Op vrijdag 27 januari jl. vond een GxP themadag plaats over “Cybersecurity en data integrity; waar moet je op letten? – deel 2” aan de hand van GAMP5 2nd edition en enkele recente updates van normen en regelgevingen waaronder de EU Cybersecurity act en de ISO 27001. Deze themadag vond tegelijkertijd op lokatie plaats in het Bioscience Park in Leiden alsmede online en was een vervolg op de themadag van 14 oktober 2022.
De themadag werd op lokatie gepresenteerd door Hans de Raad, OpenNovations en voorzitter van de ICT-commissie. Dankzij de moderne technologie konden zowel de 12 deelnemers op lokatie als de 24 deelnemers online de presentaties goed volgen.
De onderwerpen waren aangegeven door de deelnemers, waardoor er veel ruimte voor interactie was.
De dag werd begonnen met een samenvatting van de belangrijkste veranderingen van GAMP5 2.0 ten opzichte van 1.0.
Benadrukt werd dat in de nieuwe richtlijn de focus is verlegd van een statisch checklist gedreven instrument dat op redelijk dwingende wijze aangeeft wat je wanneer moet doen, bijvoorbeeld het V-model of de waterval volgen wanneer je een (nieuw) software systeem aanschaft en implementeert, naar een veel vloeiender en in losse componenten opgedeeld proces. Dit hele proces opdelen in hapklare brokken is ook heel herkenbaar als de iteratieve Agile-methode. Dat betekent wel dat veel van de verantwoordelijkheid voor implementatie van het software systeem is verschoven van de leverancier naar de gebruiker. De leverancier levert wel ondersteunend bewijsmateriaal aan van bijvoorbeeld regressietests, maar de eigen QA afdeling van de gebruiker zal als onderdeel van het gebruikersteam meer betrokken moeten zijn bij de aanschaf en de voortdurende beheercyclus van het systeem om de kwaliteit van het systeem te kunnen waarborgen. Basiskennis ICT is daarom ook zeker nodig bij QA om de juiste vragen aan de leverancier te kunnen stellen over validatie en kwalificatie van het systeem. GAMP5 2.0 biedt daarvoor enkele handreikingen.
Het auditen/reviewen van audit trails (vaak ook “history” genoemd) is een volgend onderwerp dat uitgebreider aan bod is gekomen. Waar let je op bij het auditen van een audit trail? Ten eerste is het belangrijk dat er daadwerkelijk een audit trail is en dat dat voor mensen leesbaar is. Dus niet een of andere vage code die eerst nog ontsleuteld moet worden. De audit trail moet duidelijk maken wie, wat en wanneer heeft gedaan in het systeem en dan niet op systeemniveau, maar op individueel recordniveau. Het concept van traceability gaat ook verder dan de individuele handelingen, het is ook van cruciaal belang te kunnen aantonen dat een gebruiker op enig moment bevoegd was tot een bepaalde handeling en wie voor deze bevoegdheid heeft getekend. Dat principe werkt alleen maar als iedere gebruiker heeft ingelogd met zijn eigen user ID en password. Op deze manier wordt ook de data integrity grotendeels gewaarborgd. Wanneer meerdere systemen aan elkaar gekoppeld zijn – interfaces – is het belangrijk om aan de audit trail te kunnen zien of en zo ja, waar, veranderingen in een record in het ene systeem leiden tot veranderingen in een record in het andere systeem. De audit trails kunnen zich binnen de individuele gekoppelde systemen bevinden maar ook daarbuiten in een afzonderlijke “schil”. Zolang er maar herleidbaarheid naar de authoratieve bron van de records is.
Deze themadag werd door 36 mensen bijgewoond en uit de feedback na afloop bleek dat zij de dag en de manier waarop de onderwerpen werden gepresenteerd zeer waardeerden.
De tijdens deze themadag gebruikte slides zullen op de website van DARQA voor leden beschikbaar worden gesteld, evenals de gemaakte video’s.
De ICT-commissie is voornemens om dit format te blijven toepassen en als aanvulling op de themadagen enkele vraag/antwoord (AMA) webinars te organiseren.
