明的是CE标记是一个法律标记,而不是一个自愿的标记,CE认证也是强制性的法规认证。下图是对欧盟、成员国的主管当局、公告机构和制造商的关系说明。口罩CE认证的法规要求  口罩在欧盟根据预期用途的不同,可以分为医用口罩,和个人防护装备(PPE:PersonalProtectiveEquipment)口罩两种,分别归属医疗器械法规MDR(或医疗器械指令MDD)和PPE法规进行管理。2007年发布的第五版的MDD93/42/EC医疗器械指令,对属于医疗器械的口罩,如果同时具有PPE的功能和预期用途,需要同时满足医疗和PPE口罩的法规要求和认证,故此一种口罩可能既是医用口罩,又是PPE口罩,这种产品在欧盟叫双重产品(DualProduct)。如何进行判定属于哪一种口罩,需参照对应的法规和标准里面的定义。  按照欧盟医用口罩的协调性标准《EN14683:2019MedicalFaceMask》,医用口罩是指覆盖口鼻去减少在工作人员和患者之间直接传播感染性物质的屏障。该标准适用于手术过程,或者其它类似要求的医疗环境,预期去限制将感染性物质由工作人员传给患者的医用口罩的构造、设计、性能要求和测试方法。它更偏向于控制将感染性物质由工作人员传给患者,或保护医院的工作环境。根据防护水平和目的,常见的有两种类型的医用口罩,一种类型是给病人使用的,特别是在传染病流行期间,去减少这种疾病的传播;另外一种是医护工作者在手术室或者其它类似环境使用的,去减少感染性物质对病人的感染或对环境的污染。(*参见EN14683:2019范围和附录A)  按照PPE法规Regulation(EU)2016/425,个人防护口罩可以理解成为了减少或者消除风险而设计制造的,由个人穿戴,去保护个人(本人)的健康和安全的口罩。故此,简单和通俗的来说,医用口罩是保护别人或者医疗环境,而PPE口罩是保护自己的。当然,如果预期宣称同时这两种用途,那么它既是医用口罩,又是PPE口罩。  在中国,口罩通常分为民用口罩和医用口罩,为了方便大家理解,特将中国口罩类型及标准和欧盟的口罩类型及适用标准相对应,帮助大家理解您的口罩可能对应的是那种欧盟口罩,以及需要满足那个标准的要求。需要说明的是这种对应并不是严格的对应,并且中欧标准要求也有差异,请大家自己根据标准的详细要求分析并判定。  日常防护性口罩GB/T32610-2016  呼吸防护口罩EN149:2001+A1:2009Respiratoryprotectivedevices;  分为FFP1,FFP2andFFP3三类  呼吸防护口罩GB2626-2006;过滤效率分为三级KN90(90%),KN95(95%),KN100(99.97%)  医用防护口罩GB19083-2010;过滤效率1,2,3级:95%,99%,99.97%  医用口罩EN14683:2019Medicalfacemasks;分为TypeI(95%),TypeII(98%),TypeIIR(98%).  *(EN14683:2005名称是手术口罩Surgicalmasks)  医用外科口罩YY0469-2011  一次性使用医用口罩YY/T0969-2013  如果大家对自己的口罩判定是属于哪一种口罩,那就需要满足那种口罩的法规要求。但不管哪种法规,口罩在欧盟上市都需要进行CE标记,打上CE标记,就表明该产品满足欧盟法规的要求,达到欧盟所认可的质量水准,产品是安全和有效的。欧盟法规,会根据产品风险的高低进行分类,根据分类不同而采取不同的认证(上市)路径,对于高风险的产品,需要公告机构进行CE认证,获取CE证书之后,才能进行CE标记,上市销售。而低风险的产品,可能不需要公告机构,企业可以通过自我申明上市,企业在确保自己的产品符合欧盟法规,产品是安全有效,建立技术文件,然后签署符合性声明,到欧盟主管当局注册登记之后,打上CE标记,在欧盟销售。下面将分别介绍医用口罩和PPE口罩在欧盟上市的流程和法规要求。  一、医用口罩  医用口罩需要满足MDD/93/42/EC指令,或者欧盟新医疗器械法规MDR2017/745的要求。MDR法规于2017年5月5日发布,过渡期为三年,将于2020年5月26日全面生效,取代MDD指令。但因为新冠肺炎,欧盟委员会于4月3日已经正式起草延期MDR一年到2021年5月26日才全面执行MDR的提案,该提案正等待欧盟议会和欧盟理事会的批准。但不管是MDD指令,还是MDR法规,医用口罩都分为一类(ClassI)。因为医用口罩有灭菌的口罩和非灭菌的口罩,按照MDD或者MDR的要求,非灭菌的口罩可以由企业自我申明,然后到对应一个欧盟成员国的主管当局进行登记注册,就可以上市销售。但灭菌的口罩需要有公告机构参与,进行审核,发放CE证书之后,才能签署符合性申明,打CE标记,上市销售。但不管公告机构是否进行审核,企业都需要按照法规的要求,参照认可的协调性标准或者满足欧盟质量水准的标准进行测试,证实产品的安全及有效,建立技术文件和质量管理体系,保证产品的质量安全和持续有效。  技术文件的要求,参照MDR法规附录II和附录III的要求(MDD的请参照附录7的要求),通常包括以下七个部分:器械的描述和规范,包括名称、预期用途、分类、原料、构成、技术规范等。产品的标签和(或)说明书产品设计和制造的相关的信息满足基本安全和通用性能的要求(附录IGSPR)受益和风险分析,及风险管理文档产品的验证和确认,包括临床前的测试和临床(评估)数据上市后监督计划  质量管理体系可以参照欧盟的协调性标准ISO13485:2016进行,对于一类的产品,并不需要包括完整的质量管理体系,比如可以对设计过程进行删减,对自我申明的非灭菌的产品,最重要的是售后监督的部分。另外,需要说明的是:质量管理体系需要参照ISO13485:2016来运行或者审核,但ISO13485证书,对欧盟的CE认证来说并不是必须或者强制的。但多数的企业都会选择ISO13485的证书,这样可以提高客户对制造商能满足法规要求及产品质量保证的信心。  另外,对于欧盟境外的制造商(如中国的制造商),需要在欧盟境内选择或任命一个欧盟代表,来代替制造商进行相关的活动,比如去主管当局进行一类自我申明产品的登记和不良事件的报告等。制造商需要和欧盟代表需签订协议,并规定各自承担的职责。按照新的MDR法规,制造商需要将整套的技术文件提交给欧盟代表,以便主管当局备查。  二、PPE口罩  按照PPE法规(Regulation(EU)2016/425)附录I的分类准则,用于防止生物危害(如:新型冠状病毒)的口罩,属于CategoryIII,需要有公告机构进行审核发放PPE的CE证书,才能在欧盟合法上市销售。根据PPE法规的认证途径,企业需要建立技术文件,并满足EN149:2001+A1:2009的规格和测试要求。按照附录V进行型式检验(ModuleB:EUTypeExamination)的路径,加上附录VII内部生产控制及公告机构抽样检测(ModuleC2)或者附录VIII生产质量管理体系(ModuleD),来完成符合性认证的途径,故此PPE的口罩至少有两张PPE的CE证书才能够上市销售,即:1)附录V的型式检验证书,2)附录VII(ModuleC2)的证书,或者附录VIII(ModuleD)的证书。  目前BSI已经进开通了PPE口罩的快速通道,请参照网址:https://mp.weixin.qq.com/s/ALxdeqRJFtdHJcgvVa9kqQ  为了大家更清楚的了解医用口罩和PPE口罩CE认证(或CE标记)的流程的异同,特归纳成下表,供大家参考:  口罩类别  医用非灭菌口罩  医用灭菌口罩  个人防护口罩  用途  在医疗环境中佩戴去保护病人,或者由病人佩戴,防止疾病传播  在手术环境或类似的医疗环境中佩戴去保护病人或者环境,防止疾病传播  给个人佩戴去保护该人员的健康和安全,免除对应的风险  适用法规  MDR法规(或MDD指令)  MDR法规(或MDD指令)  PPE法规(EU)2016/425  分类  I类非灭菌  I类灭菌-ClassIs  III类  主要适用标准  EN14683  EN14683+灭菌标准  EN149  技术文件  需要  需要  需要  体系要求  售后监督要求  需要  需要  认证途径  自我申明  公告机构CE认证  公告机构CE认证  CE证书  不需要CE证书  一张CE证书  两张CE证书  符合性申明  需要(在确保产品安全有效符合法规要求后签署)  需要(在获取CE证书后签署)  需要(在获取CE证书后签署)  CE标记  需要(CE)  需要(CE+公告机构号码,如:CE0086,CE2797)  需要(CE+公告机构号码,如:CE0086,CE2797)  II.那些CE证书的故事–识别CE证书  通过以上的介绍,大家理解CE认证和流程非常专业,只有有资格的公告机构才能发放有效的CE证书。如何确定公告机构的资格,可以通过欧盟对应网站(Nando)进行查询,以下是对应MDR法规(EU)2017/745、MDD93/42/EC指令,以及PPE法规(EU)2016/425认可的公告机构的查询网址。  欧盟法规  网址  医疗器械MDR法规  https://ec.europa.eu/growth/tools-databases/nando/index.cfm?fuseaction=directive.notifiedbody&dir_id=34  医疗器械MDD指令规  https://ec.europa.eu/growth/tools-databases/nando/index.cfm?fuseaction=directive.notifiedbody&dir_id=13  PPE法规  https://ec.europa.eu/growth/tools-databases/nando/index.cfm?fuseaction=directive.notifiedbody&dir_id=155501  大家登入对应的网址,可以确认该公告机构是否为对应法规所认可的公告机构。除了确认公告机构是否有资格外,还需要对公告机构的资格范围进行确认,以BSI荷兰公告机构CE2797为例,点击对应PPERegulation2016/425,打开对应网页或者PDF的认可范围,可以核对产品范围、认证路径(Procedure/Module)和附录来进行最终的判定,表明BSI可以提供PPE口罩的附录V和附录VII或者附录VIII的证书。  除了选择合法有效的公告机构。大家在市场上经常碰到五花八门的CE证书,真正的CE证书一般包括哪些内容,而常见的假的或者无效的CE证书又有哪些类型?下面来帮助大家梳理一下,先看一张BSI发的PPE的CE证书样本:BSI发的PPE的CE证书样本  大家可以看到,这张CE证书以法规的认证附录(ECTypeExaminationCertificate)作为证书的名称或者类型,证书内容不但列出对应的法规及其附录、标准,以及明确满足相关的要求的描述(如meettherelevanthealthandsafetyrequirementsspecifiedin…),另外还清楚显示公告机构的号码(NotifiedBodyNumber2797),通过该号码可以查询和核对公告机构的资质。另外该证书,还可以通过证书上的蓝色的链接(online)进行验证。目前欧盟CE证书没有统一的查询路径和方法,需要直接向发证机构进行查询和确认。未来的MDR法规下,将会建立欧盟数据库(EUDAMED),将可以查询各机构发放的CE证书。BSI证书查询的方式请参见微信文章,网址:https://mp.weixin.qq.com/s/Vi7-sWoCQRPT4wAPCDSnmw  常见的CE的假证书,或者说是无法律效力的CE证书有很多,在此列举三种此类的CE证书,来帮助大家识别和判定:  第一类CE证书为《Certificateofcompliance符合性证书》简称COC证书。从欧盟的法规来说,并没有要求有此类的COC或者符合性证书,企业需要进行测试来证实产品的安全和有效性,该测试可以自己进行(如自己有能力),也可以请第三方实验室进行测试,测试的结果和报告需要包括在技术文件中,正常情况并不需要证书。很多企业并不清楚欧盟法规的要求,误以为这就是欧盟认证的CE证书,其实它是没有法律效力的。另外,企业的符合性申明(DOC:DeclarationofConformity)是一个法规的文件,需要企业自己签署,申明符合对应的法规要求,并承担法律责任。对于自我申明的产品,很多企业觉得没有第三方的证书,心里不踏实,故此,去寻求或者购买一张此类的证书。但其实按照欧盟的法规,自我申明的产品并不需要第三机构的任何证书,只需要提供企业签署的符合性申明。有些企业误认为其获取的此类第三方证书,在注册过程中真的起了作用,却不知真正起作用的是他自己签署的符合性声明。当然,最近也碰到,因为提供了这类假证书,而降低主管当局的信心,从而没有注册成功的案例。另外欧盟安全联盟(EuropeanSafetyFederation),也于近期发文,指出很多机构发放无效的CE证书。  发放此类证书的机构包括以下几种:  1.假的机构,比如下图假证书中列的BSITestingLimited,该机构不是BSI英国标准协会的公告机构(CE0086或者CE2797),在欧盟网站上也查不到该机构的名称。该证书完全是一个冒名顶替的假证书。虚假CE证书  2.无公告机构资格的第三方机构,应客户的需求发放此类证书,他们可能进行类似公告机构的评审,但实际这种证书没有任何法律效力。  3.测试机构,有些测试机构也应客户的要求,发放类似的证书。从合规的角度来说,测试报告更能证实产品是否满足对应的标准要求。法规并没有要求发放这类证书,企业也不能以这个证书来完成上市销售。  4.欧盟代表,有些欧盟代表也会在帮助企业完成自我申明的产品的CE登记注册后,给企业发放一个类似证书。其实自我宣称的产品,在欧盟登记后是没有CE证书的,只是有个回执的信函。另外,有些主管当局会应企业的要求,给企业发自由销售证明,但并不是CE证书。  此类型假的或者无法律效率的符合性证书多带有大大的CE字母,但没有公告机构的号码。证书题目多是CertificateofCompliance或CertificateofConformity,而不是法规和对应附录的证书类型,内容没有包括完整的,前面示范证书所描述的内容,发证机构的资质也无法在欧盟网站上得以验证。  第二类型无法律效率的“CE证书”为ECAttestationofconformity《欧盟标准符合性证明书》。ECAttestationofConformity(或者叫“证明函”更合适),主要是针对一类的产品,由公告机构或者第三方机构发的,以满足有些企业的需求。这种证书可能在有些小的国家(特别是欧盟之外的国家)有些作用,因为这些小的国家可能没有自己的医疗器械监管法规和能力,也认可CE证书,但他们对欧盟法规不甚了解,对只有企业的自我申明又不太信任,有总比没有好。但实际按照法规要求,这种证书是没有法律效力的。另外,主管当局(比如英国MHRA),就要求公告机构不能发这种Attestation证书或者证明函。因为按照法规要求,自我申明的产品是企业自己的职责,这不是公告机构的职责。而主管当局对公告机构的要求是:公告机构做好自己应该做的事,审核好需要审核的产品,并发放该发的CE证书,对企业自我申明的产品由企业自己控制。还用有类似中国谚语:“不要狗拿耗子、多管闲事!”来提醒公告机构。因为主管当局要求,现在发这种证书的公告机构越来越少了。  第三类无法律效力的“CE证书或者报告”,为技术文件评审证书或者评审报。这和第二种情况类似,也是针对自我申明的产品,因为主管当局的要求,不能发放Attestationofconformity的证书,有些机构就改成了技术文件的评审证书或者评审报告,这种证书和报告也不为欧盟主管当局所认可。  另外除了CE证书,FDA也是不会发放任何证书,但市场上确有很多的FDA证书,以至于最近FDA专门发文澄清:FDA是不会发放任何形式的证书。  希望广大企业在出口的过程中,充分了解和学习各国和地区的法规要求,正确的选择合法有资格的公告(或认证)机构,不要被假的机构或证书所蒙骗,这样才能减少风险,保证自己的产品合法合规的在国外上市,以帮助全世界的国家和人民来抗击疫情。希望中国生产的口罩能够合法合规的“罩”顾世界。  关于BSI集团  BSI是一家能够帮助组织将最佳实践标准转化为卓越习惯的业务改进公司。一个世纪以来,BSI始终致力于追求卓越并促进全球组织采用最佳实践。BSI在全球193个国家/地区拥有84,000多家客户,作为一家真正的国际企业,它拥有涵盖众多行业(包括汽车、航空航天、建筑环境、食品和医疗保健)的丰富技能和专业知识。凭借其在标准和知识解决方案、保障及专业服务领域的专业所长,BSI致力于帮助客户提升业务绩效以实现可持续增长、有效管理风险并最终打造更具生存力的组织。

2020年04月25日 09:47