Audytowalność to ważny aspekt systemów stosowanych w branżach krytycznych, takich jak automotive, energetyka, lotnictwo czy przemysł farmaceutyczny. W tym ostatnim stosowane jest pojęcie audit trail (ścieżka audytu), co oznacza automatycznie tworzony i zabezpieczony zapis historii działań wykonywanych w systemie. PREMIS implementuje zapisy audit trail zgodnie z zasadami ALCOA+, które zapewniają skuteczność i użyteczność tych zapisów.
Co to jest audit trail?
W praktyce częściej spotkamy się z pojęciem audit trail, niż z polskim tłumaczeniem ścieżka audytu. Dlatego też będziemy stosować pojęcie audit trail, a tylko czasem jako zamiennik też polskie tłumaczenie.
Audit trail oznacza automatyczne gromadzenie danych umożliwiających identyfikację, kto, kiedy i jakie dane utworzył, zmodyfikował lub usunął, wraz z zachowaniem informacji o wartościach początkowych oraz nowych. Celem jest zapewnienie integralności, identyfikowalności i rozliczalności danych oraz umożliwienie odtworzenia przebiegu zdarzeń podczas audytu lub inspekcji. W dalszej części rozłożymy to na bardziej szczegółowe wymagania i pokażemy, w jaki sposób są one realizowane w PREMIS.
Opisany mechanizm chroni przed manipulacją danymi, fałszowaniem, nieautoryzowaną zmianą, a również pozwala na określenie odpowiedzialności za poszczególne dane i ich zmiany w systemie. Jest to jeden z kluczowych aspektów w systemach zarządzania jakością, ma więc szerokie zastosowanie. Jest to też jeden z warunków skutecznego zabezpieczenia systemu (cybersecurity). Audit trail nie dotyczy zabezpieczania danych przez atakami, ale daje podstawę do analizy zdarzeń oraz rozliczania działań. NIST SP 800-53 w sekcji 3.3 „Audit and accountability” definiuje ‘audit records’ (AU-3) będące odpowiednikiem audit trails. Audit trail ma fundamentalne znaczenie w wielu branżach i zastosowaniach. W związku z tym PREMIS od podstaw był projektowany tak, aby zapewnić skuteczne jego stosowanie.
Sam audit trail jest zdefiniowany w Aneksie 11 do GMP (Good Manufacturing Practice), podstawowej regulacji dla przemysłu farmaceutycznego, oraz w Dobrych praktykach dla zarządzania danymi i ich integralności w środowiskach regulowanych GMP/GDP. Na rynku amerykańskim główną regulacją jest w tym zakresie 21 CFR Part 11 (Electronic Records; Electronic Signatures). Stosowanie audit trail jest też związane z dobrymi praktykami zapewnienia integralności danych – ALCOA+, co będziemy dalej dokładniej omawiać. Samo audit trail bez zapewnienia integralności danych zgodnie z ALCOA+ jest mało skuteczne.
Jak PREMIS realizuje audit trail
PREMIS implementuje mechanizm zarządzania danymi biznesowymi z zachowaniem historii zmian, gdzie każda kolejna wersja danych jest zapisywana w bazie. Obejmuje to całość danych argumentacji assurance case wraz z ocenami, odwołania do dowodów, jak również samych dowodów, jeżeli są w repozytoriach zarządzanych przez PREMIS. Umożliwia to prezentację historii zmian dla każdego elementu argumentacji, jak i na poziomie całej argumentacji.
PREMIS implementuje następujące wymagania w zakresie audit trail:
- Zapisy audit trail są tworzone automatycznie dla wszystkich akcji na danych argumentacji i nie ma możliwości ich wyłączenia, również dla administratora PREMIS. Zapisy obejmują wszystkie akcje tworzenia danych, zmiany oraz ich usuwania.
- Zapewniona jest kompletność danych audit trail. Dane usunięte są oznaczane jako usunięte, ale nadal przechowane w systemie dla celów audytowych.
- Wszystkie zapisy są oznaczane stemplem czasowym UTC, co zapewnia jednoznaczne określenie czasu każdego zdarzenia.
- Każda wersja danych, zarówno wcześniejsza, jak i będąca wynikiem zmiany, są zachowywane. Jest możliwe porównanie stanu sprzed i po zmianie.
- Każde zdarzenie jest jednoznacznie przypisywane do indywidualnego konta użytkownika.
- Użytkownicy, jak i administratorzy, mają możliwość przeglądania historii zmian oraz wersji danych (w tym wersji pełnej argumentacji) bez możliwości modyfikacji tych danych.
- Dostęp do danych historii zmian (audit trail) wymaga dedykowanego uprawnienia.
- Moduł administracyjny PREMIS nie zawiera funkcji usuwania danych historycznych (audit trail).
- Audit trail stanowi integralną część danych PREMIS podlegającą procesom kopii zapasowych oraz odtwarzania po awarii
Poniżej mamy przykładowe okno historii zmian elementu argumentacji. Prezentowana jest informacja kto, kiedy i co zmienił.
Historia zmian jest gromadzona dla całych argumentacji assurance case. Fragment okna poniżej pokazuje wersję 1.3 argumentacji z dnia 28 sierpnia. Możliwy jest przegląd pełnej argumentacji tej wersji oraz utworzenie jest kopii, aby kontynuować dalsze prace od tego punktu.
Zasady ALCOA+ dla integralności danych
ALCOA powstało w latach 90-tych XX wieku jako proste nieformalne narzędzie mnemotechniczne inspektorów FDA dla kontroli integralności danych. Pomysłodawcą był dr Stan W. Woollen, który spisał te zasady jako listę kontrolną, a na podstawie głównych słów utworzył akronim ALCOA. Te słowa to: Attributable, Legible, Contemporaneous, Original, Accurate. Ta prosta lista kontrolna była na tyle skutecznym narzędziem, że stała się popularna w branży i z czasem zaczęto stosować to pojęcie również w regulacjach. Wraz z rozwojem technologii, po roku 2010, zasady ALCOA stały się niewystarczające, wobec czego rozszerzono je, a w nazwie dodano na końcu znak plus. W ten sposób powstała nazwa ALCOA+. Najlepszy opis zasad można obecnie znaleźć w przewodniku stowarzyszenia organów inspekcji farmaceutycznych PIC/S PI 041-1. Zestawienie zasad pokazuje diagram poniżej.
ALCOA utworzone w latach 90-tych obejmuje pięć zasad:
- Attributable (Przypisywalne)
Musi być możliwe zidentyfikowanie osoby lub systemu, który wykonał zarejestrowane działanie, oraz czasu wykonania. Dotyczy to również wszelkich działań tworzenia, modyfikacji i usuwania danych. - Legible (Czytelne)
Dane audit trail powinny być czytelne, czyli łatwe do jednoznacznej interpretacji. Dla danych elektronicznych powinna być możliwość prezentacji zrozumiałej dla użytkownika oraz wyszukiwania. - Contemporaneous (Bieżące)
Dowody działań, zdarzeń lub decyzji powinny być rejestrowane w momencie ich wystąpienia w systemie, nie odtwarzane później. - Original (Oryginalne)
Rekord oryginalny to pierwsze uchwycenie informacji. Dokładnie ta informacja powinna być zachowana jako audit trail. - Accurate (Dokładne)
Dane audit trail powinny zawierać dokładne wersje danych biznesowych (sprzed zmiany i po zmianie)
Rozszerzenie oznaczone znakiem plus, wchodzące w zbiór zasad ALCOA+, obejmuje wymagania ALCOA oraz cztery nowe:
- Complete (Kompletne)
Wszystkie informacje istotne dla odtworzenia zdarzenia powinny być rejestrowane, w tym dostępne metadane. Nie należy robić zapisów tylko głównych elementów danych. - Consistent (Spójne)
Informacja powinna być tworzona, przetwarzana i przechowywana z zachowaniem logicznych powiązań, w szczególności kolejności (chronologii) zdarzeń, ale również jawnie określonego formatu czasu, jednostek miary czy zaokrągleń. - Enduring (Trwałe)
Dane powinny być przechowywane w taki sposób, by były dostępne przez cały okres, w którym mogą być potrzebne, co formalnie oznacza utrzymanie danych przez cały wymagany okres retencji. - Available (Dostępne)
Dane powinny być dostępne do przeglądu w dowolnym momencie wymaganego okresu retencji, w czytelnym formacie, dla wszystkich uprawnionych osób.
Wszystkie powyższe wymagania ALCOA+ są realizowane przez PREMIS.
Korzyści praktyczne
Poza spełnieniem formalnych wymagań, audit trail w PREMIS daje realną wartość operacyjną i biznesową:
- ułatwia wykrywanie błędów i nadużyć, zanim urosną do poważnego problemu jakościowego;
- skraca czas przygotowań do audytów i inspekcji, a przy tym zmniejsza stres i ryzyko nowych uwag (obserwacji);
- ułatwia analizę odchyleń i ustalanie sekwencji zdarzeń;
- podnosi zaufanie i odpowiedzialność w zespołach, gdy z jednej strony każdy wie, że jego akcje mogą być sprawdzane, ale też nie ma ryzyka bezpodstawnych zarzutów;
- daje możliwość odtworzenia danych historycznych i wznowienia prac na ich podstawie, co umożliwia zredukowanie konsekwencji błędnych działań w procesach biznesowych;
- umożliwia prowadzenie analiz występowania błędów lub zachowania użytkowników w długim przedziale czasowym.
Audit trail i zasady ALCOA+ to nie tylko wymóg formalny, ale użyteczna praktyka biznesowa redukująca ryzyko błędów w procesach i dająca podstawy do skutecznych działań dla sytuacji wyjątkowych. PREMIS od wczesnych etapów prac był projektowany i rozwijany z zachowaniem tych zasad. Więcej informacji o historii zmian znajdziesz w manualu PREMIS.