Op 28 november organiseerde de GLP-commissie van DARQA een themadag rond een actueel onderwerp: de koppeling tussen Good Laboratory Practice (GLP) en IT-security. Aanleiding was het verschijnen van het nieuwste OECD-document, nummer 25, met de titel “Good Laboratory Practice and IT Security”. Zoals gebruikelijk bij nieuwe OECD-publicaties was ook de IGJ-inspectie aanwezig.
De bijeenkomst trok zo’n 50 deelnemers, waaronder nieuwe DARQA-leden en enkele bezoekers die voor het eerst een DARQA-evenement bijwoonden.
Veilige opslag van GLP-data
De dag startte met een presentatie van Frans Boeijen, die inging op de vraag: Hoe borg je de veiligheid van elektronische GLP-data? Hij schetste de overeenkomsten tussen maatregelen voor papieren en digitale data en benadrukte aanvullende stappen voor optimale bescherming, zoals incidentregistratie, penetratietesten, back-up en restoreprocedures – naast de bekende firewalls en antivirussoftware.
Verbeteren van QA audits met GLP OECD 25
Als externe spreker was John Cheshire van Headway Quality Evolution Ltd uitgenodigd. Hij gaf een overzicht van QA-verantwoordelijkheden in de verschillende OECD GLP-documenten en legde de link naar Document 25. Daarbij reikte hij praktische vragen aan die QA-professionals kunnen stellen tijdens audits op basis van dit document.
Cyberaanval: wat nu?
Daarna nam Frans Brouwer de deelnemers mee in een realistische casus: een cyberaanval op een GLP-laboratorium. In groepjes werd nagedacht over de stappen die nodig zijn om na zo’n incident weer ‘back in business’ te komen. De sessie leverde waardevolle inzichten op voor crisismanagement en herstelplanning.
Praktijkvoorbeelden van IGJ
Na de lunch presenteerde IGJ-inspecteur Mirjam Smeets een reeks praktijkvoorbeelden van wat er mis kan gaan bij het beheer van elektronische gegevens. Een leerzaam overzicht dat duidelijk maakte hoe cruciaal zorgvuldigheid en awareness zijn.
Paneldiscussie: van patching tot human firewall
Alle sprekers, inclusief Hans de Raad, namen deel aan een levendige paneldiscussie. Onderwerpen waren onder meer:
- Hoe ga je om met verschillen tussen globale en lokale User Requirement Specifications?
- Wat zijn de eisen voor patching van operating systems?
- Hoe bepaal je frequentie en omvang van back-ups op basis van risico?
- Hoe kan behavioural analytics helpen bij intrusion detection?
Ook de menselijke factor kwam nadrukkelijk aan bod: veel incidenten ontstaan door menselijk handelen. Training en awareness zijn daarom onmisbaar – de ‘human firewall’ is minstens zo belangrijk als technische maatregelen.
Q&A met de inspecteurs
Tijdens de afsluitende Q&A kwamen vragen aan bod over onder andere validatie van Excel-sheets. Het advies: vermijd Excel voor het genereren van GLP-data, maar gebruik het wel voor analyse van bestaande data, mits gevalideerd. Ook werd ingegaan op de rol van de Archivist bij cloudopslag en het belang van duidelijke verantwoordelijkheden tussen IT en archivering.
Belangrijkste conclusie
Uit alle presentaties bleek dat IT-securitymaatregelen in GLP-omgevingen vooral gericht zijn op het beperken van risico’s op dataverlies of -schade. Elke organisatie moet zich bewust zijn van deze risico’s en passende maatregelen treffen om compliant te zijn én te blijven.
De dag werd afgesloten met een informele borrel, waar volop gelegenheid was om kennis en ervaringen uit te wisselen – precies zoals DARQA het voor ogen heeft.
Frans Brouwer
Voorzitter GLP-commissie
