Des preuves qui tiennent en audit
Dans l'industrie pharmaceutique et les dispositifs médicaux, il ne suffit pas que votre IT soit sûre. Vous devez aussi pouvoir le prouver. Nous construisons et gérons votre IT de sorte que les modifications, les droits d'accès et les sauvegardes soient traçables à tout moment.
Dans d'autres secteurs, modifier une configuration est un simple geste. Ici, c'est une opération soumise à documentation. On consigne qui a modifié quoi et quand, pour quel motif et avec quelle validation. Pour les systèmes informatisés en environnement GMP, c'est l'annexe 11 du guide des BPF de l'UE (EU-GMP-Leitfaden) qui le décrit.
Un auditeur ne veut pas seulement savoir si vous avez un concept de droits d'accès. Il demande qui avait accès à un répertoire précis en mars de l'année dernière, et pourquoi. Vous ne pouvez répondre que si l'attribution et le retrait des droits sont journalisés.
Une mise à jour qui relève simplement de la gestion des correctifs dans une IT classique peut ici déclencher une requalification. Ces mises à jour doivent donc être planifiées et ne doivent pas s'exécuter automatiquement.
Si un dispositif médical contient un logiciel ou si le logiciel est lui-même le produit, le règlement relatif aux dispositifs médicaux (MDR) exige un développement selon l'état de l'art tenant compte de la sécurité de l'information (annexe I, section 17). L'évaluation du produit relève de vous et de votre organisme notifié. L'environnement dans lequel vous développez, testez et documentez doit cependant être tout aussi bien sécurisé.
Ce que nous ne prenons pas en charge : la validation des systèmes informatisés (Computerized System Validation) au sens réglementaire et la documentation de qualification. Il existe pour cela des prestataires de validation, et nous fournissons la base IT sur laquelle ils s'appuient.
Nous avons repris l'intégralité de l'IT, redéfini son orientation et la faisons évoluer en continu, en étroite concertation avec la direction.
Résultat : Un environnement entièrement automatisé, conçu pour les exigences de sécurité et de NIS2, avec des comptes administrateur et utilisateur séparés et un VPN sécurisé entre les sites.
Dans ce secteur, les exigences envers l'IT ne dépendent pas de la taille de l'entreprise. Cinq utilisateurs ont eux aussi besoin de droits d'accès traçables et d'une restauration testée.
FAQ
Avant tout la traçabilité : les systèmes informatisés doivent être validés, les modifications doivent suivre un processus contrôlé et les accès doivent être limités aux personnes autorisées. La base en est l'annexe 11 du guide des BPF de l'UE. Nous décrivons la mise en œuvre technique sur notre page consacrée aux GMP.
Le MDR vise avant tout le produit et contient des exigences IT là où le logiciel fait partie du produit. L'annexe I exige alors un développement selon l'état de l'art, sécurité de l'information comprise, et les fabricants doivent définir des exigences minimales en matière de matériel, de réseau et de sécurité informatique pour l'exploitation. Nous sécurisons l'environnement dans lequel vous développez et documentez, l'évaluation du produit reste de votre ressort et de celui de votre organisme notifié.
Beaucoup le sont, car la fabrication de médicaments et de dispositifs médicaux fait partie des secteurs couverts par NIS2. Que vous soyez réellement concerné dépend en outre de vos effectifs et de votre chiffre d'affaires. Notre check NIS2 vous donne une première estimation, l'évaluation définitive relève du droit.
Non. Ce sont les processus et les systèmes de l'exploitant qui sont certifiés, pas le prestataire IT. Nous vous fournissons une IT qui ne fait pas obstacle à vos obligations de preuve.
Oui, c'est le cas habituel. Nous fournissons les informations techniques et la documentation, votre prestataire de validation se charge de l'évaluation réglementaire.
Oui. Notre plus petite référence pharma compte cinq utilisateurs, et l'effort dépend de votre environnement, pas du nombre de collaborateurs.
Pour la partie IT, oui : réseau, accès, sauvegarde et sécurisation. L'éditeur reste responsable de l'application métier elle-même, et nous nous coordonnons avec lui.
Pharma et dispositifs médicaux
Décrivez-nous votre situation et le prochain contrôle à venir. Nous vous dirons franchement si et comment nous pouvons vous accompagner.
