Datenintegrität für die IT: ALCOA+, Audit-Trails und Zugriffskontrolle
Was die internationalen Leitfäden für die Integrität von GxP-Daten erwarten, und welchen Teil davon die IT-Abteilung umsetzt und nachweisen muss.
Was Datenintegrität bedeutet
Datenintegrität ist das Maß, in dem Daten über ihren ganzen Lebenszyklus vollständig, konsistent und richtig sind. Der PIC/S-Leitfaden zu Datenmanagement und Datenintegrität (PI 041-1, 2021) und die WHO-Leitlinie zur Datenintegrität (Technical Report Series 1033, Anhang 4, 2021) beschreiben dieselben Erwartungen: Daten sollen zuordenbar, lesbar, zeitnah erfasst, original und richtig sein (ALCOA), außerdem vollständig, konsistent, dauerhaft und verfügbar (ALCOA+). Beide erklären, wie Inspektoren die bestehenden GMP-Anforderungen lesen; keiner ist ein neues Gesetz.
Was auf die IT fällt
Vieles an Datenintegrität steckt darin, wie Systeme konfiguriert und betrieben werden.
- Zugriffskontrolle: persönliche Konten, keine gemeinsamen Anmeldungen für GxP-Aufzeichnungen, Rechte auf die Rolle beschränkt, Administratorrechte getrennt von denen, die die Daten erzeugen
- Audit-Trails: für GxP-Daten eingeschaltet, gegen Änderung geschützt und in einer risikobasierten Häufigkeit geprüft
- Sicherungen und Archive: beglaubigte Kopien, die Inhalt und Bedeutung der Daten einschließlich ihrer Metadaten erhalten, und getestete Wiederherstellungen
- Validierte Abläufe, damit Daten nicht außerhalb des kontrollierten Prozesses geändert oder gelöscht werden können
- Lieferanten und Dienstleister mit Vereinbarungen, die Dateneigentum, Zugriff und Integrität regeln
- Schulung, Verfahren und eine Kultur, in der Probleme gemeldet und untersucht werden
Wo Inspektionen Lücken finden
Inspektionsfeststellungen nennen immer wieder dasselbe: gemeinsame oder generische Konten, abgeschaltete oder nie geprüfte Audit-Trails, ohne Aufzeichnung gelöschte oder neu berechnete Daten, Sicherungen, die niemand wiederherstellen konnte. Die meisten sind Lücken in den Routineaufzeichnungen der IT, nicht in der Software.
Mit dem GxP Validation Assistant
Wie der Assistant hilft
Zugriffe als Prozess
Eintritte, Wechsel und Austritte, privilegierte und Dienstkonten und periodische Zugriffsüberprüfungen je System, jeweils mit Aufzeichnung und Fälligkeit.
Nachweise für Sicherungen
Sicherungsnachweise, Wiederherstellungstests und DR-Tests je System erfasst, mit Berichten und Erinnerung an den nächsten.
Vorfälle und CAPA
Vorfälle zur Datenintegrität werden bewertet, untersucht und mit Wirksamkeitsprüfung nachverfolgt.
Sein eigener Audit-Trail
Die Aufzeichnungen des Assistant tragen einen Audit-Trail, versiegelt in einer Hash-Kette; ihn abzuschalten braucht eine Begründung und wird aufgezeichnet.
Die Texte von PIC/S und WHO sind Leitfäden; es gelten die Anforderungen Ihrer inspizierenden Behörde. Der Assistant unterstützt Ihr Datenintegritätsprogramm; er ersetzt es nicht.
Sehen Sie es an Ihren eigenen Systemen.
Sehen Sie das Webinar, oder installieren Sie den Assistant und testen Sie ihn 14 Tage.