欢迎您注册蒲公英
您需要 登录 才可以下载或查看，没有帐号？立即注册
x
继续前文：[size=18.6667px]制药行业的云架构应用分析_色谱系统介绍、风险分析及计算机化系统验证_part 1
[size=18.6667px]欢迎大家在评论区讨论
[size=18.6667px]制药行业的云架构应用分析_色谱系统介绍、风险分析及计算机化系统验证_part 2
制药行业基于云架构的法规要求，数据所有、隐私安全通常，质控（QC）实验室的数据采集仪器控制器 被设计为在本地计算机上运行，或者，几个仪器控制器可以连接到一个中心服务器。传统的部署方式是将该中心服务器安装在企业自建的IT数据中心，但IT虚拟化技术的成熟，使得该服务器也可以通过租用的形式搭建在远程站点或第三方托管站点，通常称为虚拟系统或者 “云” 系统中。 随着制药行业紧跟IT技术发展的步伐，监管部门也拓展了其对于云部署的法规要求。 FDA 在2017年发布的<FDA, Use of Electronic Recordsand Electronic Signatures in Clinical Investigations under 21 CFR Part 11--Questions and Answers (Draft Guidance)>草案中B章对于电子服务外包要求如下[11]： “FDA recognizes that sponsors andother regulated entities may choose to outsource electronic services. Examplesof these types of electronic services are data management services, includingcloud computing services. According to the National Institute of Standards andTechnology, cloud computing is defined as “a model for enabling ubiquitous,convenient, on-demand network access to a shared pool of configurable computingresources (e.g., networks, servers, storage, applications, services) that canbe rapidly provisioned and released with minimal management effort or serviceprovider interaction.”23 FDA意识到申请者或者其他受监管的实体可能会选择外包电子服务。这些电子服务的类型是数据管理服务，包括云计算服务。根据美国国家标准与技术研究所，云计算被定义为 “一种模型，用于实现对可配置计算资源共享池（例如，网络，服务器，存储，应用程序，服务）的无处不在，方便，按需网络访问。 可以通过最少的管理工作或服务提供商互动来快速配置和发布。” When these electronic services areused to process data for FDA-regulated clinical investigations, sponsors andother regulated entities should consider whether there are adequate controls inplace to ensure the reliability and confidentiality of the data. Sponsors andother regulated entities should consider the factors in the following bulletedlist when determining the suitability of the outsourced electronic services. Ifthe outsourced electronic service does not provide the data security safeguardsdescribed in the following bulleted list, sponsors and other regulated entitiesshould consider the risks of using such service (e.g., infringement of patientprivacy rights, lack of reliability of the data in the clinical investigationand its regulatory implications). 当这些电子服务用于处理FDA监管的临床调查数据时，申请者和其他受监管实体应考虑是否有适当的控制措施来确保数据的可靠性和机密性。 在确定外包电子服务的适用性时，申请者和其他受监管实体应考虑以下项目列表中的因素。 如果外包电子服务不提供以下项目列表中描述的数据安全保护措施，申请者和其他受监管实体应考虑使用此类服务的风险（例如，侵犯患者隐私权，临床数据缺乏可靠性） 调查及其监管影响）。” MHRA 在2018年发布的< MHRA GxP Data Integrity Guidance andDefinitions>中6.20章对于IT供应商和服务供应商要求如下[12]： “Where‘cloud’ or ‘virtual’ services are used, attention should be paid tounderstanding the service provided, ownership, retrieval, retention andsecurity of data. 当使用“云”或“虚拟化”服务时，应注意了解所提供的服务，数据所有权、检索、保留和安全性。 The physical location where thedata is held, including the impact of any laws applicable to that geographiclocation, should be considered. 应考虑数据所在的实际位置，包括适用于该地理位置的任何法律的影响。 The responsibilities of thecontract giver and acceptor should be defined in a technical agreement orcontract. This should ensure timely access to data (including metadata andaudit trails) to the data owner and national competent authorities uponrequest. Contracts with providers should define responsibilities for archivingand continued readability of the data throughout the retention period (seearchive). 合同提供者和接受者的责任应在技术协议或合同中定义。 这应确保根据请求及时向数据所有者和国家主管当局提供数据（包括元数据和审计跟踪）访问。 与提供商签订的合同应规定在整个保留期内归档的责任和数据的持续可读性（参见存档）。 Appropriate arrangements must existfor the restoration of the software/system as per its original validated state,including validation and change control information to permit this restoration. 必须有适当的安排以允许恢复软件/系统的原始验证状态，包括验证和变更控制信息。 Business continuity arrangementsshould be included in the contract and tested. The need for an audit of theservice provider should be based upon risk. 业务连续性也应被包含在合同中，并进行相应的测试。对服务提供商进行的审计应基于风险考虑。” PDA 在2018年发布的< PDA TR80 Data IntegrityManagement System for Pharmaceutical Laboratories> 6.3章中对于基于云架构的分析实验室计算机化系统要满足[13]： “无论服务器是本地的还是云上的，都必须对服务器进行演示，以适合其使用，并支持软件在合规的环境下能够符合相关的法规要求。 As a result of Cloud technology,software-as-a-service (SaaS) is becoming a common offering by software vendors.An SaaS environment offers pharmaceutical companies many benefits; however,they must understand that, ultimately, as the end user, the pharmaceuticalcompany is responsible for the appropriate use and the control of thistechnology. Consequently, a detailed service level agreement (SLA) between theSaaS hosting company and the end user is needed to clearly define the roles andresponsibilities of each party particularly to satisfy each regulatoryrequirement. Such an agreement details information about the vendor, thephysical and logistical security of the facility, and the security of thefirewall and firewall monitoring for possible cyberattack. It should alsoinclude any other elements to ensure the environment is well controlled for theapplication’s use, including data backups, application response times, andsupport response times. Appropriate metrics that can be used to monitor theSaaS hosting company’s ability to meet the established expectations of the SLAshould be maintained. Both companies should devise acontingency plan to ensure against loss of data in the event of network outage,hardware failure, or a cyber event and conduct a routine and detailed audit ofthe SaaS application and the hosting environment at a frequency determinedbased on risk. The ultimate responsibility remains with the pharmaceuticallaboratory, including the review of audit trails, backup logs, change controls,and system administration controls to assure that only appropriate users areaccessing the system.由于云技术，软件即服务（SaaS）已经变成软件供应商常提供的技术。这种技术虽然能给药企带来许多好处。然而，药企必须清楚的了解，作为终端用户，药企要对技术的使用以及控制负责。因此，SaaS托管公司和终端用户之间需要一个详细的服务水平协议(SLA)，以明确定义各方的角色和责任，特别是应满足各个监管机构要求。此协议应包括供应商信息、企业的物理设施及后勤安全保障、防火墙的安全性以及对潜在网络攻击进行防火墙监视。它还应该包含任何其他元素，以确保应用程序很好地适用于企业环境，包括数据备份、应用程序响应时间、支持响应时间。应该建立可用于监视SaaS托管公司满足SLA既定期望的能力的适当指标。合作双方公司都应制定应急计划，以确保在网络中断、硬件损坏或者是网络攻击事件的情况下防止数丢失，以及在基于风险评估的频率，对SaaS应用程序和托管环境进行例行和详细的审计。药企实验室最终应对以下负责，包括审计追踪回顾、备份日志、变更控制、保证只有合适用户才能够进入系统进行管理。 A clear advantage for the use of SaaS applications isthat, typically, the buyer can use much of the vendor’s documentation for installation qualification (IQ) andoperational qualification (OQ) and the vendor provides test scripts for thestandard out-of-the-box functionality. This may reduce the documentationrequired by the company buying the services to test unique features oruser-defined configurations. When the application is ready for use, theend-user company performs the user acceptance testing that certified the systemmeets the agreed-upon requirements and is fit for use in the company environment. It is important to note that thisapproach does not alleviate the regulatory requirement for the end user toassure a compliant use of the system. 使用SaaS应用程序的一个明显优势是，典型的，买方可以使用供应商的大部分文档进行安装确认(IQ)和操作确认(OQ)，并且供应商提供标准开箱即用功能的测试脚本。这会减少公司测试脚本服务定义用户配置的文件的购买。当应用程序准备好使用时，最终用户公司执行用户验收测试，以证明系统满足商定的要求，适合在公司环境中使用。需要注意的是，这种方法并没有减少要求最终用户确保系统合规使用的监管要求。 Pharma companies (end users) can also host the company-ownedregulated systems in a third party’sCloud environment. This scenario allows a third party to run a company’sapplication in a virtualized server in the third party’s data center. The regulated company must still assurecompliance in the third party’senvironment, but this allows the regulate company to focus more on its own corebusiness rather than staffing the complex environment of a regulated datacenter. 制药公司(最终用户)也可以在第三方的云环境中托管公司拥有的监管系统。该情况下允许第三方在第三方数据中心的虚拟服务器上运行公司的应用程序。监管系统归属公司仍然必须确保在第三方环境中遵守规定，但这允许监管系统归属公司更关注自己的核心业务，而不是在监管数据中心的复杂环境中工作。 As with a SaaS system, a detailedSLA must be established with the third party’s data center detailinginformation about the vendor, the physical and logistical security of thefacility, and the security of the firewall and firewall monitoring for possiblecyberattack. The agreement should include any other elements that ensure theenvironment is well controlled for the application’s use. The end-user companyshould devise a contingency plan to ensure against loss of data in the event ofnetwork outage or hardware failure and conduct a detailed audit of a Cloudsystem and application vendor at least once a year. As with SaaS, the end-usercompany should perform user acceptance testing of the vendor’s applicationhosted in the vendor’s Cloud to certify that the application is fit for use inthe company’s environment (7). 与SaaS系统一样，必须使用第三方的数据中心建立详细的SLA，详细说明供应商的信息，设施的物理和后勤安全，以及防火墙和防火墙监控的安全，以防止潜在网络攻击。该协议也应包括以确保环境能够很好地控制应用程序的使用的，任何其他监管因素。终端用户公司应当制定应变计划，来防止在网络中断或硬件故障时丢失数据，并至少每年对云系统和应用程序供应商进行一次详细审计。与SaaS一样，终端用户公司应该对供应商的应用程序进行用户验收测试，以证明该应用程序适合在公司的环境中使用。 Additional information on Cloud and SaaSqualification can be found in the Control Objectives for Information andRelated Technologies (COBIT) framework created by the internationalprofessional association ISACA as a good practice for information technology(IT) management and IT governance (40) and in ITIL? (Information TechnologyInfrastructure Library) books, a set of widely accepted best practices for ITservice management for business (41). 关于云和SaaS资质的更多信息可以在信息和相关技术(COBIT)框架的控制目标中找到，COBIT出自ISACA作为信息技术(IT)的良好实践管理和IT治理(40)和ITIL®(信息技术基础设施库)一书，是被广泛接受的IT服务管理的最佳实践。” 不同的监管机构已经发布了指导原则和规定，描述了其对系统认证和软件验证的期望。并在一些领域达成了标准的共识。表I提供了与自动化系统和指定期望的法规、指南或相关标准的关键术语的交叉引用。
表 I，自动化系统法规要求关键术语和交叉引用 | 参考条目 | | | | | | | | GAMP 5 and IT infrastructure and Control (45) | | MHRA ‘GxP’ Data Integrity Guidance and Definitions (5) | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | Part 11.300(b) & (c); Part 11.10(k) | | | | | | | | | |
主要云供应商支持情况关键词：云支持访问地区，合规符合性，云供应商SLA中关于技术支持、数据安全、数据隐私和所有者的条款内容 本文对云供应商的支持水平从以下几个方面进行探讨： § 技术支持，包括服务可靠性（备份及恢复水平、业务连续性）、架构可扩展性和数据安全性 § 服务管理，包括数据所有权 § 法规符合性，包括数据隐私法律符合、GxP法规符合 Amazon（亚马逊） 现在全球最大的云供应商，从2006年开始AWS（Amazon Web Services）为个人、企业和政府部门提供IaaS及PaaS服务。AWS提供计算、存储、网络、数据库、分析、应用服务、部署、管理、移动、开发工具和物联网（IoT）服务[19]。 AWS提供弹性的云中虚拟服务器EC2，Amazon S3存储、EC2 Block Storage卷（EBS）及Glacier归档存储等服务。 分布站点 在北美、南美、欧洲和亚太均分布有数据中心提供服务。2017年AWS在中国上线了新的数据中心为中国用户提供云服务。 服务可靠性 利用 Amazon S3 和其他 AWS 服务（如 S3Glacier，AmazonEFS 和 AmazonEBS）构建可扩展，持久且安全的备份和还原解决方案，以增强或取代现有的本地功能。保护在AWS 云中或本地环境中运行的关键数据，应用程序和IT 系统，而不会产生另一个物理站点的费用。借助Amazon S3 存储，S3 跨区域复制和其他 AWS 计算、联网和数据库服务，可以创建 DR 架构以快速轻松地从自然灾害、系统故障和人为错误导致的中断恢复。 Amazon EC2 提供了一个高度可靠的环境，替代实例可以在其中以可预见的方式快速启动。该服务在Amazon 成熟的网络基础设施和数据中心内运行。AmazonEC2 服务等级协议的承诺是为每个Amazon EC2 区域提供99.99% 的可用性。 配置弹性 计算弹性 借助Amazon EC2，可以在几分钟（而不是几小时或几天）内增加或减少容量。可以同时管理一个、数百个，甚至数千个服务器实例。还可以使用Amazon EC2 Auto Scaling 确保 EC2 队列的可用性并根据其需求自动扩展和缩减该队列，以最大限度提高性能和降低成本。 存储弹性 Amazon S3提供可向上和向下扩展的存储资源 服务弹性 使用AWS Auto Scaling 来扩展多种服务。 访问安全 AWS管理云的安全性，最终用户可以对云中的安全性进行配置和管理。 最终用户可以控制他们的安全性选择实施以保护自己的内容，平台，应用程序，系统和网络，这与部署在企业自有数据中心中的应用程序没有区别[20]。 存储资源访问安全：为了保护在Amazon S3 中的数据，默认情况下用户只能访问自己创建的S3 资源。可以使用以下访问管理功能之一或者这些功能的组合来向其他用户授予访问权限：AWSIdentity and Access Management (IAM)，用于创建用户并管理其相应的访问权限；访问控制列表(ACL)，用于使单独的对象可供授权用户访问；存储桶策略，用于配置单个S3 存储桶中所有对象的访问权限；查询字符串身份验证，用于通过临时URL 向其他用户授予限时访问权限。Amazon还支持审核日志，其中列出了对S3资源发出的请求，可以清楚地了解谁访问了哪些数据。 数据安全 数据存储安全：Amazon S3 提供了灵活的安全功能，用于阻止未经授权的用户访问数据。使用 VPC 终端节点可从您的 Amazon Virtual Private Cloud (Amazon VPC) 连接到 S3 资源。Amazon S3 支持服务器端加密（SSE-S3、SSE-KMS、SSE-C）和用于数据上传的客户端加密。使用S3 清单可检查 S3对象的加密状态。 “S3 阻止公有访问”控制是可审核的，进一步提高了控制力，并使用了 AWSTrusted Advisor 存储桶权限检查、AWSCloudTrail 日志和Amazon CloudWatch 警报。还可以使用Amazon Macie 来发现、分类和保护存储在Amazon S3 中的敏感数据。它使用机器学习功能来识别个人身份信息(PII) 或知识产权等敏感数据，并提供控制面板和警报来显示这些数据是如何被访问或移动的。AmazonMacie 还可监控数据访问模式是否有异常，并在检测到未经授权的访问或意外数据泄漏风险时生成警报。 数据传输安全：数据传输(发往和离开Amazon S3 时) 和处于静态 (存储在 Amazon S3 数据中心的磁盘上时)期间保护数据。可以使用SSL 或使用客户端加密保护传输中的数据。 数据隐私 借助Amazon虚拟私有云（Virtual Private Cloud，VPC），可以在AWS云中与之一个逻辑隔离的部分，从而在自定义的虚拟网络中启动AWS资源。可以完全掌控虚拟联网环境，包括选择自己的IP地址范围、创建子网以及配置路由表和网关。如此，可以为需要访问Internet的资源创建公有子网，而将数据库或应用程序服务器等后端系统放在不能访问Internet的私有子网中[20]。 数据所有权 AWS对于客户内容的所有权和控制权说明如下：“ § 访问：作为客户，您可以管理对自己的内容的访问权限以及用户对AWS 服务和资源的访问权限。我们提供了一系列先进的访问、加密和日志记录功能（例如AWS CloudTrail），可以帮助您有效达成这一目标。未经您的同意，我们不会出于任何目的而访问或使用您的内容。我们绝不会出于营销或广告目的而使用您的内容或从中提取信息。 § 存储：您可以选择存储自己的内容的AWS 区域。未经您的同意，我们不会将您的内容移动或复制到您选择的AWS 区域之外。 § 安全性：您可以选择自己的内容的保护方式。我们为您的动态和静态内容提供强加密功能，而且您可以选择自行管理自己的加密密钥。 § 客户内容的披露：除非法律有要求或者政府或监管部门发布的有效并有约束力的指令有要求，否则我们不会披露客户内容。除非相关方禁止或有明确的迹象表明Amazon 产品或服务的使用中存在非法行为，否则Amazon 会在披露客户内容之前通知客户，以便客户寻求保护。 § 安全保证：我们制定了一项安全保证计划，使用全球范围内的隐私和数据保护最佳实践来帮助您在AWS 内安全运行，并充分利用我们的安全控制环境。这些安全保护和控制流程分别通过多个第三方独立评估进行了验证。” 合规要求 AWS为使用其服务的药品研发或制造和医疗设备的企业提供了符合GxP支持的计算机系统。可以通过创建应用程序将AWS应用到GxP监管系统中，例如，创建近实时提醒以了解特定事件何时在环境中发生 (或试图发生)。此提醒系统可用于：根账户使用率、失败的身份验证尝试和对可能需要更改控制的环境进行的更改[22]。 § 自动化合规环境 AWS 支持基于规则的自动化合规。在企业级别，可以就 AWS 基础设施在整个企业内的预置和配置方式为其创建规则。在为特定项目创建基础设施时，可以创建可重复使用的模板，以便为部署、测试、生产和验证活动提供一致的环境。部署完成后，AWS还能提供相应的工具，继续测试、监控和记录发生的活动。可以使用这些工具快速检测背离企业政策的地方，并在发生这种情况时拉响警报。 § 承包商和供应商管理 AWS 可轻松为承包商提供虚拟化桌面环境以便其访问特定软件和系统，同时保持对知识产权的控制力。如果在与合同研究机构(CRO) 或合同生产机构(CMO) 合作，则还可以在AWS 云中提供集中式共享资源，以便安全访问地合同文档、临床数据和患者信息，从而支持监管合规需求（HIPAA、GxP）。使用AWS 构建 GxP 系统可以提高对 IT 环境的控制力，增强测试能力与可追踪性，并帮助应对审计。 阿里巴巴 阿里巴巴集团从2009年开始为全球用户提供基于IaaS服务模式的云服务（Alibaba Cloud），包括数据存储、关系型数据库、大数据计算、DDoS防御及内容分发网络（CDN）。 阿里云提供云服务器（ECS）, 对象存储(OSS)等服务。 分布站点 阿里云在18各地区建有数据中心，包括中国华北、华南、华东，美国西部、东部，欧洲，中东，日本，香港，新加坡，澳大利亚，马来西亚，印度和印度尼西亚。 服务可靠性 相较于普通的IDC机房以及服务器厂商，阿里云使用更严格的IDC标准、服务器准入标准以及运维标准，以保证云计算整个基础框架的高可用性、数据的可靠性以及云服务器的高可用性。在此基础之上，阿里云所提供的每个地域都存在多可用区。当需要更高的可用性时，可以利用阿里云的多可用区搭建自己的主备服务或者双活服务。 对云盘的读写最终都会被映射为对阿里云数据存储平台上的文件的读写。阿里云提供一个扁平的线性存储空间，在内部会对线性地址进行切片，一个分片称为一个Chunk。对于每一个Chunk，阿里云会复制出三个副本，并将这些副本按照一定的策略存放在集群中的不同节点上，保证您数据的可靠。对云盘上的数据而言，所有用户层面的操作都会同步到底层三份副本上，无论是新增、修改还是删除数据。这种模式，能够保障您数据的可靠性和一致性。 配置弹性 计算弹性： § 纵向的弹性，即单个服务器的配置变更。传统IDC模式下，很难做到对单个服务器进行变更配置。而对于阿里云，当购买了云服务器或者存储的容量后，可以根据业务量的增减自由变更自己的配置。 § 横向的弹性。对于平台出现的高峰期，若在传统的IDC模式下，根本无法立即准备资源；而云计算却可以使用弹性的方式帮助度过这样的高峰。当业务高峰消失时，可以将多余的资源释放掉，以减少业务成本。利用横向的扩展和缩减，配合阿里云的弹性伸缩，完全可以做到定时定量的伸缩，或者按照业务的负载进行伸缩。 存储弹性：阿里云拥有很强的存储弹性。当存储量增多时，对于传统的IDC方案，只能不断增加服务器，而这样扩展的服务器数量是有限的。阿里云为您提供海量的存储，可以按需购买，为存储提供最大保障。。 网络弹性：云上的网络也具有非常大的灵活性。阿里云的专有网络，那么所有的网络配置与线下IDC机房配置可以是完全相同的，并且可以拥有更多的可能性。可以实现各个机房之间的互联互通、安全域隔离以及灵活的网络配置和规划。 访问安全 阿里云为客户提供用户身份管理与访问控制服务（Resource AccessManagement，RAM）。可以创建、管理用户账号，并可以控制这些账号对于资源局有的操作权限。RAM允许在一个云账户下创建并管理多个用户身份，并允许给单个身份或一组身份分配不同的权限策略，从而实现不同用户拥有不同的云资源访问权限。 使用云盾堡垒机集中运维身份鉴别、账号管控、操作系统审计等功能，达到运维审计的目的。 数据安全 数据存储安全：阿里云提供对称密码算法、非对称密码算法及摘要算法等加密算法支持对企业敏感数据进行加密。 阿里云在关于加密服务的服务协议中关于数据保存条款如下：“4. 保密 4.1．保密资料指由一方向另一方披露的所有技术及非技术信息(包括但不限于产品资料，产品计划，价格，财务及营销规划，业务战略，客户信息，客户数据，研发资料，软件硬件，API应用数据接口，技术说明，设计，特殊公式，特殊算法等)。 4.2. 本服务条款任何一方同意对获悉的对方之上述保密资料予以保密，并严格限制接触上述保密资料的员工遵守本条之保密义务。除非： 4.2.1. 经您同意，向第三方披露； 4.2.2. 根据法律的有关规定，或者行政或司法机构的要求，向第三方或者行政、司法机构披露； 4.2.3. 如果您出现违反中国有关法律法规的情况，需要向第三方披露； 4.2.4. 为提供您所要求的软件或服务，而必须和第三方分享您数据。 4.3. 本条款不因本服务条款的终止而失效。” 数据传输安全：阿里云使用ExpressConnect，在本地设施和云服务之间建立一个专用网络。使用VPNGateway基于Internet，通过加密通道将企业数据中心、企业办公网络、或Internet终端和阿里云专有网络（VPC）安全可靠连接起来的服务。 数据隐私 提供内容智能安全审查，支持对图片、视频、文本、语音等对象进行多样化场景检测，降低内容违规风险。 阿里云提供虚拟私有云（VPC）创建私有网络，不同的专有网络之间二层逻辑隔离。可以在VPC内创建和管理云产品实例，例如云服务器、云数据库和负载均衡等。 通过使用SDDP服务，满足GDPR关于在海量数据中找到和保护敏感数据的要求，可对敏感数据的使用进行审计。阿里云敏感数据保护（SDDP）可以从资产的海量数据中快速返现和定位敏感数据，追踪敏感数据的使用情况，并根据您选择的安全管理规则，为您呈现系统化的数据总览图，以确保您能实时了解资产数据的安全状态。阿里云在关于敏感数据保护的服务协议中关于数据保存条款如下：“3.2.阿里云进行收费后，如您仍使用阿里云服务的，应按届时有效的收费政策付费并应遵守届时阿里云公布的有效的服务条款。如在收费后，您拒绝支付服务费的，阿里云有权不再向您提供服务，并有权利不再继续保留您的业务数据”。 数据所有权 阿里云在关于敏感数据保护的服务协议中关于数据保存条款如下：“6.1. 在本条款项下一方向对方提供的任何资料、技术或技术支持、软件、服务等的知识产权均属于提供一方或其合法权利人所有； 除提供方或合法权利人明示同意外，另一方无权复制、传播、转让、许可或提供他人使用上述知识成果，否则应承担相应的责任。” 微软 微软从2010年开始提供基于IaaS，PaaS及SaaS服务模式的云服务。在2010年叫做 “Windows Azure” ，从2014年开始改名为“Microsoft Azure”。提供Windows Azure，Microsoft SQL数据库服务，Microsoft.Net服务，用于分享、储存和同步文件的Live服务，针对商业的Microsoft SharePoint和Microsoft Dynamics CRM服务。 Microsoft Azure提供虚拟机，DataLake Storage存储及Blob级别的归档存储等服务。 分布站点 Azure在全球各地提供42个区域数据中心，包括中国东部、北部、东部2和北部2中心。低于是维持数据主流和符合性的边界，通常会包含两个或多个区域。地域允许具有特定数据驻留和符合性要求的客户保持他们的数据和应用程序相邻近。通过与专用的高容量网络基础设施相连，地域具有容错能力，可承受整个区域的故障。 服务可靠性 AzureCosmosDB自动执行备份过程。大约每四个小时进行一次自动备份，并始终存储最新的2个备份。备份是默认的地理冗余（GRS），存储在当前写入数据库区域（因此也是其配对区域）的Azure Blob存储中。如果数据被意外删除或损坏，则必须在8小时内联系Azure支持。 配置弹性 Azure支持自动缩放，这一功能被称为Azure虚拟机规模集。弹性伸缩允许用户根据实际业务环境设置自动缩放策略，并可添加/释放ECS实例资源以满足业务需求。 Azure虚拟机规模集用户可以直接使用，无需额外费用。然而，作为缩放集一部分的AzureVM实例以及存储或提供指标数据的任何其他服务（如ApplicationInsights）的使用情况将分开计费。 访问安全 Azure提供了两种认证方法，即共享密钥认证和共享访问签名（SAS）。后者建议在不暴露主密钥的情况下提供对资源的临时访问。AzureActive Directory (Azure AD) 可帮助管理用户标识并创建智能驱动访问策略，从而保护资源安全，AzureAD 集成了标识和访问管理，实现各种设备、数据、应用和基础结构之间的深度安全性、高效生产力和深层管理。 数据安全 数据存储安全：默认情况下，Azure托管磁盘使用存储服务加密来加密静态数据。AzureKey Vault 可帮助保护云应用程序和服务使用的加密密钥和机密。磁盘加密利用符合行业标准的Windows BitLocker 功能和Linux dm-crypt 功能为 OS 和数据磁盘提供卷加密。 数据传输安全：AzureBlob Storage 的数据加密功能在传输和存储过程中保护数据。用户可以通过客户端对传输中的数据进行加密来保护这些数据。 使用 ExpressRoute，提供本地位置与托管供应商之间的专用WAN链接。数据不会通过Internet传输，也不会暴露在Internet通讯的潜在风险中。 Azure VPN 网关，通过站点到站点VPN 轻松将本地网络与Azure 连接，类似于设置并连接到远程分支机构。连接使用行业标准协议Internet 协议安全性(IPsec) 和Internet 密钥交换(IKE)。 数据隐私 Azure使用Azure Virtual Network构建出一个逻辑隔离的网络环境，并可以自定义IP 地址范围、网段、路由表和网关，将数据保存在一个特定的存储地域中，以便满足对于数据隐私的法律要求。 数据所有权 Microsoft不会检查、审批或监视客户在Azure 中部署的应用程序。 此外，Microsoft不知道客户选择在Azure 中存储哪种类型的数据。Microsoft 不会基于客户在Azure 中输入的信息声索数据所有权。 合规要求 Microsoft企业云服务定期进行独立的第三方SOC 1 Type 2和SOC 2 Type 2审核，并通过ISO / IEC 27001和ISO/ IEC 27018标准认证。 虽然这些定期审核和认证并未专门关注FDA法规遵从性，但其目的和目标在性质上与CFR Title 21 Part 11的目的和目标相似，并有助于确保Microsoft云中存储的数据的机密性，完整性和可用性服务。我们的资格认证方法也基于行业最佳实践，包括国际制药工程协会（ISPE）GAMP系列良好实践指南和药品检验合作计划（PIC / S）在规范GxP环境中的计算机化系统良好实践。 客户可以通过其Microsoft帐户代表或服务信任门户请求访问合规性报告（根据保密协议条款和条件）。此外，MicrosoftAzure和MicrosoftOffice 365的资格准则详细说明了Microsoft审计控制如何符合CFR Title 21 Part 11的要求，实施FDA资格策略的指导以及共同责任领域的描述[29]。 微软的MicrosoftAzure服务： · 云服务（statelessWeb，Worker和VM） · 存储（Blobs，Queues和Tables） · 网络（TrafficManager，MicrosoftAzure Virtual Network） · 虚拟网络 · 虚拟机 · Global Foundation Services组中组件 符合，FDA21 CFR Part 11电子记录和电子签名（Sec11.10和Sec11.30）及EudraLexVolume 4-Annex 11计算机化系统的要求。[30]
表4，国内云供应商服务协议对比 | 云供应商 | | | | | | | | | | | | | | | VPC Amazon Direct Connect S3 Transfer Acceleration | | | | | Amazon CloudTrail 日志聚合 Amazon CloudWatch | | | | | | | VPC EIP VPN Express Connect | | | | | Alibaba ActionTrail Alibaba CloudMonitor | | | | | | | Azure Virtual Network VPN ExpressRoute | | | | | | | | |
由此可见，云服务主要供应商对于软硬件及服务的支持能力势均力敌，但其提供的IaaS或SaaS环境在对于GxP的支持将会成为制药行业企业是否使用其服务的选择重要指标。 云供应商能够为使用其服务的制药行业企业，提供详尽的架构规范、软硬件及虚拟化产品生命周期质量保证、对于SLA严格的遵守保证及接受定期的合适的第三方审计（SSAE 16 (SOC 1and SOC 2)）等内容，将会对制药行业企业满足FDA21 Part 11和EudraLexVolume 4-Annex 11及其他相应的法规要求，提供坚实的背书。
| 
|手机版|蒲公英|ouryao|蒲公英
( 京ICP备14042168号-1 ) 增值电信业务经营许可证编号：京B2-20243455 互联网药品信息服务资格证书编号：(京)-非经营性-2024-0033
发表于 2020-1-7 11:35:37
置顶卡
变色卡
楼主