Bảo mật & Tin cậy

Quản trị, Kiểm soát & Chuẩn bị Kiểm toán

Phiên bản 2.16

Có hiệu lực từ ngày 23 tháng 2 năm 2026.

Bảo mật và sự tin cậy — Phạm vi, khả năng áp dụng và thứ bậc tài liệu Bản tóm tắt về bảo mật và độ tin cậy dành cho khách hàng của V5 Traceability, nhằm hỗ trợ việc đánh giá năng lực nhà cung cấp, xem xét rủi ro doanh nghiệp và thảo luận về việc sử dụng theo quy định.

Phạm vi. Trang này tóm tắt SG Systems GlobalTình trạng bảo mật và độ tin cậy của 's đối với V5 Traceability và các dịch vụ liên quan, bao gồm: Dịch vụ được lưu trữCài đặt tại chỗ như đã lựa chọn trong Đơn đặt hàng/Đề xuất đã ký áp dụng.

Thứ tự ưu tiên của tài liệu (thứ tự độ ưu tiên). Nếu có xung đột, các văn bản có tính quyết định sẽ là:

  • (1) Đơn đặt hàng / Đề xuất đã ký (phạm vi, lựa chọn triển khai, lựa chọn cấp bậc, ngày có hiệu lực);
  • (2) Phụ lục Chất lượng Nhà cung cấp (SQA) (các cấu trúc hoạt động được quy định/GxP), chỉ khi được tích hợp bằng cách tham chiếu cho sự tham gia; và
  • (3) Thỏa thuận dịch vụ chính (MSA) (khuôn khổ pháp lý/thương mại, thỏa thuận mức dịch vụ (SLA), nghĩa vụ bảo mật, điều khoản dữ liệu khách hàng).

Sự phù hợp của hợp đồng. Trang này chỉ mang tính chất thông tin và không làm thay đổi các điều khoản hợp đồng. Mọi chỉ số về mức độ dịch vụ, thời hạn thông báo và nghĩa vụ ràng buộc đều được quy định trong MSA/SLA và Biểu mẫu đặt hàng áp dụng (và SQA nếu có).

Vận hành ưu tiên từ xa. SG Systems Global Hoạt động theo mô hình tổ chức ưu tiên làm việc từ xa. Các biện pháp kiểm soát tập trung vào quản lý danh tính, quyền truy cập, sử dụng thiết bị đầu cuối an toàn và quản trị hệ thống có kiểm soát.

Liên hệ an ninh: support@sgsystemsglobal.com

1) Quản trị chương trình an ninh

SG Systems Global Công ty duy trì chương trình bảo mật thông tin dựa trên rủi ro nhằm bảo vệ tính bí mật, toàn vẹn và khả dụng của dữ liệu và dịch vụ khách hàng, đồng thời hỗ trợ hoạt động trong môi trường sản xuất được quản lý chặt chẽ.

Các yếu tố chương trình bao gồm:

  • Trách nhiệm giải trình và giám sát: Xác định rõ trách nhiệm bảo mật đối với hiệu quả kiểm soát, leo thang vấn đề và các hành động khắc phục.
  • Quản lý rủi ro: Xác định và đánh giá rủi ro, lựa chọn biện pháp kiểm soát và theo dõi các hoạt động khắc phục.
  • Kiểm soát chính sách và quy trình: Các quy trình được ghi chép lại cho các hoạt động liên quan đến bảo mật (quyền truy cập, kiểm soát thay đổi, xử lý sự cố, tính liên tục).
  • Đánh giá định kỳ: Các biện pháp bảo mật được xem xét và cập nhật khi hệ thống, mối đe dọa và kỳ vọng của khách hàng thay đổi.
Khách hàng thuộc diện quản lý: Tiêu chí đánh giá năng lực nhà cung cấp và các yếu tố vận hành chất lượng được đề cập trong SQA khi được tích hợp vào dự án.
2) Ranh giới triển khai và trách nhiệm chung (Máy chủ lưu trữ so với máy chủ tại chỗ)

Trách nhiệm phụ thuộc vào hình thức triển khai được chọn trong Đơn đặt hàng / Đề xuất đã ký của bạn. V5 Traceability có thể được cung cấp dưới dạng Dịch vụ lưu trữ trên đám mây hoặc cài đặt tại chỗ.

Khu vực kiểm soátDịch vụ lưu trữ (Tập trung vào nhà cung cấp)Lắp đặt tại chỗ (Tập trung vào khách hàng)
An ninh hạ tầngVận hành ranh giới được lưu trữ phù hợp với Thỏa thuận khung dịch vụ (MSA/SLA) và Biểu mẫu đặt hàng hiện hành.Chịu trách nhiệm về máy chủ, bảo mật mạng, cập nhật phần mềm, sao lưu/phục hồi thảm họa và hỗ trợ kiểm soát cơ sở hạ tầng.
Khả dụng & phục hồiCác mục tiêu về tính khả dụng và khả năng phục hồi (nếu có) được xác định trong Thỏa thuận khung dịch vụ (MSA/SLA) và Đơn đặt hàng.Chịu trách nhiệm về thời gian hoạt động, mục tiêu phục hồi và kiểm thử phục hồi, trừ khi có thỏa thuận khác bằng văn bản.
Quản trị quyền truy cập người dùngKhách hàng xác định vai trò/quyền hạn, phê duyệt quyền truy cập, thực hiện cấp/thu hồi quyền và cấm chia sẻ thông tin đăng nhập.
Xác thực và mục đích sử dụngKhách hàng chịu trách nhiệm về việc xác nhận/đánh giá chất lượng và các quyết định về mục đích sử dụng trong Hệ thống Quản lý Chất lượng của Khách hàng; Nhà cung cấp cung cấp tài liệu và các cấu trúc hỗ trợ theo Thỏa thuận khung/Thỏa thuận chất lượng phần mềm.
Thay đổi kiểm soátNhà cung cấp kiểm soát việc triển khai và công bố tài liệu phát hành cho các Dịch vụ Lưu trữ phù hợp với MSA/SQA.Khách hàng kiểm soát thời gian triển khai và thử nghiệm các bản cập nhật tại chỗ; Nhà cung cấp cung cấp tài liệu phát hành và hỗ trợ theo thỏa thuận dịch vụ chính (MSA)/thỏa thuận đảm bảo chất lượng phần mềm (SQA).

Tài liệu tham khảo: MSA, kiểm toán viên, Đòi Hỏi Kỹ Thuật.

3) Nhận dạng, Xác thực & Kiểm soát truy cập

Kiểm soát truy cập được thiết kế để hỗ trợ nguyên tắc quyền hạn tối thiểu, trách nhiệm giải trình và quản trị có kiểm soát. Trong môi trường được quản lý chặt chẽ, kiểm soát truy cập là sự kết hợp của nhiều yếu tố. kỹ thuậtthủ tục kỷ luật.

  • Quyền truy cập dựa trên vai trò: Quyền hạn được phân bổ theo vai trò để phù hợp hóa chức năng với trách nhiệm công việc.
  • Trách nhiệm duy nhất: Người dùng cần được xác định danh tính riêng biệt; việc sử dụng chung thông tin đăng nhập cần bị cấm.
  • Quản trị truy cập: Khách hàng tự kiểm soát việc cấp/thu hồi quyền truy cập, thiết kế vai trò và xem xét quyền truy cập định kỳ trong quy trình vận hành tiêu chuẩn (SOP) của họ.
  • Quyền truy cập đặc quyền: Quyền truy cập quản trị chỉ giới hạn cho nhân viên được ủy quyền phục vụ các nhu cầu vận hành.
Trách nhiệm của khách hàng: Trong các hoạt động được quy định, khách hàng nên duy trì các quy trình quản lý tài khoản, xem xét định kỳ, quản trị đào tạo và (nếu có) thẩm quyền và ý nghĩa của chữ ký điện tử.
4) Nhật ký kiểm toán, hồ sơ điện tử và tính toàn vẹn dữ liệu (trong bối cảnh GxP)

V5 Traceability hỗ trợ việc lưu trữ hồ sơ theo định hướng truy xuất nguồn gốc và được thiết kế để hỗ trợ các hành vi kiểm soát thường được mong đợi đối với các hồ sơ điện tử được quy định, bao gồm các hành động có thể quy kết, hành vi nhật ký kiểm toán, kiểm soát tính toàn vẹn của hồ sơ và hành vi chữ ký điện tử (nếu có và được cấu hình).

Đánh giá độc lập (trong bối cảnh Phần 11 của Quy định Liên bang 21 CFR). V5 Traceability có một tài liệu đánh giá độc lập nhằm hỗ trợ việc đánh giá năng lực nhà cung cấp và các cuộc thảo luận về CSV. Xem thêm: Đánh giá độc lập theo Phần 11 của Quy định 21 CFR.

Ranh giới pháp lý: Các tài liệu đánh giá độc lập hỗ trợ việc thẩm định nhà cung cấp và đánh giá kiểm soát. Chúng không thay thế việc xác nhận của khách hàng, xác định mục đích sử dụng hoặc các biện pháp kiểm soát quy trình của khách hàng.
5) Bảo vệ dữ liệu & Bảo mật

SG Systems Global Công ty bảo vệ thông tin khách hàng bằng các biện pháp kiểm soát hành chính, kỹ thuật và hợp đồng phù hợp với các mục tiêu về bảo mật, tính toàn vẹn và tính khả dụng. Bảo mật theo hợp đồng, quyền dữ liệu của khách hàng và các điều khoản xử lý quyền riêng tư (nếu có) được quy định trong Thỏa thuận khung dịch vụ (MSA) và các tài liệu liên quan.

  • Bảo mật: Các biện pháp kiểm soát nhằm ngăn chặn việc tiết lộ thông tin khách hàng trái phép.
  • Tính toàn vẹn: Các biện pháp kiểm soát nhằm mục đích bảo toàn tính toàn vẹn của hồ sơ và hỗ trợ khả năng truy xuất nguồn gốc sẵn sàng cho kiểm toán.
  • Khả dụng: Các biện pháp kiểm soát vận hành phù hợp với loại hình triển khai đã chọn; các mục tiêu của Dịch vụ Lưu trữ (nếu có) được xác định trong MSA/SLA.

Để biết các điều khoản ràng buộc về bảo mật và dữ liệu khách hàng, vui lòng tham khảo [liên kết đến tài liệu]. MSA.

6) Chu trình phát triển phần mềm an toàn (SDLC) và kỷ luật phát hành

Hệ thống truy xuất nguồn gốc V5 được phát triển và duy trì bằng các quy trình được kiểm soát nhằm hỗ trợ một quy trình phát hành đáng tin cậy và có thể kiểm toán được cho các khách hàng thuộc diện quản lý.

Tóm tắt quy trình kiểm soát SDLC bao gồm:

  • Giới thiệu thay đổi có kiểm soát: Các thay đổi được lên kế hoạch, triển khai và xem xét trước khi phát hành.
  • Ngành học cần đánh giá: Các thay đổi về mã và cấu hình sẽ được xem xét trước khi triển khai.
  • Phân tách môi trường: Các hoạt động phát triển/thử nghiệm và sản xuất được kiểm soát để giảm thiểu rủi ro thay đổi trái phép.
  • Tài liệu phát hành: Ghi chú phát hành mô tả những thay đổi quan trọng và, nếu có liên quan, các vấn đề cần xem xét khi xác thực.
Khách hàng thuộc diện quản lý: Các nghĩa vụ kiểm soát thay đổi và quy trình phát hành được điều chỉnh bởi MSA và, nếu được tích hợp, bởi SQA.
7) Quản lý thay đổi (Tóm tắt kiểm soát hướng đến khách hàng)

SG Systems Global Áp dụng phương pháp quản lý thay đổi có kiểm soát để hỗ trợ việc cung cấp dịch vụ có thể dự đoán được và đáp ứng các kỳ vọng về sử dụng theo quy định.

Tóm tắt quy trình kiểm soát quản lý thay đổi bao gồm:

  • Đánh giá sự thay đổi: Các thay đổi được đánh giá về tác động tiềm tàng đối với khách hàng, bao gồm cả các yếu tố tác động theo quy định nếu có.
  • Kỷ luật phê duyệt: Việc thay đổi quy trình sản xuất phải được sự chấp thuận bằng văn bản trước khi phát hành.
  • Kiểm soát triển khai: Việc triển khai dịch vụ lưu trữ (Hosted Services) do Nhà cung cấp kiểm soát; việc triển khai tại chỗ (On-Prem) do Khách hàng kiểm soát.
  • Thay đổi khẩn cấp: Các thay đổi an ninh khẩn cấp có thể được thực hiện khi cần thiết để đối phó với các mối đe dọa hiện hữu; những thay đổi này được ghi chép và thông báo phù hợp với các điều khoản hợp đồng.

Các điều khoản kiểm soát thay đổi ràng buộc được định nghĩa trong MSA và, nếu được hợp nhất, kiểm toán viên.

8) Quản lý lỗ hổng bảo mật

SG Systems Global Quản lý các lỗ hổng bảo mật thông qua việc nhận diện, phân loại, khắc phục và xác minh, với việc ưu tiên dựa trên mức độ nghiêm trọng và khả năng khai thác.

Tóm tắt các biện pháp kiểm soát quản lý lỗ hổng bảo mật bao gồm:

  • Phân loại và ưu tiên: Đánh giá phạm vi, mức độ nghiêm trọng, khả năng bị khai thác và tác động tiềm tàng đến khách hàng.
  • Biện pháp khắc phục hậu quả: Áp dụng các bản sửa lỗi/vá lỗi và ghi lại các thay đổi quan trọng trong tài liệu phát hành khi cần thiết.
  • Truyền thông: Việc liên lạc với khách hàng tuân theo các cấu trúc hợp đồng và vận hành được nêu trong MSA/SQA.

Để báo cáo về lỗ hổng bảo mật hoặc vấn đề an ninh bị nghi ngờ, vui lòng gửi email. support@sgsystemsglobal.com với chủ đề: Security Concern.

9) Quản lý sự cố và ứng phó sự cố an ninh

SG Systems Global Duy trì quy trình quản lý sự cố và ứng phó sự cố an ninh nhằm hỗ trợ việc phân loại, khoanh vùng, điều tra và liên lạc với khách hàng một cách nhanh chóng, bao gồm cả các cân nhắc về việc sử dụng theo quy định trong trường hợp tính toàn vẹn của hồ sơ có thể bị ảnh hưởng.

Tóm tắt các biện pháp kiểm soát quản lý sự cố bao gồm:

  • Phân loại: Các sự kiện được đánh giá và phân loại dựa trên mức độ nghiêm trọng và tác động tiềm tàng đến tính bảo mật, tính toàn vẹn và tính khả dụng.
  • Nâng cao: Các quy trình leo thang được áp dụng cho các sự kiện có mức độ nghiêm trọng cao hơn và các vấn đề liên quan đến phạm vi điều chỉnh của luật.
  • Cuộc điều tra: Các cuộc điều tra được ghi chép lại và các sự kiện quan trọng được xem xét lại sau khi sự việc xảy ra.
  • Hanh động đung đăn: Các biện pháp khắc phục được theo dõi để giảm nguy cơ tái diễn.
Thông báo và báo cáo về Dịch vụ lưu trữ: Các nghĩa vụ ràng buộc về thông báo và báo cáo sự cố bảo mật (bao gồm cả thời hạn) được quy định trong Thỏa thuận khung dịch vụ (MSA) cho Dịch vụ lưu trữ. Đối với các triển khai tại chỗ (On-Prem), Khách hàng kiểm soát việc quản lý sự cố đối với cơ sở hạ tầng do Khách hàng quản lý; Nhà cung cấp hỗ trợ các vấn đề liên quan đến phần mềm phù hợp với MSA/SQA.

Kênh báo cáo: support@sgsystemsglobal.comĐối với các vấn đề nghi ngờ về tính toàn vẹn của hồ sơ/dữ liệu được quy định, vui lòng bao gồm: Potential GxP / data integrity impact.

10) Sao lưu, Khôi phục sau Thảm họa & Duy trì Hoạt động Kinh doanh

Các kỳ vọng về tính liên tục và khả năng phục hồi phụ thuộc vào loại hình triển khai. Đối với Dịch vụ lưu trữ trên đám mây (Hosted Services), các mục tiêu về tính khả dụng và khả năng phục hồi áp dụng (nếu có) được xác định trong Thỏa thuận khung dịch vụ (MSA/SLA) và Đơn đặt hàng. Đối với Cài đặt tại chỗ (On-Premise Installations), Khách hàng chịu trách nhiệm sao lưu, phục hồi sau sự cố và kiểm thử phục hồi trừ khi có thỏa thuận khác bằng văn bản.

Tóm tắt kiểm soát tính liên tục bao gồm:

  • Phương pháp phục hồi được ghi chép lại: Các quy trình phục hồi được ghi chép đầy đủ, phù hợp với mô hình triển khai đã chọn.
  • Mục đích sao lưu tính toàn vẹn: Các biện pháp kiểm soát nhằm hỗ trợ khả năng phục hồi và giảm thiểu rủi ro mất dữ liệu trong phạm vi đã được xác định.
  • Mục đích kiểm tra khả năng phục hồi: Các hoạt động chuẩn bị phục hồi định kỳ phù hợp với ranh giới lưu trữ và thiết kế dịch vụ.
Nguồn tham khảo đáng tin cậy: Các cam kết về tính khả dụng, các trường hợp loại trừ và bất kỳ mục tiêu RTO/RPO nào đều được xác định trong... MSA (bao gồm SLA) và Mẫu đơn đặt hàng áp dụng.
11) Các nhà cung cấp bên thứ ba, các đơn vị xử lý phụ và quyền riêng tư

Dịch vụ lưu trữ có thể được cung cấp thông qua các nhà cung cấp bên thứ ba như đã nêu trong Đơn đặt hàng / Đề xuất đã ký. Việc nhà cung cấp sử dụng các bên xử lý phụ và các điều khoản xử lý quyền riêng tư (nếu có) được điều chỉnh bởi Thỏa thuận khung dịch vụ (MSA) và bất kỳ Phụ lục xử lý dữ liệu (DPA) nào áp dụng.

  • Bộ xử lý con: Được ký kết theo các thỏa thuận bằng văn bản nhằm bảo vệ dữ liệu khách hàng và tuân thủ các nghĩa vụ bảo mật.
  • Xử lí dữ liệu: Trong trường hợp pháp luật yêu cầu, các điều khoản về quyền riêng tư được quy định trong Thỏa thuận bảo mật dữ liệu (DPA) được tích hợp bằng cách tham chiếu và được cung cấp theo yêu cầu.
  • Ranh giới hệ thống: Trách nhiệm sẽ khác nhau tùy thuộc vào hình thức triển khai (Hosted) hay On-Prem và được quy định trong hợp đồng.
12) Đánh giá năng lực nhà cung cấp, hỗ trợ kiểm toán và bằng chứng

SG Systems Global Hỗ trợ quá trình thẩm định khách hàng và đánh giá năng lực nhà cung cấp bằng cách sử dụng tài liệu và phản hồi có cấu trúc phù hợp với ranh giới hệ thống và loại hình triển khai. Đối với các dự án tuân thủ quy định/GxP, SQA (khi được tích hợp) sẽ xác định khung vận hành chất lượng, bao gồm các cấu trúc hỗ trợ kiểm toán và trách nhiệm sử dụng theo quy định.

  • Hỗ trợ chứng chỉ: Các phản hồi và tài liệu được cung cấp nhằm hỗ trợ quy trình đánh giá năng lực nhà cung cấp của khách hàng.
  • Hợp tác kiểm toán: Việc cung cấp dịch vụ tuân theo điều kiện bảo mật và lịch trình hợp lý như được quy định trong MSA/SQA.
  • Đánh giá độc lập: Tài liệu do người đánh giá biên soạn hỗ trợ các cuộc thảo luận về Phần 11 và đánh giá kiểm soát.

Tài liệu tham khảo: kiểm toán viên | MSA | Đánh giá độc lập

13) Yêu cầu tài liệu bảo mật

Các tài liệu bổ sung về bảo mật và tuân thủ có thể được cung cấp cho khách hàng và khách hàng tiềm năng đủ điều kiện để hỗ trợ quá trình thẩm định và đánh giá năng lực nhà cung cấp, tùy thuộc vào các nghĩa vụ bảo mật (MSA) và, nếu có, các điều khoản NDA.

Ví dụ về các tài liệu có sẵn theo yêu cầu (nếu có):

  • Tóm tắt tài liệu quản lý thay đổi và phát hành.
  • Tóm tắt quy trình xử lý sự cố phù hợp với các nghĩa vụ hợp đồng
  • Tóm tắt tính liên tục sao lưu/phục hồi thảm họa phù hợp với ranh giới triển khai.
  • Tài liệu đánh giá độc lập (21 CFR Phần 11)
  • Danh sách nhà thầu phụ và mẫu thỏa thuận xử lý dữ liệu (nếu có)
  • Trả lời các câu hỏi dạng bảng câu hỏi có cấu trúc (kiểu SIG/CAIQ) khi được yêu cầu.
Yêu cầu: Email support@sgsystemsglobal.com Vui lòng bao gồm tên công ty, loại hình triển khai (Lưu trữ trên đám mây hoặc Tại chỗ), tiến độ và danh sách việc cần làm của bạn.
14) Kiểm soát tài liệu
Tài liệuAn ninh và niềm tin (Tóm tắt dành cho khách hàng)
phiên bản2.16
Thực thể pháp lýSG Systems, LLC
Địa Chỉ6944 Meadowbriar Lane, Dallas, TX 75230
Được chấp nhận bởiStuart Hunt; Simon Hartley

Trang này chỉ cung cấp thông tin tham khảo và không làm thay đổi các điều khoản hợp đồng.