8. Вспомогательные процессы
8. Вспомогательные процессы 
Управление защитой
220. Для обеспечения высокого уровня защиты данных от потери конфиденциальности, потери целостности и предотвращения несанкционированного доступа с учетом системной среды, сетей и установленных программ следует определить и внедрить процедуры безопасности.
221. Следующие процессы выполняются на протяжении всего жизненного цикла компьютеризированной системы:
а) физическая безопасность, которая включает в себя все соответствующие меры предосторожности для контроля доступа и среды для защиты объектов компьютеризированных систем от кражи, разрушения, неконтролируемого изменения или нарушения;
б) логическая безопасность, которая включает в себя все меры предосторожности для защиты программ и данных от несанкционированного доступа, неправильного использования или манипулирования (например, защита от вирусов, защита от внешних угроз, процедуры идентификации пользователей, контрольный журнал для созданных, измененных или удаленных данных);
в) ролевая безопасность, которая внедряется для обеспечения доступа к GMP-данным только предварительно авторизованным операторам в соответствии с соответствующей ролью в организации, сохраняя разделение обязанностей. Процедуры управления безопасностью применяются ко всем пользователям, в том числе администраторам, "суперпользователям", конечным пользователям и сотрудникам службы поддержки (включая сотрудников службы поддержки от поставщиков).
222. Следует предусмотреть контрольные процедуры для обеспечения:
а) установления и поддержки ролей и обязанностей в области защиты, политик, стандартов и процедур;
б) выполнения мониторинга защиты и периодического тестирования (например, ручная проверка журнала доступа к системе, автоматическое уведомление о блокировках, тестирование токенов (при наличии);
в) создания и ведения списка лиц, имеющих право доступа к системе.
223. Конфигурация защиты документируется в спецификациях конфигурации системы или в специальном документе (например, матрице защиты). Доступ к системе ограничен операторами с документированным обучением.
224. Меры контроля для критически важных компонентов системы (например, серверов) включены и проверяются в процессе квалификации инфраструктуры.
Управление инцидентами
225. Инцидент - это любое незапланированное событие, которое не позволяет (или потенциально не позволяет) пользователям, системе, операции или службе выполнить запланированную задачу или задерживает ее выполнение. Инциденты собираются и управляются для совершения связанных действий, которые могут привести к немедленному локальному решению, запросу на изменение или CAPA.
226. Инциденты и разрешения на них следует отслеживать в ходе мониторинга эффективности как процесса, так и автоматизированной системы, в рамках которой произошел инцидент. Это прослеживание обычно ведется в журнале инцидентов.
227. Процесс управления инцидентами предназначен для создания структуры высокого уровня, поддерживаемой подробными СОП, которые дают рекомендации по сценариям действий (эскалации и оценки) и связанным с ними инструментами. Данный процесс может поддерживаться программными средствами.
Управление изменениями
228. Управление изменениями применяется к компьютеризированным системам, подлежащим валидации на протяжении всего жизненного цикла системы от этапа квалификации монтажа до вывода системы из использования.
229. Управление изменениями использует процедуры контроля и информирования об изменениях, способных повлиять на элементы конфигурации (документация, аппаратное и программное обеспечение) и (или) валидированный статус системы. Управление изменениями включает отслеживание изменений (вызванных инцидентами или запросами на изменение) от их появления до их внедрения.
230. Процесс реализации изменений инициирует управление конфигурацией, которое охватывает идентификацию, запись и отчетность об IT-компонентах, включая их версии, составляющие компоненты и отношения.
231. Изменения осуществляются в соответствии с заранее установленной процедурой управления изменениями.
Резервное копирование и восстановление
232. В соответствии с пунктами 118 - 120 настоящего Руководства, резервное копирование - это процесс копирования записей, данных и программного обеспечения для защиты от потери целостности или доступности оригинала. Восстановление - это последующее восстановление записей, данных или программного обеспечения (при необходимости).
233. Данные процедуры необходимы для обеспечения восстановления основных систем в случае сбоев системы и последующей потери данных.
234. Надежность процесса восстановления должна быть проверена при валидации.
Соглашение об уровне обслуживания
235. С поставщиком и (или) интегратором GMP-систем среднего или высокого уровня, как правило, следует подписать соглашение об уровне обслуживания (СУО), обеспечивающее адекватное и своевременное обслуживание при инцидентах, а также надлежащее безопасное хранение документации системы, созданной во время разработки и хранящейся у поставщика.
236. Соглашение об уровне обслуживания определяет взаимную ответственность между регулируемой компанией и поставщиком вместе с соответствующими сроками.
Непрерывность деятельности
237. Процесс обеспечения непрерывности деятельности включает в себя меры контроля, направленные на обеспечение непрерывности поддержки важнейших процессов в случае сбоя системы (например, ручная или альтернативная система).
238. Для каждой системы план обеспечения непрерывности деятельности содержит следующую информацию:
а) альтернативные процедуры на случай непредвиденных обстоятельств, используемые вместо этапов процесса, которые включают доступ к компьютеризированным системам;
б) планы управления и методы принятия решений, которые будут использоваться во время аварии (отказов) компьютеризированных систем;
в) идентификация важных с точки зрения непрерывности деятельности документов, которые необходимо временно хранить до восстановления работы компьютеризированных систем;
г) испытания процедур на случай непредвиденных обстоятельств.
239. Требование непрерывности деятельности считается строго применимым только для тех систем, которые поддерживают критически важные по времени процессы (то есть тех систем, которые выполняют процессы), которые не могут быть прерваны без потенциального влияния на безопасность пациента, качество продукции и целостность данных. Необходимость наличия плана обеспечения непрерывности деятельности определяется в валидационном плане.
240. В качестве подмножества планов обеспечения непрерывности деятельности следует разработать, утвердить и отработать планы восстановления конкретных систем в случае аварии. В этих планах следует подробно изложить меры, принимаемые для минимизации последствий аварии, что позволит организации либо сохранить, либо быстро возобновить выполнение важнейших функций. Особое внимание в плане аварийного восстановления уделяется предупреждению аварий (например, обеспечению резервирования для важнейших систем).
Архивирование
241. В случае если данные архивируются в автономном режиме (то есть не сразу доступны пользователям), процедура архивирования определяет временные периоды и условия для архивирования данных. Процесс архивирования и восстановления данных следует задокументировать. Также следует проводить тестирование процесса архивации в течение жизненного цикла.
Периодический обзор
242. Валидационный статус каждой GMP-системы периодически проверяется для того, чтобы обеспечить поддержание валидированного состояния. Периодичность и глубина периодических проверок определяются на основе анализа рисков, связанных с системой.
243. Планирование периодических проверок включается в валидационный мастер-план.
244. Периодические обзоры осуществляются в соответствии с заранее установленной процедурой.
Обучение и процедуры по использованию системы
245. Для каждой GMP-системы следует разработать обязательные для выполнения стандартные операционные процедуры, определяющие порядок работы с системой и поэтапное выполнение операций. Кроме того, такие процедуры включают в себя раздел, посвященный специальным, а не рутинным действиям, соответствующим каждой системе, таким как:
а) добавление, изменение и удаление записей;
б) выполнение рутинных периодических задач (например, перестроение индекса базы данных);
в) подготовка (выбор и сортировка, определение последовательностей и т.д.) экранных запросов и распечатанных отчетов о системных данных;
г) запуск управляемых пользователем интерфейсов передачи данных в другие системы и из других систем;
д) выгрузка или загрузка данных на рабочую станцию или устройства удаленного сбора данных из системы;
е) проверка контрольного следа.
246. Учебные планы и учебные записи должны поддерживаться для того, чтобы продемонстрировать аудиторам, что системы используются квалифицированным и обученным персоналом.
