¿Cómo validar un complemento para el entorno cGMP?Hola a todos,
Un cliente de una CDMO biofarmacéutica pregunta si tenemos experiencia en la validación de un complemento JMP para un entorno cGMP (ver más abajo). El complemento realiza un análisis de ajuste de curva estándar para un nuevo conjunto de datos. La preocupación es cómo evitar que el usuario final modifique el análisis.
Gracias de antemano por su ayuda.
Phil
¿Has hablado antes sobre la validación con otros usuarios? Básicamente, encripté mi complemento y me encargué de que el departamento de TI estuviera conforme con las contraseñas y las versiones, pero a la hora de realizar pruebas, no estamos seguros de cómo demostrar que esto no se puede alterar.
Si bien sería extremadamente difícil modificar el complemento sutilmente para falsificar los resultados, el usuario podría muy bien eliminar el script en el complemento y básicamente romperlo.
Mi script está muy bien protegido y rastreado, pero el complemento en sí es vulnerable.
Básicamente, escribimos precisamente eso: si el usuario generó un informe que coincide con el de la prueba, no puede haber modificado el complemento. ¡Aunque no estoy seguro de que funcione!
¿Algún consejo sobre cómo defender esta parte?
Re: ¿Cómo validar un complemento para el entorno cGMP?Gracias, Martín.
Estoy de acuerdo.
Saludos,
Phil
Re: ¿Cómo validar un complemento para el entorno cGMP?Hola Phil,
Un aspecto a considerar para la validación es siempre un sistema de control de (sub)versiones que registre los cambios y guarde los archivos en un servidor independiente. Esto se asemeja a lo que mencionó Malcolm, solo que es más sofisticado para un uso más prolongado. En entornos regulados, es necesario crear versiones, ya que si se desea mejorar o crear subversiones del código, esto debe controlarse por un lado. Sin embargo, lo más importante es que a menudo se requiere, incluso después de décadas (por ejemplo, en la industria aeroespacial), poder obtener exactamente la misma rutina que se ha utilizado para una aplicación validada específica.
Definitivamente no desea compartir el código fuente del complemento con el usuario final, ni la información de la ruta (como texto editable). Su cifrado debería evitarlo.
Lamentablemente, veo con demasiada frecuencia (en mi opinión) requisitos de validación sin usar sistemas de control de versiones. Estos sistemas, además, garantizan copias de seguridad de sistemas de servidores redundantes en caso de interrupción o fallo del sistema.
Saludos,
Martín
Re: ¿Cómo validar un complemento para el entorno cGMP?Gracias, Malcolm.
Esa es una muy buena idea.
Saludos,
Phil
Re: ¿Cómo validar un complemento para el entorno cGMP?Hola Phil,
Si a su cliente le preocupa el riesgo de que se modifique el código del complemento, una alternativa sería crear un menú personalizado que acceda a un archivo JSL en una unidad compartida con acceso de lectura para los usuarios. De esta forma, no podrán modificar el archivo JSL de origen.
Malcolm
Re: ¿Cómo validar un complemento para el entorno cGMP?Gracias, Peter.
Sí, nosotros (JMP) no queremos en absoluto tener ninguna responsabilidad por la validación.
Solo quería saber cómo otros clientes han gestionado este requisito. Sé que este cliente en particular es muy sensible a la validación de software.
Gracias por tus comentarios.
Phil
Re: ¿Cómo validar un complemento para el entorno cGMP?Phil:
Aquí te dejo algunas ideas:
1. Con el pensamiento de validación en cualquier entorno regulatorio o de control interno veo dos aspectos:
a. Cumplimiento de los requisitos establecidos por una empresa (independientemente de influencias externas como una agencia reguladora).
b. Cumplimiento de requisitos de partes externas (que podrían ser diferentes (¿más o menos expansivos?)).
Así que mi consejo al cliente es que investigue primero ambos escenarios. Es posible que ya exista alguna guía codificada, cuya buena práctica sea irrelevante para el problema de cumplimiento. Luego, el cliente tendrá que averiguar cómo lograr que una arquitectura de complemento JMP sea conforme... deje que ellos se encarguen del trabajo pesado. Lo último que querría es convertirme en el "guardián del método de validación" de un cliente... y supongo que SAS tampoco quiere asumir este rol, ¿no?
Si no se cumplen los puntos a o b anteriores, el cliente tiene vía libre para escribir algo, lo que sea, que al menos cumpla con el espíritu de la validación como mejor práctica generalizada. Es como diseñar una especificación después de que el diseño final de un producto esté listo. Dése un margen de maniobra, defina las características operativas y cómo demostrará el cumplimiento.
