Sicherheit & Vertrauen

Umfang. Diese Seite fasst Folgendes zusammen SG Systems GlobalSicherheits- und Vertrauenslage für V5 Traceability und zugehörige Dienste, einschließlich Gehostete Dienste und Installationen vor Ort wie in einem entsprechenden Bestellformular / unterzeichneten Angebot ausgewählt.

Dokumentenhierarchie (Rangfolge der Priorität). Im Falle eines Konflikts sind folgende Dokumente maßgebend:

• (1) Bestellformular / Unterzeichnetes Angebot (Geltungsbereich, Einsatzwahl, Stufenauswahl, Gültigkeitsdaten);
• (2) Lieferantenqualitätszusatz (SQA) (regulierte/GxP-konforme operative Konstrukte), nur wenn sie durch Bezugnahme in das Projekt einbezogen werden; und
• (3) Rahmenvertrag für Dienstleistungen (MSA) (rechtlicher/kommerzieller Rahmen, SLA, Sicherheitsverpflichtungen, Bestimmungen zum Kundendatenschutz).

Vertragsabstimmung. Diese Seite dient lediglich der Information und ändert keine Vertragsbedingungen. Sämtliche Service-Level-Kennzahlen, Benachrichtigungsfristen und verbindliche Verpflichtungen sind im Rahmenvertrag (MSA/SLA) und dem entsprechenden Bestellformular (sowie gegebenenfalls im SQA) definiert.

Ferngesteuerte Betriebsabläufe. SG Systems Global Das Unternehmen agiert als Remote-First-Organisation. Die Kontrollmechanismen legen Wert auf Identitätsmanagement, Zugriffsverwaltung, sichere Endgerätenutzung und kontrollierte Systemadministration.

Sicherheitskontakt: support@sgsystemsglobal.com

SG Systems Global unterhält ein risikobasiertes Informationssicherheitsprogramm, das darauf abzielt, die Vertraulichkeit, Integrität und Verfügbarkeit von Kundendaten und -diensten zu schützen und den Betrieb in regulierten Produktionsumgebungen zu unterstützen.

Zu den Programmelementen gehören:

• Verantwortung und Aufsicht: Definierte die Sicherheitsverantwortung für die Wirksamkeit der Kontrollen, Eskalationen und Korrekturmaßnahmen.
• Risikomanagement: Identifizierung und Bewertung von Risiken, Auswahl von Kontrollmaßnahmen und Nachverfolgung von Abhilfemaßnahmen.
• Richtlinien- und Verfahrenssteuerung: dokumentierte Vorgehensweisen für sicherheitsrelevante Aktivitäten (Zugriff, Änderungskontrolle, Vorfallsbearbeitung, Kontinuität).
• Regelmäßige Überprüfung: Die Sicherheitspraktiken werden regelmäßig überprüft und aktualisiert, da sich Systeme, Bedrohungen und Kundenerwartungen weiterentwickeln.

Die Verantwortlichkeiten hängen von der in Ihrem Bestellformular/unterzeichneten Angebot gewählten Bereitstellung ab. V5 Traceability kann als gehosteter Service oder als On-Premise-Installation bereitgestellt werden.

Referenzen: (Die Referenzliste bleibt in der wissenschaftlichen Zitierweise erhalten) MSA, SQA, Systemanforderungen.

Zugriffskontrolle ist so konzipiert, dass sie das Prinzip der minimalen Berechtigungen, Verantwortlichkeit und kontrollierte Verwaltung unterstützt. In regulierten Umgebungen ist Zugriffskontrolle eine Kombination aus technisch und prozedural Disziplin.

• Rollenbasierter Zugriff: Berechtigungen werden rollenbasiert vergeben, um Funktionen mit Stellenverantwortlichkeiten in Einklang zu bringen.
• Einzigartige Verantwortlichkeit: Benutzer sollten eindeutig identifiziert werden; die gemeinsame Nutzung von Zugangsdaten sollte verboten sein.
• Zugangssteuerung: Die Kunden steuern die Bereitstellung/Entzug von Berechtigungen, die Rollengestaltung und die regelmäßigen Zugriffsüberprüfungen im Rahmen ihrer Standardarbeitsanweisungen.
• Privilegierter Zugriff: Der administrative Zugriff ist für betriebliche Zwecke auf autorisiertes Personal beschränkt.

V5 Traceability unterstützt die rückverfolgbare Datenerfassung und ist so konzipiert, dass es die für regulierte elektronische Aufzeichnungen üblicherweise erwarteten Kontrollverhaltensweisen unterstützt, einschließlich zurechenbarer Aktionen, Audit-Trail-Verhalten, Kontrollen der Datensatzintegrität und elektronisches Signaturverhalten, sofern anwendbar und konfiguriert.

Unabhängige Bewertung (Kontext von 21 CFR Part 11). V5 Traceability verfügt über ein unabhängiges Bewertungsdokument, das die Lieferantenqualifizierung und die Diskussionen über CSV-Verträge unterstützen soll. Siehe: Unabhängige Bewertung gemäß 21 CFR Teil 11.

SG Systems Global Kundendaten werden durch administrative, technische und vertragliche Maßnahmen geschützt, die auf Vertraulichkeit, Integrität und Verfügbarkeit ausgerichtet sind. Vertragliche Vertraulichkeit, Kundendatenrechte und Datenschutzbestimmungen (sofern zutreffend) sind im Rahmenvertrag und den zugehörigen Dokumenten geregelt.

• Vertraulichkeit: Kontrollmechanismen zur Verhinderung der unbefugten Weitergabe von Kundendaten.
• Integrität: Kontrollmechanismen zur Wahrung der Integrität der Datensätze und zur Unterstützung einer revisionssicheren Rückverfolgbarkeit.
• Verfügbarkeit: Die für den gewählten Bereitstellungstyp geeigneten betrieblichen Kontrollen sowie die Ziele des Hosted Service (falls zutreffend) werden im Rahmen des MSA/SLA definiert.

Die verbindlichen Bestimmungen zur Vertraulichkeit und zum Umgang mit Kundendaten finden Sie in der MSA.

Die Rückverfolgbarkeit von V5 wird mithilfe kontrollierter Verfahren entwickelt und gepflegt, um eine zuverlässige und nachvollziehbare Freigabesituation für regulierte Kunden zu gewährleisten.

Die SDLC-Kontrollübersichten umfassen:

• Einführung kontrollierter Veränderungen: Änderungen werden geplant, umgesetzt und vor der Veröffentlichung überprüft.
• Disziplinarprüfung: Code- und Konfigurationsänderungen werden vor der Bereitstellung überprüft.
• Umgebungstrennung: Die Entwicklungs-/Test- und Produktionsaktivitäten werden kontrolliert, um das Risiko unautorisierter Änderungen zu minimieren.
• Release-Dokumentation: Die Versionshinweise beschreiben wesentliche Änderungen und, falls relevant, Überlegungen zur Validierung.

SG Systems Global setzt einen kontrollierten Ansatz für das Änderungsmanagement ein, um eine vorhersehbare Leistungserbringung und die Einhaltung der regulierten Nutzungserwartungen zu gewährleisten.

Zusammenfassungen der Änderungsmanagement-Kontrollen umfassen:

• Veränderungsbewertung: Änderungen werden hinsichtlich ihrer potenziellen Auswirkungen auf die Kunden bewertet, gegebenenfalls unter Berücksichtigung regulatorischer Auswirkungen.
• Genehmigungsdisziplin: Änderungen in der Produktion bedürfen vor der Freigabe einer dokumentierten Genehmigung.
• Einsatzsteuerung: Die Bereitstellung gehosteter Dienste wird vom Anbieter gesteuert; die Bereitstellung vor Ort wird vom Kunden gesteuert.
• Notfalländerungen: Sicherheitsmaßnahmen können bei Bedarf zur Abwehr akuter Bedrohungen vorgenommen werden; diese Änderungen werden gemäß den Vertragsbedingungen dokumentiert und kommuniziert.

Die verbindlichen Bedingungen für die Änderungskontrolle sind in der MSA und, sofern eingebunden, SQA.

SG Systems Global Die Schwachstellen werden durch Identifizierung, Priorisierung, Behebung und Verifizierung behoben, wobei die Priorisierung auf der Grundlage von Schweregrad und Ausnutzbarkeit erfolgt.

Zusammenfassungen der Maßnahmen zum Schwachstellenmanagement umfassen:

• Triage & Priorisierung: Umfang, Schweregrad, Ausnutzbarkeit und potenzielle Auswirkungen auf den Kunden bewerten.
• Abhilfe: Wenden Sie gegebenenfalls Korrekturen/Patches an und dokumentieren Sie wesentliche Änderungen in der Release-Dokumentation.
• Kommunikation: Die Kundenkommunikation richtet sich nach den vertraglichen und betrieblichen Vorgaben des Rahmenvertrags/der Qualitätsvereinbarung.

Um eine vermutete Sicherheitslücke oder ein Sicherheitsproblem zu melden, senden Sie eine E-Mail. support@sgsystemsglobal.com mit Betreff: Security Concern.

SG Systems Global unterhält einen Prozess für das Vorfallmanagement und die Reaktion auf Sicherheitsvorfälle, der eine schnelle Triage, Eindämmung, Untersuchung und Kundenkommunikation unterstützt, einschließlich der Berücksichtigung von Nutzungsbestimmungen, bei denen die Integrität von Datensätzen beeinträchtigt werden könnte.

Zusammenfassungen der Maßnahmen zur Vorfallsbewältigung umfassen:

• Klassifizierung: Die Ereignisse werden anhand ihrer Schwere und ihrer potenziellen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit bewertet und klassifiziert.
• Eskalation: Eskalationswege werden bei schwerwiegenderen Ereignissen und Bedenken mit Auswirkungen auf regulierte Bereiche angewendet.
• Ermittlung: Die Untersuchungen werden dokumentiert, und wesentliche Ereignisse werden im Nachhinein überprüft.
• Korrekturmaßnahmen: Korrekturmaßnahmen werden überwacht, um das Risiko eines erneuten Auftretens zu verringern.

Meldekanal: support@sgsystemsglobal.comBei Verdacht auf Probleme mit der Integrität regulierter Aufzeichnungen/Daten sollten Sie Folgendes berücksichtigen: Potential GxP / data integrity impact.

Die Erwartungen an Kontinuität und Wiederherstellung hängen vom Bereitstellungstyp ab. Bei gehosteten Diensten sind die geltenden Verfügbarkeits- und Wiederherstellungsziele (sofern vorhanden) im Rahmenvertrag (MSA/SLA) und im Bestellformular definiert. Bei On-Premise-Installationen ist der Kunde für Datensicherung, Notfallwiederherstellung und Wiederherstellungstests verantwortlich, sofern nichts anderes schriftlich vereinbart wurde.

Zusammenfassungen zur Kontinuitätskontrolle umfassen:

• Dokumentierter Wiederherstellungsansatz: dokumentierte Wiederherstellungsverfahren, die auf das gewählte Einsatzmodell abgestimmt sind.
• Absicht der Datensicherungsintegrität: Kontrollmechanismen, die die Wiederherstellbarkeit unterstützen und das Risiko von Datenverlusten innerhalb der definierten Grenzen verringern sollen.
• Ziel des Wiederherstellungstests: regelmäßige Wiederherstellungsvorbereitungsmaßnahmen, die der gehosteten Grenze und dem Service-Design angemessen sind.

Gehostete Dienste können, wie im Bestellformular/unterzeichneten Angebot angegeben, über Drittanbieter bereitgestellt werden. Die Nutzung von Unterauftragnehmern durch den Anbieter und die Datenschutzbestimmungen (sofern zutreffend) unterliegen dem Rahmenvertrag (MSA) und etwaigen anwendbaren Nachträgen zur Datenverarbeitung (DPA).

• Unterauftragsverarbeiter: Die Verträge basieren auf schriftlichen Vereinbarungen, die den Schutz von Kundendaten gewährleisten und die Einhaltung von Vertraulichkeitsverpflichtungen sicherstellen sollen.
• Datenverarbeitung: Soweit gesetzlich vorgeschrieben, werden Datenschutzbestimmungen in einer durch Bezugnahme einbezogenen und auf Anfrage zur Verfügung gestellten Datenschutzvereinbarung geregelt.
• Systemgrenze: Die Verantwortlichkeiten variieren je nach Bereitstellungsart (Hosted vs. On-Premise) und werden vertraglich festgelegt.

SG Systems Global Unterstützt die Kundenprüfung und Lieferantenqualifizierung durch Dokumentation und strukturierte Antworten, die auf die Systemgrenzen und den Bereitstellungstyp abgestimmt sind. Bei regulierten/GxP-Projekten definiert die SQA (sofern integriert) den qualitätsorientierten Rahmen, einschließlich der Konstrukte zur Unterstützung von Audits und der Verantwortlichkeiten für die regulierte Nutzung.

• Unterstützung bei der Qualifizierung: Antworten und Dokumente werden bereitgestellt, um die Arbeitsabläufe zur Qualifizierung von Kundenlieferanten zu unterstützen.
• Zusammenarbeit bei der Prüfung: Die Bereitstellung erfolgt vorbehaltlich der Vertraulichkeit und einer angemessenen Terminplanung gemäß MSA/SQA.
• Unabhängige Bewertung: Das vom Gutachter erstellte Artefakt unterstützt die Diskussionen in Teil 11 und die Kontrollbewertung.

Referenzen: (Die Referenzliste bleibt in der wissenschaftlichen Zitierweise erhalten) SQA | MSA | Unabhängige Bewertung

Zusätzliche Sicherheits- und Compliance-Dokumente können Kunden und qualifizierten Interessenten zur Unterstützung der Due-Diligence-Prüfung und der Lieferantenqualifizierung zur Verfügung gestellt werden, vorbehaltlich der Vertraulichkeitsverpflichtungen (MSA) und gegebenenfalls der NDA-Bestimmungen.

Beispiele für auf Anfrage erhältliche Dokumente (sofern zutreffend):

• Zusammenfassungen der Änderungsmanagement- und Release-Dokumentation
• Zusammenfassung der Vorfallsreaktion gemäß den vertraglichen Verpflichtungen
• Zusammenfassung der Backup-/DR-Kontinuität, abgestimmt auf die Bereitstellungsgrenze
• Dokumentation der unabhängigen Bewertung (21 CFR Teil 11)
• Liste der Unterauftragnehmer und Vorlage der Datenverarbeitungsvereinbarung (sofern zutreffend)
• Strukturierte Fragebogenantworten (im SIG/CAIQ-Stil) auf Anfrage

Diese Seite dient nur zu Informationszwecken und ändert keine Vertragsbedingungen.