Chính sách Hệ thống máy tính hóa và Tính toàn vẹn dữ liệu của SAO NAM

Mục lục

1. Mục đích

Chính sách này thiết lập các nguyên tắc tối thiểu để SAO NAM quản lý hệ thống máy tính hóa, phần mềm, cấu hình và dữ liệu trong phạm vi do SAO NAM tư vấn, triển khai, bảo trì, sửa chữa, nâng cấp, hỗ trợ kỹ thuật hoặc tiếp cận thay mặt khách hàng.

2. Phạm vi áp dụng

Chính sách áp dụng cho nhân sự SAO NAM, nhà thầu phụ và bên thứ ba có quyền truy cập, cấu hình, bảo trì hoặc hỗ trợ đối với các hệ thống và dữ liệu liên quan đến khách hàng.

Phạm vi bao gồm:

• Phần mềm giám sát môi trường, hệ thống thu thập dữ liệu, phần mềm thiết bị và ứng dụng báo cáo.
• Thiết bị có firmware, bộ nhớ, tài khoản người dùng, audit trail hoặc khả năng truyền dữ liệu điện tử.
• Máy chủ, máy trạm, cơ sở dữ liệu, giao diện, mạng, thiết bị lưu trữ và hạ tầng liên quan trong phạm vi dự án.
• Cấu hình, tài khoản, phân quyền, cảnh báo, audit trail, báo cáo, đồng bộ thời gian, sao lưu và khôi phục.
• Dữ liệu thử nghiệm, dữ liệu vận hành, hồ sơ điện tử, log kỹ thuật và bản sao lưu mà SAO NAM được phép tiếp cận.

3. Thuật ngữ và định nghĩa

4. Nguyên tắc quản trị hệ thống máy tính hóa

5. Quản lý vòng đời hệ thống

6. Thẩm định và xác minh hệ thống

Hoạt động thẩm định hoặc xác minh phải dựa trên intended use, mức độ quan trọng và đánh giá rủi ro. SAO NAM hỗ trợ trong phạm vi hợp đồng và không thay thế trách nhiệm phê duyệt cuối cùng của khách hàng.

7. Tính toàn vẹn dữ liệu và nguyên tắc ALCOA+

Dữ liệu phải được quản lý để duy trì các thuộc tính sau trong toàn bộ vòng đời:

8. Quản lý tài khoản, xác thực và phân quyền

• Mỗi người dùng phải sử dụng tài khoản riêng; không chia sẻ tài khoản hoặc mật khẩu.
• Quyền được cấp theo vai trò, nguyên tắc tối thiểu cần thiết và có phê duyệt của người có thẩm quyền.
• Tài khoản quản trị phải được giới hạn, theo dõi và không sử dụng cho thao tác thường ngày khi không cần thiết.
• Tài khoản mặc định phải được thay đổi hoặc vô hiệu hóa trước khi đưa vào vận hành.
• Tài khoản phải được khóa/xóa khi nhân sự nghỉ việc, chuyển vai trò hoặc hết thời hạn hỗ trợ.
• Quyền truy cập được rà soát định kỳ và sau thay đổi tổ chức, sự cố hoặc nâng cấp lớn.
• MFA, chính sách mật khẩu, timeout, khóa tài khoản và cơ chế xác thực mạnh được áp dụng khi hệ thống hỗ trợ và phù hợp rủi ro.

9. Audit trail, log hệ thống và đồng bộ thời gian

Đối với chức năng GxP quan trọng, audit trail và log phải được bật, bảo vệ và xem xét phù hợp với rủi ro.

• Audit trail phải ghi nhận tối thiểu người dùng, thời điểm, hành động, giá trị cũ/mới và lý do thay đổi khi hệ thống hỗ trợ.
• Người dùng thông thường không được có quyền xóa hoặc vô hiệu hóa audit trail.
• Việc tắt, xóa, sửa hoặc mất audit trail phải được xem là sự cố nghiêm trọng và điều tra.
• Audit trail cần được xem xét theo tần suất dựa trên rủi ro, đặc biệt trước phê duyệt lô/quyết định chất lượng khi áp dụng.
• Đồng hồ hệ thống phải được bảo vệ, đồng bộ và quản lý để duy trì thứ tự thời gian đáng tin cậy.
• Thay đổi thời gian, timezone hoặc nguồn đồng bộ phải được kiểm soát và đánh giá ảnh hưởng.

10. Dữ liệu điện tử, báo cáo và chữ ký điện tử

11. Sao lưu, lưu trữ và phục hồi dữ liệu

Kế hoạch sao lưu và phục hồi phải phù hợp với mức độ quan trọng của dữ liệu, khả năng chấp nhận mất dữ liệu và thời gian gián đoạn.

12. Bảo mật, an ninh mạng và truy cập từ xa

• Hệ thống phải được bảo vệ bằng phân quyền, firewall, antivirus/anti-malware, cập nhật bảo mật và cấu hình an toàn phù hợp.
• Thiết bị dịch vụ của SAO NAM phải sử dụng phần mềm hợp pháp, tài khoản cá nhân, bảo vệ endpoint và không chứa công cụ không được phê duyệt.
• Truy cập từ xa chỉ được thực hiện khi khách hàng cho phép, trong thời gian giới hạn và có người chịu trách nhiệm giám sát khi cần.
• Tệp trao đổi phải được kiểm tra mã độc và truyền qua kênh được phê duyệt.
• Dữ liệu khách hàng không được sao chép về thiết bị cá nhân, cloud cá nhân hoặc phương tiện lưu trữ không kiểm soát.
• Sự cố an ninh, nghi ngờ rò rỉ, mất tài khoản hoặc mã độc phải được báo cáo ngay và xử lý theo quy trình sự cố.

13. Quản lý thay đổi, phiên bản và sự cố

Mọi thay đổi có khả năng ảnh hưởng đến chức năng GxP, dữ liệu, giao diện, quyền truy cập hoặc trạng thái thẩm định phải được kiểm soát trước khi triển khai.

Sự cố phần mềm, mất dữ liệu, lỗi đồng bộ thời gian, mất audit trail, truy cập trái phép hoặc kết quả không nhất quán phải được ghi nhận, khống chế, điều tra, đánh giá ảnh hưởng và xử lý CAPA phù hợp.

14. Di chuyển dữ liệu và ngừng sử dụng hệ thống

• Lập kế hoạch migration, mapping, kiểm tra số lượng/bản ghi, dữ liệu ngoại lệ và khả năng truy xuất.
• Duy trì dữ liệu nguồn, log chuyển đổi, bằng chứng kiểm tra và phê duyệt kết quả.
• Bảo đảm dữ liệu sau chuyển đổi vẫn đầy đủ, nhất quán, có metadata và có thể đọc trong bối cảnh mới.
• Khi ngừng sử dụng, xác định dữ liệu cần giữ, định dạng lưu trữ, công cụ đọc, trách nhiệm quản lý và thời hạn lưu.
• Thu hồi tài khoản, license, kết nối, quyền truy cập từ xa và xóa dữ liệu khỏi thiết bị tái sử dụng theo chính sách xử lý dữ liệu.

15. Trách nhiệm thực hiện

16. Căn cứ và tài liệu tham chiếu

• Các nguyên tắc GMP/GxP và quản lý chất lượng dược phẩm áp dụng theo phạm vi của khách hàng.
• EU GMP Annex 11 – Computerised Systems.
• FDA 21 CFR Part 11 – Electronic Records; Electronic Signatures, khi thuộc phạm vi áp dụng.
• GAMP và phương pháp vòng đời, quản lý rủi ro đối với hệ thống máy tính hóa.
• Nguyên tắc Data Integrity và ALCOA+.
• Hướng dẫn, release notes, tài liệu kỹ thuật và tài liệu chất lượng của nhà sản xuất/OEM.
• Chính sách Chất lượng và Tuân thủ GxP; Chính sách Bảo mật thông tin; Chính sách Nhà cung cấp; Cơ chế phản ánh và khiếu nại; các quy trình nội bộ liên quan của SAO NAM.

17. Hiệu lực và rà soát

Chính sách có hiệu lực kể từ ngày được công bố trên website của SAO NAM và được rà soát ít nhất hằng năm hoặc sớm hơn khi có thay đổi đáng kể về yêu cầu pháp lý, sản phẩm, công nghệ, rủi ro an ninh mạng, hệ thống GxP, cấu trúc tổ chức hoặc kết quả điều tra sự cố.

Yêu cầu chi tiết của từng hệ thống phải được cụ thể hóa trong hợp đồng, URS, đánh giá rủi ro, kế hoạch thẩm định, SOP, cấu hình và hồ sơ dự án được phê duyệt.