Консалтинг з інформаційної безпеки

Консалтинг з інформаційної безпеки та відповідності GxP

Synchron допомагає організаціям побудувати систему управління інформаційною безпекою за ISO/IEC 27001. Ми також допомагаємо фармацевтичним, лабораторним і дистриб’юторським організаціям виконати ІТ-частину вимог GLP, GMP і GDP. Консультуємо як команда, що будує й обслуговує інфраструктуру. Тому рекомендації стають технічними заходами, які працюють на практиці.

Ми працювали над ІТ-інфраструктурою, валідацією комп’ютеризованих систем і доказовою документацією для наших клієнтів під час сертифікаційних аудитів ISO/IEC 27001 та процесів інспекції й акредитації GLP, GMP і GDP. Ці процеси завершилися успішно.

Консалтинг з ISO/IEC 27001

ISO/IEC 27001 — міжнародний стандарт, що встановлює вимоги до системи управління інформаційною безпекою (СУІБ). Чинна редакція — ISO/IEC 27001:2022. Проєкт виконуємо такими кроками:

1. Сфера та контекст: визначаємо сферу СУІБ, інформаційні активи та зацікавлені сторони.
2. Оцінка ризиків: оцінюємо загрози та вразливості й готуємо план обробки ризиків.
3. Положення про застосовність: документуємо, які заходи додатка A застосовано і чому.
4. Технічні заходи: впроваджуємо в інфраструктурі керування доступом, журналювання й моніторинг, резервне копіювання, шифрування та фізичну безпеку.
5. Політики та процедури: готуємо потрібні політики, процедури та шаблони записів.
6. Внутрішній аудит і аналіз з боку керівництва: проводимо внутрішній аудит перед сертифікаційним аудитом і закриваємо невідповідності.

Сертифікаційний аудит проводить акредитований орган сертифікації. Ми надаємо технічну підтримку під час аудиту.

GLP: належна лабораторна практика OECD

Принципи OECD GLP (редакція 1997 року) встановлюють умови планування, виконання, моніторингу, реєстрації, архівування та звітування доклінічних досліджень безпеки для здоров’я людини й довкілля. Вони застосовуються до досліджень лікарських засобів, засобів захисту рослин, косметики, ветеринарних препаратів, харчових і кормових добавок та промислових хімічних речовин. Дані, отримані за цими принципами, визнаються між країнами-членами відповідно до рішення OECD про взаємне визнання даних.

Принципи містять чіткі ІТ-вимоги:

• Керівництво випробувального закладу забезпечує, щоб комп’ютеризовані системи відповідали призначенню, були валідовані, експлуатувалися й обслуговувалися відповідно до GLP (розділ 1.1.2 q).
• Для валідації, експлуатації, обслуговування, безпеки, контролю змін і резервного копіювання комп’ютеризованих систем потрібні стандартні операційні процедури (розділ 7.4).
• Для даних, що вводяться безпосередньо в комп’ютер, потрібен журнал аудиту, який показує всі зміни й не приховує оригінальних даних (розділ 8.3.5).
• Документацію з валідації комп’ютеризованих систем архівують. До архіву мають доступ лише уповноважені особи (розділи 10.1 і 10.3).

Документ № 17 серії OECD GLP (Application of GLP Principles to Computerised Systems, 2016) описує підхід життєвого циклу до валідації та експлуатації комп’ютеризованих систем. Він замінив попередній документ № 10. У GLP-проєктах ми оцінюємо лабораторне програмне забезпечення, системи збору даних та ІТ-інфраструктуру відповідно до цього документа.

GMP: EU GMP Annex 11 і 21 CFR Part 11

EU GMP Annex 11 — настанова щодо комп’ютеризованих систем у діяльності, регульованій GMP. Вона набула чинності 30 червня 2011 року. Згідно з Annex 11 застосунок валідують, а ІТ-інфраструктуру кваліфікують. У проєктах ми охоплюємо такі теми:

• Управління ризиками: обсяг валідації та заходів цілісності даних ґрунтується на задокументованій оцінці ризиків.
• Постачальники та сервіс-провайдери: офіційні угоди з третіми сторонами визначають їхні обов’язки.
• Зберігання даних і резервне копіювання: дані захищають фізичними та електронними засобами. Цілісність резервних копій і можливість відновлення перевіряють.
• Журнал аудиту та управління змінами: зміни й видалення, що стосуються GMP, фіксують. Зміни системи виконують за визначеною процедурою.
• Безпека: застосовують фізичний і логічний контроль доступу. Створення, зміну та скасування прав доступу фіксують.
• Безперервність діяльності та архівування: процес триває під час збою системи. Архівні дані перевіряють на читабельність і цілісність.

Для організацій, що постачають продукцію на ринок США, 21 CFR Part 11 встановлює вимоги FDA до електронних записів і електронних підписів. Настанова FDA щодо сфери та застосування рекомендує ризик-орієнтований підхід до рішень щодо валідації та журналів аудиту.

GDP: належна дистриб’юторська практика

Настанови з належної дистриб’юторської практики лікарських засобів для людини (2013/C 343/01) встановлюють вимоги до зберігання й дистрибуції. З боку ІТ та інфраструктури ми виконуємо таку роботу:

• Моніторинг середовища складу щодо температури, світла, вологості та чистоти. Температурне картування перед використанням і розміщення датчиків у точках з найбільшими коливаннями (розділ 3.3).
• Підтвердження валідацією або верифікацією перед використанням, що комп’ютеризована система дає точні, послідовні та відтворювані результати (розділ 3.5.1).
• Актуальний опис системи, введення даних лише уповноваженими особами, регулярне резервне копіювання та процедура відновлення даних у разі збою (розділи 3.5.2–3.5.5).

Валідація комп’ютеризованих систем (CSV)

Валідація комп’ютеризованої системи документально підтверджує, що система придатна для призначеного використання й залишається такою. Друге видання настанови ISPE GAMP 5 (липень 2022 року) наголошує на ризик-орієнтованому підході до комп’ютеризованих систем GxP і критичному мисленні експертів. Валідацію плануємо за V-моделлю:

1. План валідації та оцінка ризиків: визначаємо вплив системи на GxP і обсяг валідації.
2. Вимоги користувачів (URS): пишемо вимоги, які можна простежити.
3. Функціональні та проєктні специфікації: аналізуємо документи постачальника й доповнюємо прогалини.
4. Кваліфікація монтажу (IQ): документуємо, що обладнання, програмне забезпечення та конфігурацію встановлено за специфікацією.
5. Операційна кваліфікація (OQ): тестуємо функції, граничні значення, обробку помилок і журнал аудиту.
6. Експлуатаційна кваліфікація (PQ): показуємо, що система виконує вимоги в реальному бізнес-процесі.
7. Матриця простежуваності та звіт про валідацію: пов’язуємо кожну вимогу з тестом і звітуємо про результат.

Після валідації підтримуємо систему у валідованому стані за допомогою контролю змін, періодичного перегляду та тестів відновлення з резервних копій.

Цілісність даних: ALCOA+

Настанова PIC/S з управління даними та їх цілісності (PI 041-1, 2021) очікує, що записи мають атрибути ALCOA+: атрибутовані, розбірливі, своєчасні, оригінальні, точні, повні, послідовні, довговічні та доступні. Ці атрибути ми підтримуємо технічно: персональні облікові записи, синхронізація часу, перегляд журналів аудиту, резервне копіювання та проєктування архіву.

Як ми працюємо

1. Аналіз розривів: порівнюємо поточний стан з вимогами й складаємо перелік прогалин.
2. Дорожня карта: перетворюємо прогалини на план за ризиком і пріоритетом.
3. Впровадження: будуємо технічні заходи, готуємо процедури та шаблони записів.
4. Валідація та тестування: валідуємо системи й збираємо доказові документи.
5. Підготовка до аудиту: проводимо внутрішній аудит і надаємо технічну підтримку під час аудиту.
6. Підтримка: зберігаємо відповідність завдяки періодичному перегляду та контролю змін.

Для аналізу розривів напишіть нам через форму зв’язку.