Come convalidare un componente aggiuntivo per l'ambiente cGMP?Ciao a tutti,
Un cliente di un CDMO biofarmaceutico ci chiede se abbiamo esperienza nella convalida di un componente aggiuntivo JMP per un ambiente cGMP (vedi sotto). Il componente aggiuntivo esegue un'analisi standard di adattamento della curva per un nuovo set di dati. La preoccupazione è come impedire che l'utente finale modifichi in qualche modo l'analisi.
Grazie in anticipo per il vostro aiuto.
Phil
"Hai già parlato della convalida con altri utenti? In pratica ho crittografato il mio componente aggiuntivo e ho fatto tutto il necessario affinché il reparto IT fosse soddisfatto delle password e delle versioni, ma quando si tratta di testare, non siamo sicuri di come dimostrare che questo non possa essere manomesso.
Sebbene sarebbe estremamente difficile modificare in modo sottile il componente aggiuntivo per alterare i risultati, l'utente potrebbe benissimo eliminare lo script nel componente aggiuntivo e sostanzialmente danneggiarlo!
Il mio script è molto ben protetto e tracciato, ma il componente aggiuntivo stesso è vulnerabile.
Stiamo praticamente scrivendo proprio questo: se l'utente ha prodotto un report che corrisponde a quello del test, allora non può aver manomesso l'add-in. Non sono sicuro che funzionerà, però!
Qualche consiglio su come difendersi da questa parte?"
Re: Come convalidare un componente aggiuntivo per l'ambiente cGMP?Grazie, Martin.
Sono d'accordo.
Saluti,
Phil
Re: Come convalidare un componente aggiuntivo per l'ambiente cGMP?Ciao Phil,
Un aspetto da considerare per la convalida è sempre un sistema di controllo (sotto)versione che tenga traccia delle modifiche e salvi i file su un server separato. Questo è simile a quanto affermato da Malcolm, solo più sofisticato per un utilizzo a lungo termine, poiché in ambienti regolamentati è necessario creare versioni anche per migliorare le cose o creare sovversioni del codice; questo deve essere monitorato da un lato, ma, cosa ancora più importante, spesso si ha la necessità, anche dopo decine di anni (ad esempio nel settore aerospaziale o aerospaziale), di poter ottenere esattamente la stessa routine utilizzata per una specifica applicazione convalidata.
Ora, sicuramente non vuoi condividere il codice sorgente del componente aggiuntivo con l'utente finale, né le informazioni sul percorso (come testo modificabile). In questo caso, la tua crittografia dovrebbe impedirlo.
Purtroppo vedo troppo spesso (dal mio punto di vista) requisiti di convalida senza l'utilizzo di sistemi di controllo delle versioni. I sistemi di controllo delle versioni assicurano inoltre l'utilizzo di sistemi server ridondanti con funzionalità di backup in caso di interruzioni o guasti del sistema.
Saluti,
Martin
Re: Come convalidare un componente aggiuntivo per l'ambiente cGMP?Grazie, Malcolm.
È davvero una buona idea.
Saluti,
Phil
Re: Come convalidare un componente aggiuntivo per l'ambiente cGMP?Ciao Phil,
Se il tuo cliente teme che il codice aggiuntivo venga modificato, un'alternativa potrebbe essere quella di creare un menu personalizzato che acceda a un file JSL su un'unità condivisa a cui gli utenti hanno accesso in lettura. In questo modo, gli utenti non potranno modificare il file JSL sorgente.
Malcolm
Re: Come convalidare un componente aggiuntivo per l'ambiente cGMP?Grazie, Peter.
Sì, noi (JMP) non vogliamo assolutamente assumerci la responsabilità della convalida.
Vorrei solo sapere come altri clienti hanno gestito questo requisito. So che questo cliente in particolare è molto sensibile alla convalida del software.
Grazie per i tuoi commenti.
Phil
Re: Come convalidare un componente aggiuntivo per l'ambiente cGMP?Phil:
Ecco alcuni spunti di riflessione per voi:
1. Quando penso alla convalida in qualsiasi contesto normativo o di controllo interno, vedo due aspetti:
a. Conformità ai requisiti dichiarati da un'azienda (indipendentemente da influenze esterne come un'agenzia di regolamentazione).
b. Conformità ai requisiti di una parte esterna (che potrebbero essere diversi (più o meno espansivi?)).
Quindi il mio consiglio al cliente è di valutare prima entrambi questi scenari. Potrebbero esserci già delle linee guida codificate, secondo cui la correttezza o meno delle pratiche è irrilevante ai fini della conformità. Poi il cliente dovrà capire come rendere conforme un'architettura JMP AddIn... lasciamo che faccia il grosso del lavoro. L'ultima cosa che vorrei è diventare il "custode del metodo di convalida" per un cliente... e immagino che SAS non voglia assumersi nemmeno questo ruolo, no?
In mancanza di a. o b. di cui sopra... allora il cliente ha carta bianca, se si vuole scrivere qualcosa, qualsiasi cosa, che almeno rispetti lo spirito della "validazione" come best practice generalizzata. Un po' come progettare una specifica DOPO che il progetto finale di un prodotto è pronto. Concediti un po' di margine di manovra, definisci le caratteristiche operative e come dimostrerai effettivamente la conformità.
