淺析藥品生產設備計算機化系統權限管理

文/ 喬曉芳 耿祥彬

信息技術改變了社會生產、生活形態，信息資源成為醫藥企業發展中非常關鍵且活躍的資源——隨之而來的是，信息系統越發復雜化，信息資源面臨著越來越嚴峻的安全形勢。因此，信息安全風險評估和權限控制工作在保障信息資產安全方面顯得尤為重要。計算機化系統在藥品生產過程中有著廣泛的應用，隨著GMP（生產質量管理規范）附錄《計算機化系統》的頒布和實施［1］，藥品生產企業進一步加強了對計算機化系統的管控，尤其是在計算機化系統的權限管理方面——其在計算機化系統的管理中尤為重要。計算機化系統的權限管理，旨在通過計算機化系統軟件控制人員登入/退出系統、關鍵數據操作、主要參數修改、權限管理與用戶管理等，保證關鍵工藝、檢測操作及電子數據管理始終處于受控狀態，防止非授權的操作帶來的不可追溯的藥品質量風險。近幾年出現過多起大型藥品相關企業因權限管理缺陷收到美國食品藥品監督管理局（FDA）警告信的事件，制藥行業應對此予以高度重視。

信息安全風險評估和權限管理工作在信息安全保障體系建設過程中起著至關重要的作用，既是信息安全保障體系建設評價與決策機制的安全標準和評價體系，也是信息安全工作的核心內容。為加強藥品監督管理、保證藥品質量、保障人體用藥安全、維護人民身體健康和用藥安全有效的合法權益，多個國家和機構均對計算機化系統權限管理工作提出了明確的要求［2-4］，如針對電子記錄和電子簽名的《FDA 21 CFR part 11》中的11.10(g)部分、《中華人民共和國電子簽名法》以及WHO《數據完整性指南》中“良好的數據和記錄規范”4.12部分。本文依據以上法規條款，對如何建立藥品生產設備計算機化系統權限管理工作進行了詳盡的研究分析，以提高藥品生產設備計算機化系統權限管理水平，降低藥品質量風險和用藥安全風險，保障人民用藥的安全有效，同時建立企業計算機化系統權限管理方案，為維護藥品生產企業的社會聲譽提供參考依據。

1 計算機化系統權限的設計

藥品生產企業往往會忽略權限的需求。大多數企業在系統的URS（用戶需求說明）中將其描述為“系統需要具備三級權限”或“系統具有權限管理功能”，這樣的描述很可能使得系統設計人員無法確定用戶的實際需求，造成系統設計權限與用戶的要求相差甚遠，最終導致計算機系統不符合權限管理要求［5］。在需求階段，系統設計人員應根據用戶的實際需求構建計算機化系統管理權限，以適應用戶對計算機化系統的操作。以溫度監控系統為例，權限設計詳見表1。

2 計算機化系統權限的確認

計算機化系統軟件開發人員應根據系統設計人員的需求進行權限開發，以此設計出所需的管理員權限，進而形成權限配置操作說明書。對于開發人員設計的權限管理策略是否符合用戶的實際需求，則需要通過驗證文件作進一步驗證，且這一過程應不會給將來的操作安全、藥品質量和數據完整性造成負面影響［6,7］。計算機化系統權限的確認一般包括設計確認和功能確認，設計確認旨在證明軟件設計是否符合用戶需求且不會增加額外的風險；功能確認則是為了證明計算機化系統的權限策略是否符合設計要求。權限設計確認通過對權限清單與URS要求進行對比，以確認URS的每條權限要求均在設計文件中得到清晰的體現。權限功能確認通過檢查權限設計清單中權限的可行性，逐條對其進行檢查。以溫度監控系統為例，確認權限詳見表2。

表1：溫度監控系統權限設計

值得一提的是，對于計算機化系統的權限功能測試，僅僅完成上述測試還遠遠不夠，還需根據風險評估增加額外的測試項目，如進入系統部署環境是否受控、計算機系統安全是否受控及權限修改是否受控等。

3 計算機化系統權限的管理

在完成計算機化系統的權限確認后，其賬戶權限的分配、變更及禁用，同樣要符合相關規范。公共賬號和管理員權限是否濫用是目前監管部門檢查的重點，權限管理應該包括以下內容：

3.1 建立權限清單

需根據已確認的權限建立權限清單。權限清單應包含權限名稱、功能列表及描述，當系統功能升級后，需要根據功能變更，對權限清單進行及時更新。

3.2 確定系統管理員權限歸屬

系統管理員權限需進行特殊管理，因此該權限不能分配給利益相關的部門，如實驗儀器負責人不能擁有實驗儀器的系統管理員權限。通常來說，這項權限理應分配給數據產生部門和質量體系以外的其他部門，如IT部門。

需要注意的是，受儀器制造水平、信息化發展程度和法規要求等多個因素的影響，某些儀器軟件在操作過程中必須使用操作系統的系統管理員賬號登錄電腦，然后再使用軟件賬號登錄儀器軟件。對于這類儀器，可以使用公共的管理員賬號（不能是administrator）登錄電腦，但應加強管理，如建立線下臺賬、記錄登錄/退出記錄、備份系統日志。

3.3 分配、變更、禁用賬號

計算機化系統的賬號建立及權限的任何變更均需要得到質量保證部及系統管理員權限歸屬部門的審核和批準，不得將系統管理員權限隨意分配給其他人員，若因系統軟件本身原因，導致日常操作必須使用系統管理員權限時，可以分配一個與系統管理員擁有同等權限的賬號，給予使用部門進行日常操作，但是不允許此賬號進行權限分配、用戶管理、系統設置、網絡設置、時間設置等只有系統管理員才可進行的操作［8,9］。所有賬號的分配、變更及禁用都需要建立完整的流程，記錄變更前后的詳盡權限，將其作為對應計算機化系統的臺賬。賬號變更申請、變更臺賬、系統日志及培訓記錄需與實際情況保持一致。

表2：溫度監控系統權限確認

3.4 系統化管理

計算機網絡的系統化管理模式會因計算機系統平臺的類型有所區別。這里以主流的Windows系統為例進行分析。

3.4.1 用戶在登錄系統時需要進行授權檢查

在使用計算機時，用戶需要在進入系統之前登錄系統，這時用戶的賬戶可能是一個或多個。系統登錄作為系統安全的重要環節，需引起企業的重視。其中，就包括了強制登錄的情況。在管理用戶的授權時，計算機系統應根據具體的授權狀態對登錄行為做出允許或禁止的決定。

3.4.2 通過管理員賬戶管理普通用戶的賬戶

Windows系統是以管理員賬戶為核心進行賬戶管理的。用戶在創建用戶名與密碼時，需符合網絡安全的要求。賬戶創建的意義在于，將有效的授權管理落到用戶手中。當權限分配關系對賬戶的安全性產生安全隱患時，管理員需對賬戶進行修改或刪除。

3.4.3 管理多用戶

管理多用戶指的是管理用戶組。用戶組的管理會直接影響到網絡信息的共享。在進行用戶設置相關選項的操作中，要謹慎考慮，三思而行。

4 計算機化系統權限的動態配置

藥品生產企業的權限管理不僅決定著誰有權做什么，還應體現權利間的相互制約關系。藥品生產設備計算機化系統應做到事前控制，在系統的設計階段，就應考慮到系統功能項在生產應用場景中是否會出現功能互斥的情況。在實施過程中，規則并不是絕對的，權責互斥的粗細，取決于企業內外部風險管控的需要，標準并不唯一。集團型企業的分公司能夠根據自身的實際業務及管理需求進行動態的參數配置，并進行嚴格控制，是其考核的重點。對于功能互斥參數，集團型企業應采取集中控制的策略，分公司及下一級組織提需求，由一級系統管理員進行分組織設置。系統管理員則可通過互斥功能參數對互斥功能進行管理，從而達到可持續化改進、控制風險的目的，同時滿足審計要求。

5 結果與討論

信息化時代的到來，標志著制藥生產的更進一步，建立在計算機基礎上的信息化設備與系統已成為制藥企業日常生產的重要組成部分，并為其發揮著積極的作用。這是一場效率與安全的革新，但與此同時，制藥企業更應關注其中潛在的管理問題。技術人員應積極學習相關知識，掌握技術核心，同時避免非法訪問及信息入侵等問題，以保證計算機化系統的安全與數據的完整性。