文章总结： 该文档为医药健康行业数据安全共创成果报告，核心观点是保护数据之外还需持续证明数据位置、访问主体与受控状态。调研显示78.6%将患者敏感信息列为最优先保护数据，71.4%关注AI行为审计难题。建议从单一AI或第三方协作场景入手，打通发现、分类、加密、访问控制与审计证据，形成可复制的最小治理闭环。 综合评分： 45 文章分类： 产品介绍,软文广告,数据安全,解决方案

让数据安全流动，并持续证明｜医药健康行业数据安全共创成果

THALES THALES

IMPERVA

2026年9月16日 10:00 上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

CMIS 2026 · 医药健康行业安全共创

让数据安全流动， 并持续证明

医药健康行业数据安全共创成果：从数据可见性、AI 访问，到全球协作下的可信治理。

DATA SEC TRACK · 2026.08.27 · CHATHAM HOUSE RULE

AI、云、SaaS、CRO/CDMO 与全球协作让医药数据持续跨越组织和地域边界。共创形成的核心判断是：保护数据还不够，企业还需要随时回答数据在哪里、谁正在访问、为何可以访问，以及如何证明访问始终受控。

调研信号 · 四个关键数字

78.6%

将患者或个人敏感信息 列为最优先保护数据

71.4%

关注敏感数据泄露 与 AI 行为难以审计证明

64.3%

将可见性不足与责任协作不清 列为最大障碍

71.4%

希望优先建设 AI / Agent 数据访问治理

01 / 调研信号

高价值数据正在进入新的访问链

参会群体最关心的不是某种存储介质，而是数据被 AI / Agent、云平台和第三方持续调用后，能否保持可见、可控和可证明。

高频数据流动场景

AI 平台、RAG 知识库或第三方 AI 服务 64.3%

国内跨部门、跨组织协作 57.1%

云及 SaaS 平台 50.0%

CRO / CDMO 等合作伙伴协作 35.7%

国际临床试验、注册与申报 28.6%

02 / 关键洞察

数据安全的第一步，是建立持续可见性

“敏感数据在哪里”仍不是实时答案

28.6% 实时或接近实时

50.0% 几小时内

14.3% 需几天和多团队协作

7.1% 很难完整回答

启示：分类分级若主要依靠一次性盘点和人工维护，就难以跟上云、SaaS、RAG 与第三方数据流动的变化速度。

AI 带来的不是一种新数据，而是一类新访问主体

Agent 可跨系统读取患者、临床、研发、生产和商业数据，也可能调用第三方模型。传统“人员账号 + 静态权限”无法完整覆盖机器身份、短时任务、动态上下文和自主执行。

访问治理需要回答四个问题：它是谁、因何任务访问、可以访问到什么程度、行为是否完整留痕并可验证。

保护降低风险；持续、可验证的证据，才能建立跨组织信任。

数据安全能力闭环

发现：持续识别敏感数据、位置与流动路径

分类：按价值、场景、地域和生命周期分级

保护：加密、脱敏、令牌化与统一密钥

控制：治理人员、应用、API、第三方与 Agent

证明：持续审计、追溯并生成可信证据

03 / 共创成果

从“数据保护”走向“可证明的信任”

1｜最值得优先解决

建立 AI / Agent 安全访问医疗健康数据的机制，让访问范围、任务目的、使用时长、输出内容和审计证据保持一致。

2｜最大的落地障碍

敏感数据缺乏统一可见性，数据 Owner 与跨部门责任不清；分类分级难以持续维护，工具和证据分散在多个平台。

3｜行业需要形成的共识

安全强度应与数据价值和业务场景匹配。管理、技术与必要的物理隔离形成分层控制，不能用“一刀切”替代风险判断。

4｜可立即启动的行动

选择一个 AI 或第三方协作场景，打通数据发现、分类、加密、访问控制和审计证据，形成可复制的最小治理闭环。

五项共识原则

先看见：未知的数据无法被持续保护

按价值分级：患者、研发、临床和生产各有重点

主体全覆盖：人员、应用、机器、第三方和 Agent

流动中保护：跨云、跨境、跨组织仍保持控制

证据可持续：从人工取证转向持续可信证明

04 / 未来 90 天

用一个数据流动场景验证闭环

优先考虑 AI / RAG、CRO/CDMO 协作、云与 SaaS 或跨境临床场景，并选择能得到业务 Owner 支持的范围。

DAY 0—30 发现与定责

· 确定试点场景、业务目标和数据 Owner · 绘制数据来源、流向、存储、第三方与地域 · 识别患者、临床、研发、生产等敏感数据 · 明确不可接受的数据使用和输出边界

DAY 31—60 保护与控制

· 按场景应用加密、脱敏或令牌化 · 统一密钥策略，避免密钥与数据同域失控 · 对人、应用、API、第三方与 Agent 落实最小权限 · 验证权限回收、数据留存和跨境控制

DAY 61—90 审计与证明

· 关联数据位置、身份、访问和保护状态 · 生成监管、总部或合作伙伴可理解的证据包 · 演练第三方退出、异常访问和数据泄露响应 · 依据风险降低和业务效率决定复制范围

输出 01

场景级数据流与敏感数据地图

输出 02

数据 Owner、访问主体与责任矩阵

输出 03

分级保护和密钥控制基线

输出 04

访问追溯与持续可信证据包

THALES 解决方案

让敏感数据持续可见、受保护、可证明

CipherTrust 数据安全态势管理（DSPM）

在多云、SaaS 与数据存储中持续发现并分类敏感数据，绘制数据位置与流动路径，识别过度暴露与访问风险，让“数据在哪、谁能访问”成为实时答案。

CipherTrust 数据安全平台

以数据为中心，统一加密、令牌化、脱敏与密钥管理，覆盖人员、应用、第三方与 Agent 访问，并提供可审计、可追溯的持续可信证据。

产品信息参考：cpl.thalesgroup.com/encryption/data-security-posture-management 与 cpl.thalesgroup.com/encryption/data-security-platform

THALES CSP PERSPECTIVE

从一个高价值数据流开始，建立可证明的信任

建议以“敏感数据持续可见、关键数据始终受保护、所有访问主体可控、控制效果可以证明”为主线，将数据发现与分类、加密与密钥管理、机器与第三方访问治理、持续审计串成一个场景级闭环。

如希望参与后续行业交流、获取数据安全成熟度自评清单或开展场景工作坊，请联系您的 Thales CSP 对接团队。

方法说明：本成果基于会前匿名调研、现场主题分享和分组讨论整理，遵循 Chatham House Rule，不呈现任何企业或个人身份。页面百分比仅展示参会群体的方向性信号，不代表整个医药健康行业的总体统计结论；多选题比例合计可能超过 100%。

您可以与我们各区域的销售团队联系，以获取更多支持。 我们将竭诚为您提供帮助，期待为您解答任何疑问。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：IMPERVA THALES THALES《让数据安全流动，并持续证明｜医药健康行业数据安全共创成果》