计算机化系统-7(WHO技术报告数据完整性指南)

发布于 2021-04-12 23:58

11.7. Access and privileges should be in accordance with the role and responsibility of the individual with the appropriate controls to ensure data integrity (e.g. no modification, deletion or creation of data outside the defined privilege and in accordance with the authorized procedures defining review and approval where appropriate).

 

访问控制和权限应与个人的角色和职责相一致,并有适当的控制以确保数据完整性(例如,不得在给定的权限之外修改、删除或创建数据,并在适当情况下与已授权的审核和批准程序一致)。

 

此条内容非常直观,也容易理解。即计算机系系统在部署使用时,其中的人员权限和访问权限需要与业务人员的实际身份相匹配,从数据完整性的角度出发,主要体现在“不能越级干活”。

 

  • 例如,在CDS系统中,作为分析员,其主要工作职责是创建序列,运行序列,生成报告,因此就不能赋予其“创建用户、管理用户”等职责。因为此部分应该由系统管理员来“管理”。

  • 反之,系统管理员在不参与分析业务的情况下,就不能赋予其“数据产生、编辑”等方面的权限。仅应做为管理员对系统实施管理。

 

在真实环境下,很多企业为了业务方便,就经常出现给业务人员过多的权限,因此也就延伸出数据安全性隐患。强烈建议企业内部或与供应商充分沟通,充分理解软件系统中的各项权限指标,根据实际业务流程,准确设置每个人员角色的权限范围,并做好确认验证,避免“意外”发生。

 

在GxP环境下,为保证数据完整性,所有涉及数据删除的权限在评估后,针对业务人员都应该被禁止。同时,关于数据创建、修改等“敏感”动作则都应该被严格控制和记录。必要时,需要用户再次输入操作注释或授权信息,以进一步保障数据安全。



相关资源