IT-Administration für GxP-Umgebungen: Sichere Systemverwaltung

Der Hauptzweck ist die Sicherstellung der Datenintegrität (ALCOA+), der Produktsicherheit und der Patientensicherheit durch Kontrolle der IT-Infrastruktur und der GxP-relevanten Systeme. Dies beinhaltet den Schutz vor unautorisierten Änderungen, Datenverlust und Systemausfällen.

Die wichtigsten regulatorischen Anforderungen stammen aus:

•  EU-GMP-Leitfaden Annex 11 (Computergestützte Systeme)
• US FDA 21 CFR Part 11 (Electronic Records; Electronic Signatures)
• GAMP 5 (ISPE) – GxP-Grundsätze (z. B. Nachvollziehbarkeit, Dokumentation)

Diese fordern u.a. Zugangskontrollen, Audit Trails und validierte Prozesse für den Systembetrieb.

Administrative Zugriffe müssen strikt rollen- und berechtigungsbasiert erfolgen. Es gilt das Prinzip der geringsten Rechte (Least Privilege). Administratoren sollten:

• Separate Konten für Alltagsaufgaben und administrative Tätigkeiten nutzen.
• Starke Authentifizierung (z. B. Zwei-Faktor-Authentifizierung/2FA) verwenden.
• Zugriffe über sichere Protokolle und gesicherte Management-Netzwerke (wenn möglich) durchführen.

PAM beschreibt die Verwaltung und Überwachung aller Konten mit erhöhten Rechten (z. B. Systemadministratoren). Im GxP-Umfeld muss PAM sicherstellen, dass: Die Verwendung von Admin-Passwörtern dokumentiert und zeitlich begrenzt ist. Alle Aktionen der Administratoren aufgezeichnet (Session Recording) und nachvollziehbar sind (Audit Trail).

Jede geplante Änderung an GxP-relevanten Systemen (Hardware, Software, Konfiguration) muss einem formellen Change Control Prozess unterliegen. Dieser Prozess muss sicherstellen, dass:

• Die Änderung risikobasiert bewertet wird.
• Die Auswirkungen auf Softwarevalidierung und Datenintegrität beurteilt werden.
• Die Änderung autorisiert, dokumentiert und getestet wird, bevor sie produktiv geht.

Die Backup- und Wiederherstellungsprozesse müssen qualifiziert bzw. validiert sein. Es muss sichergestellt werden, dass alle GxP-Daten (inkl. Metadaten und Audit Trails) regelmäßig gesichert werden. Die Wiederherstellung von Daten (Restore) regelmäßig getestet und dokumentiert wird, um die Verfügbarkeit und Integrität im Notfall zu gewährleisten.

Ja. Während die spezifische GxP-Software validiert wird, muss die zugrundeliegende IT-Infrastruktur (Server, Netzwerke, Betriebssysteme) qualifiziert werden. Die Qualifizierung (IQ/OQ) stellt sicher, dass die Infrastruktur robust ist und in der Lage, die GxP-Systeme sicher und zuverlässig zu betreiben.

Fernzugriffe, z. B. für externe Dienstleister oder Administratoren im Home Office, stellen ein hohes Risiko dar. Sie müssen durch folgende Maßnahmen geschützt werden:

• Starke Verschlüsselung (VPN).
• Zwei-Faktor-Authentifizierung (2FA).
• Zeitlich begrenzte Freigabe des Zugriffs.
• Detaillierte Protokollierung und Überwachung aller Remote-Aktivitäten.

Bei externen Dienstleistern muss ein Qualitätssicherungs- oder Service Level Agreement (SLA) abgeschlossen werden, das die GxP-Verantwortlichkeiten klar regelt. Der GxP-reglementierte Kunde (Owner) behält die letztendliche Verantwortung für die Datenintegrität und muss den Dienstleister auditieren und seine Prozesse regelmäßig überwachen.

Die Dokumentation ist essenziell. Alle administrativen Prozesse, Konfigurationen, Berechtigungen, Backups, Wartungen, Störungen und das Change Control müssen in Standardarbeitsanweisungen (SOPs) und Protokollen nachvollziehbar festgelegt und aufgezeichnet werden, um die GxP-Compliance jederzeit belegen zu können.