cGMP 환경에 적합한 애드인을 검증하는 방법은 무엇인가요?안녕하세요 여러분,
바이오제약 CDMO의 한 고객이 cGMP 환경에서 JMP 애드인(아래 참조)을 검증한 경험이 있는지 문의했습니다. 해당 애드인은 새로운 데이터 세트에 대해 표준 곡선 맞춤 분석을 수행합니다. 최종 사용자가 분석 결과를 임의로 변경하는 것을 방지하는 방법이 관건입니다.
도와주셔서 미리 감사드립니다.
필
"다른 사용자들과 유효성 검사에 대해 논의해 보셨나요? 저는 기본적으로 제 애드인을 암호화하고 IT 부서에서 암호와 버전에 만족할 수 있도록 모든 작업을 완료했지만, 테스트 단계에서는 이것이 변조될 수 없다는 것을 어떻게 입증해야 할지 확신이 서지 않습니다."
추가 기능을 미묘하게 수정하여 결과를 조작하는 것은 극히 어렵겠지만, 사용자가 추가 기능 내의 스크립트를 삭제하면 추가 기능이 완전히 망가질 수 있습니다!
제 스크립트는 매우 잘 보호되고 추적되지만, 애드인 자체는 취약합니다.
저희는 거의 그런 내용을 작성하고 있습니다. 사용자가 테스트 보고서와 일치하는 보고서를 생성했다면, 해당 사용자가 추가 기능을 수정하지 않았다는 것입니다. 하지만 이게 통과될지는 모르겠네요!
이 부분을 어떻게 방어해야 할지 조언 좀 해주실 수 있나요?
제목: cGMP 환경에서 애드인을 검증하는 방법은 무엇인가요?고마워, 마틴.
저도 동의합니다.
문안 인사,
필
제목: cGMP 환경에서 애드인을 검증하는 방법은 무엇인가요?안녕하세요, 필.
검증 시 고려해야 할 사항 중 하나는 변경 사항을 추적하고 파일을 별도의 서버에 저장하는 (하위) 버전 관리 시스템입니다. 이는 Malcolm이 언급한 내용과 유사하지만, 장기간 사용을 위해서는 더욱 정교한 시스템이 필요합니다. 규제 환경에서는 버전을 생성해야 할 뿐만 아니라, 개선 사항을 적용하거나 코드의 하위 버전을 생성해야 할 때도 이를 추적해야 합니다. 더 중요한 것은 (항공우주 산업과 같이) 수십 년이 지난 후에도 특정 검증된 애플리케이션에 사용했던 것과 동일한 루틴을 확보해야 하는 경우가 많다는 점입니다.
추가 기능의 소스 코드나 경로 정보(편집 가능한 텍스트 형태)를 최종 사용자에게 공유하는 것은 절대 바람직하지 않습니다. 암호화 기능을 통해 이를 방지해야 합니다.
유감스럽게도 (제 생각에는) 버전 관리 시스템을 사용하지 않고 유효성 검사 요구사항만 제시하는 경우를 너무 자주 봅니다. 버전 관리 시스템은 시스템 장애나 오류 발생 시 백업 속성을 보존하기 위해 이중화된 서버 시스템을 추가로 활용할 수 있도록 보장합니다.
문안 인사,
남자 이름
제목: cGMP 환경에서 애드인을 검증하는 방법은 무엇인가요?고마워, 말콤.
그거 정말 좋은 생각이야.
문안 인사,
필
제목: cGMP 환경에서 애드인을 검증하는 방법은 무엇인가요?안녕하세요, 필.
고객이 애드인 코드 변경 위험을 우려하는 경우, 사용자가 읽기 권한이 있는 공유 드라이브의 JSL 파일에 접근하는 사용자 지정 메뉴를 만드는 것이 대안이 될 수 있습니다. 이렇게 하면 사용자가 소스 JSL 파일을 변경할 수 없습니다.
말콤
제목: cGMP 환경에서 애드인을 검증하는 방법은 무엇인가요?고마워, 피터.
네, 저희 JMP는 검증에 대한 어떠한 책임도 지고 싶지 않습니다.
다른 고객분들이 이 요구사항을 어떻게 처리하셨는지 궁금합니다. 특히 이 고객분은 소프트웨어 검증에 매우 민감한 것으로 알고 있습니다.
댓글 감사합니다.
필
제목: cGMP 환경에서 애드인을 검증하는 방법은 무엇인가요?필:
몇 가지 생각을 나눠보겠습니다.
1. 규제 환경이나 내부 통제 환경에서 검증을 생각할 때 저는 두 가지 측면을 봅니다.
a. (규제 기관과 같은 외부 영향과 관계없이) 회사가 명시한 요구 사항을 준수하는 것.
b. 외부 기관의 요구 사항 준수 (이는 기관마다 다를 수 있으며, 요구 사항의 범위가 더 넓거나 좁을 수도 있습니다).
그래서 저는 고객에게 이 두 가지 시나리오를 먼저 조사해 보라고 조언합니다. 이미 관련 지침이 마련되어 있을 수도 있고, 그 지침이 타당한 관행인지 아닌지는 규정 준수 문제와는 무관할 수도 있습니다. 그런 경우 고객은 JMP AddIn 아키텍처를 어떻게 규정에 맞게 구성할지 스스로 알아내야 할 것입니다. 이 부분은 고객에게 맡기는 것이 좋습니다. 제가 가장 하고 싶지 않은 일은 고객을 위해 '검증 방법 관리자' 역할을 하는 것이고, SAS 역시 그런 역할을 맡고 싶어하지 않을 거라고 생각합니다.
위의 a 또는 b가 충족되지 않으면, 고객은 사실상 자유롭게 무엇이든 작성할 수 있습니다. 최소한 일반적인 모범 사례로서 '검증'의 취지에 부합하는 내용이라면 무엇이든 말이죠. 마치 제품의 최종 디자인이 확정된 후에 명세서를 작성하는 것과 같습니다. 어느 정도 융통성을 두고, 운영 특성을 정의하고, 실제로 어떻게 규정 준수를 입증할지 명확히 하세요.
