Google Cloud-Whitepaper

Google Cloud in GxP-Systemen verwenden

Mai 2020

1.0 Einführung

Das Cloud-Computing wird aufgrund seiner strategischen und operativen Vorteile immer häufiger von der Biowissenschaftsindustrie umgesetzt. Cloud-Computing ermöglicht regulierten Organisationen, globale Plattformlösungen für die Datenverwaltung und -analyse einzusetzen und bietet die Möglichkeit, gesetzliche Verpflichtungen effizienter zu erfüllen. Wir bei Google kennen die Anforderungen, Einschränkungen und Überlegungen, die unsere Kunden aus dem Bereich Biowissenschaften im Hinblick auf die Migration ihrer Arbeitslasten in die Cloud haben. In diesem Artikel wird beschrieben, wie Google Cloud Kunden unterstützt, die an der Nutzung der Cloud für eine GxP-orientierte IT-Umgebung interessiert sind. Dazu gehört auch unser Ansatz für die Verwaltung der Qualität, Sicherheit und Compliance für Google Cloud sowie der organisatorischen und technischen Kontrolle von Google zum Schutz von Kundendaten.

Was ist Google Cloud?

Google Cloud umfasst eine Reihe von Clouddiensten, die in Infrastruktur-, Plattform- und Softwarelösungen kategorisiert sind. Neben diesen Diensten bietet Google Cloud eine Reihe von Tools von intelligenten Analysen bis hin zu KI-Funktionen. Im Kern besteht Google Cloud aus einer Reihe von physischen Assets wie Computern und Festplattenlaufwerken sowie virtuellen Ressourcen wie virtuellen Maschinen (VMs), die inRechenzentren von Google auf der ganzen Welt sind. Jeder Standort eines Rechenzentrums befindet sich in einer Region. Regionen sind in Asien, Australien, Europa, Nordamerika und Südamerika verfügbar. Jede Region besteht wiederum aus verschiedenen, voneinander isolierten Zonen. Diese Verteilung von Ressourcen hat mehrere Vorteile, unter anderem den der Redundanz im Falle eines Ausfalls sowie eine reduzierte Latenz, da sich Ressourcen näher am Kundenstandort befinden.

Beim Cloud-Computing wird das, was Sie als Software- und Hardware-Produkte kennen, zu Diensten. Diese Dienste ermöglichen Ihnen Zugriff auf die zugrunde liegenden Ressourcen. Die Liste der verfügbaren Google Cloud-Dienste ist sehr umfangreich und wird ständig erweitert. Wenn Sie Ihre Website oder Anwendung in der Google Cloud entwickeln, können Sie diese Dienste zu Kombinationen zusammenstellen, die die von Ihnen benötigte Infrastruktur oder Lösung bereitstellen, und dann Ihren Code hinzufügen, um die gewünschten Szenarien zu ermöglichen.

Was ist GxP?

In der Biowissenschaftenbranche ist GxP eine Abkürzung für die verschiedenen „Best Practice“-Richtlinien und -Leitlinien für medizinische Produkte. Die Variable „x“ in GxP deckt eine breite Palette von Prozessen ab, die bei der Entwicklung, Produktion und Verteilung regulierter Produkte eingesetzt werden. Bestimmte GxP-Kriterien finden Sie in den Behörden-Vorschriften und -richtlinien (z.B. Federal Food, Drug and Cosmetic Act) sowie branchenüblichen Best Practices-Frameworks. Obwohl GxP eine beliebige Anzahl spezifizierter Themen abdecken kann, haben die Behörden für Zwecke der behördlichen Aufsicht fast einheitlich Anforderungen in Bezug auf Produktherstellungsprozesse, Dokumentationsverfahren, Mitarbeiterqualifikationen und -schulungen sowie Vertrieb/Lagerung angenommen. Für Unternehmen der Biowissenschaften, die in den USA tätig sind, können Sie die GxP-Anforderungen normalerweise im „Code of Federal Regulations“-Gesetz (CFR) finden.1

Hier die wichtigsten Maßnahmen:

  • Good-Manufacturing-Practice (GMP, Gute Herstellungspraxis): 21 CFR Teile 210 und 211 (für Arzneimittelprodukte)

  • Quality System Regulation (QSR, Regelung des Qualitätssystems): 21 CFR Teil 820, (für medizinische Geräte)

  • Good Laboratory Practice (GLP, Gute Laborpraxis): 21 CFR Teil 58, (für nicht-klinische Laborstudien)

  • Good Clinical Practice (GCP, Gute klinische Praxis): Umfasst mehrere Vorschriften und Leitlinien, die für wissenschaftliche Studien gelten2

  • Good Distribution Practice (BIP, Gute Vertriebspraxis): Umfasst verschiedene Bestimmungen und Richtlinien, die in den 21 CFR Teilen 211 und 820 behandelt werden, einschließlich derer, die sich auf die Handhabung, Lagerung und Installation beziehen

GxPs wurden entwickelt, um sicherzustellen, dass medizinische Produkte wie Medikamente, Geräte und Biologika sicher sind, ihren Verwendungszweck erfüllen und während des gesamten Herstellungs- und Vertriebsprozesses Qualitätsverfahren einhalten. Dieses Whitepaper konzentriert sich auf die GxP-bezogenen Themen, die für Unternehmen der Biowissenschaft am relevantesten sind, und insbesondere darauf, wie die Google Cloud von Unternehmen als Element ihrer GxP-Compliance-Systeme genutzt werden kann.

Wie können Kunden Cloud-Dienste in GxP-Systemen nutzen?

Unsere Kunden aus dem Bereich Biowissenschaften, von denen viele GxP-Anforderungen unterliegen, nutzen Google Cloud auf eine Art und Weise, die nicht nur dazu beiträgt, die Compliance zu erfüllen, sondern auch zu differenzierten Funktionen, technologischen Fortschritten und organisatorischer Effizienz führt. Ein paar repräsentative Beispiele sind:

  • Da diese Art von Kunden eine klinische Studie leitet, unterliegen sie der guten klinischen Praxis und bestimmten Anforderungen, die dem Schutz der Patienten dienen. Der Umfang klinischer Studien kann stark variieren, wobei einige Studien nur die Nutzung einiger weniger regionaler Standorte erfordern, während andere Daten von Tausenden von Patienten über Dutzende von Standorten weltweit benötigen. Mit Google Cloud-Diensten können Nutzer eine beliebige Anzahl von maßgeschneiderten Anwendungen und Lösungen erstellen, die ihren Anforderungen entsprechen. Durch die Verwendung eines Online-Workflows für das Onboarding und die Nachverfolgung von Patienten könnte ein CRO zum Beispiel die Pflege und Prüfung von Papierunterlagen, die sich physisch an jedem Standort befinden, überflüssig machen. Google Cloud-Dienste können auch dazu beitragen, die Einhaltung der Verfahren für klinische Studien zu verbessern, indem sie dem CRO Echtzeit-Feedback darüber geben, wie die Standorte die geltenden Protokolle einhalten. Darüber hinaus ermöglicht die Speicherung von Studiendaten in der Cloud den Zugriff auf die Daten an jedem Ort und zu jeder Zeit durch die entsprechenden Teams, mit einer größeren Kontrolle über die Zugriffsanforderungen der Nutzer als bei herkömmlichen Papierakten.

  • Ein Hersteller in den Biowissenschaften nutzt eine in der Cloud gehostete interaktive Sprachdialogplattform, um Kunden-Zuzahlungskartenanfragen zu verwalten.

    Je nachdem, wie die Plattform Informationen sammelt, unterliegt der Prozess der guten Praxis der Pharmakovigilanz oder der Sicherheitsberichterstattung (GPvP). Wenn das System in der Cloud gehostet wird, muss der Kunde berücksichtigen, wie die Infrastruktur qualifiziert oder bestimmt wurde, um die Anforderungen zu erfüllen. Die Organisation kann auch Kontrollen unterliegen, die sicherstellen, dass die GxP-Aufzeichnungen, in diesem Fall Anrufnotizen, angemessen geschützt sind. Die Anforderungen der FDA an elektronische Aufzeichnungen in 21 CFR Teil 11 sehen vor, dass alle Änderungen an Daten, die in elektronischen Systemen gespeichert sind, aufgezeichnet und einer entsprechenden Person zugeordnet werden. In diesem Beitrag skizzieren wir, wie Google Cloud Kunden helfen kann, diese Anforderungen zu erfüllen.

Wie unterstützt Google Cloud Kunden bei der Einhaltung der GxP-Anforderungen?

Als führender Clouddienstanbieter unterstützt Google Cloud bei Biowissenschaftsorganisationen gemäß 21 CFR Teil 11 und den entsprechenden globalen Entsprechungen die Anforderungen an die elektronischen Aufzeichnungen der FDA.3 Die administrativen, physischen und technischen Kontrollen von Google Cloud helfen unseren Biowissenschafts-Kunden, ihre Qualitäts- und Sicherheitsziele zu erfüllen. Neben der zugrunde liegenden Infrastruktur und dem von Google verwalteten Betrieb bieten Google Cloud-Produkte auch Funktionen, die es unseren Kunden erleichtern, geltende GxP-Anforderungen zu erfüllen, indem sie ihre GxP-Aufzeichnungspflichten in der Cloud verwalten. Google setzt sich für den Schutz seiner Kundeninformationen ein und unterzieht sich routinemäßigen Audits durch unabhängige Dritte, um die Einhaltung zahlreicher weltweit anerkannter Sicherheits- und Datenschutzstandards zu überprüfen. In der Tat hat Forrester Research Google Cloud als Leader für Public Cloud Native Security für unsere Sicherheitsfunktionen und -merkmale und als Leader für Data Security Portfolio für unsere Sicherheitsproduktangebote ausgezeichnet.

In diesem Beitrag beschreiben wir die verschiedenen Maßnahmen, die Google Cloud ergreift, um Kunden bei der Anpassung an die GxP-Anforderungen zu unterstützen. Außerdem erklären wir, wie Unternehmen der Biowissenschaft die Google Cloud-Angebote so nutzen können, dass sie den verschiedenen Qualitäts- und Sicherheitsanforderungen der regulierten Industrie entsprechen. Während Verweise auf - und Details von - regulatorischen Standards und Richtlinien als Diskussionsrahmen zur Verfügung gestellt werden, stellen sie keine Rechtsberatung für pharmazeutische Organisationen oder andere Unternehmen dar.

Modell der geteilten Verantwortung

Während die Verantwortung für die GxP-Konformität letztlich bei unseren Kunden aus der Biowissenschaft liegt, hilft unser Modell der geteilten Verantwortung den Kunden, ihre Ressourcen effektiver einzusetzen, indem es den Aufwand für die Entwicklung und Wartung einer IT-Umgebung reduziert. Das Modell hilft, einige der administrativen und technischen Belastungen unserer Kunden zu verringern, da unsere Tools bei der effizienten Verwaltung und Kontrolle von Systemkomponenten helfen, auf die sich Organisationen, die GxP-Anforderungen unterliegen, oft verlassen. Außerdem wird ein Teil der Kosten für die Sicherheit auf Google Cloud verlagert und die Kosten für die GxP-Compliance können gesenkt werden. Wie diese illustrative, aber nicht endgültige Grafik zeigt, ist Google generell für die Sicherung unserer Infrastruktur verantwortlich und die Kunden sind für die Sicherung ihrer Daten verantwortlich. Die spezifischen Zuständigkeiten variieren je nachdem, ob ein Kunde IaaS-ähnliche Dienste auf Google Cloud wie Compute Engine, PaaS-ähnliche Dienste wie App Engine oder SaaS-ähnliche Dienste wie Google Workspace nutzt. Wir helfen unseren Kunden bei ihrem Teil der Verantwortung, indem wir Best Practices, Vorlagen, Produkte und Lösungen bereitstellen.

Geteilte Verantwortung

2.0 Google Cloud in GxP-Systemen verwenden

Als Cloud-Pionier ist sich Google seiner Verantwortung für die Sicherheit des Cloud-Modells voll bewusst. Unsere Clouddienste bieten von vornherein mehr Sicherheit als viele traditionelle lokale Lösungen. Sicherheit hat bei uns Priorität, um unsere eigenen Betriebsabläufe zu schützen. Da Google Prozesse jedoch auf derselben Infrastruktur ausführt, die auch unseren Kunden zur Verfügung steht, kann Ihr Unternehmen auch direkt von diesen Schutzmaßnahmen profitieren. Aus diesem Grund legen wir nicht nur viel Wert auf Sicherheit, sondern zählen auch den Datenschutz zu unseren primären Entwicklungskriterien. Sicherheit ist die treibende Kraft hinter unserer Unternehmensstruktur, unseren Schulungsprioritäten und Einstellungsprozessen. Sie bestimmt den Aufbau unserer Rechenzentren und die Technologie, die sich darin befindet. Sie ist ein zentraler Aspekt unserer täglichen Betriebsabläufe und Notfallplanung sowie der Art und Weise, wie wir auf Bedrohungen reagieren. Sie hat beim Umgang mit den Daten unserer Kunden höchste Priorität. Und sie ist der Grundpfeiler unserer Kontensteuerungen und Compliance-Audits sowie der Zertifizierungen, die wir unseren Kunden anbieten.

Dieser Teil bietet einen Überblick darüber, wie die Tools und der Ansatz von Google Cloud für das Sicherheits- und Qualitätsmanagement die GxP-Systeme von pharmazeutischen und anderen Organisationen der Biowissenschaft unterstützen können. Darüber hinaus fassen wir kurz einige Elemente unserer Suite von Cloud-Produkten und -Funktionen zusammen, die die Fähigkeit der Kunden zur Einhaltung der GxP-Anforderungen verbessern können. Schließlich überprüfen wir relevante Google Cloud-Zertifizierungen, Attestierungen und Audits.

2.1 Anforderungen an elektronische Datensätze

Die FDA und ihre weltweiten Pendants haben Vorschriften und Verfahren entwickelt, die die sichere elektronische Speicherung der erforderlichen Dokumentation betreffen, einschließlich derjenigen, die sich unter anderem auf behördliche Einreichungen, interne Compliance-Richtlinien, Lieferanten-/Einkaufsinformationen und Kundenbeschwerden beziehen. Diese Bestimmungen dienen dem Schutz und der Verhinderung von Änderungen oder Löschungen von Daten, die deren Integrität beeinträchtigen könnten. In den USA wird die Einhaltung der Anforderungen an elektronische Datensätze oft als „Part 11 Compliance“ bezeichnet, benannt nach dem CFR-Teil, in dem die Anforderungen zu finden sind.4 Google ist sich bewusst, dass diese Schutzmaßnahmen der Produktsicherheit und -qualität dienen, und in diesem Teil beschreiben wir die Prozesse und Produkte, die es unseren Kunden ermöglichen, die Sicherheits- und Integritätsziele zu erfüllen, die durch die Part 11 Compliance gefördert werden.

Tabelle 1: Verallgemeinerte GxP-Anforderungen an elektronische Datensätze und Signaturen5

Anforderungen an elektronische Datensätze Anforderungen an elektronische Signaturen
  • Die Fähigkeit, ungültige oder geänderte Datensätze zu erkennen
  • Sichere, computergenerierte, mit Zeitstempel versehene Prüfpfade
  • Schutz von Datensätzen, um deren genaue und schnelle Wiederauffindung zu ermöglichen
  • Berechtigungsprüfungen für Systemzugang und -nutzung
  • Validierung von Systemen zur Sicherstellung von Genauigkeit, Zuverlässigkeit und konsistenter Leistung
  • Operative Systemprüfungen zur Durchsetzung der zulässigen Ereignisabfolge
  • Angemessene Personalqualifikation einschließlich angemessener Ausbildung, Schulung und Erfahrung
  • Angemessene Kontrollen über die Systemdokumentation, einschließlich Verteilung, Zugriff, Verwendung und Überarbeitung sowie Änderungskontrollen (Prüfprotokoll der Dokumentationsentwicklung und -änderung)
  • Verantwortungsrichtlinien für Aktionen, die unter dem Konto einer Person initiiert wurden
  • Mindestens zwei eindeutige Identifizierungskomponenten (z. B. Nutzername und Passwort)
  • Regelmäßige Überprüfungen, Rückrufe oder Überarbeitungen von Anmeldedaten für die Autorisierung
  • Einsatz von Transaktionssicherungen zur Verhinderung, Erkennung und Meldung von Versuchen der unbefugten Nutzung.
  • Kontrollen für die Zusammenarbeit von zwei oder mehreren Personen, die nicht der eigentliche Eigentümer sind, um die elektronische Signatur des Einzelnen zu verwenden
  • Verfahren zur Verlustverwaltung, um potenziell kompromittierte Token, Karten und andere Geräte zu deautorisieren und temporäre oder permanente Ersatzgeräte mit geeigneten Kontrollen auszugeben.
  • Erstmaliges und regelmäßiges Testen von Geräten, wie z. B. Token oder Karten, um die ordnungsgemäße Funktionalität sicherzustellen
  • Verantwortungsrichtlinien für Aktionen, die unter der Signatur einer Person initiiert wurden

Verhaltensanforderungen, wie z. B. Einschränkungen bei der Weitergabe von Passwörtern, Schulung von Nutzern über die Bedeutung ihrer elektronischen Signatur und Verantwortlichkeit für die Verwendung einer elektronischen Signatur liegen in der Verantwortung des Kunden und werden in diesem Teil nicht weiter beschrieben. Weitere Informationen zum „Modell für geteilte Verantwortung“ finden Sie in Teil 1.

Anforderungen in Bezug auf die Verwendung elektronischer Datensätze in GxP-Systemen können in einige Unterbereiche unterteilt sein, die sich darauf beziehen, wie solche Datensätze erstellt, verwaltet und dokumentiert werden. Unternehmen der Biowissenschaft, die elektronische Datensätze verwenden, sollten Best Practices rund um die Themen Datenaufbewahrung, Identitäts- und Zugriffsmanagement, Datensicherheit und Prüfprotokoll sowie Dateneigentum berücksichtigen, die wir im Folgenden erörtern. Wir werden auch kurz beschreiben, wie Google die GxP-Anforderungen für die von uns verwalteten Back-End-Funktionen erfüllt, und einige der Zertifizierungen besprechen, die die Konformität von Google Cloud mit diesen Standards betreffen.

Datenaufbewahrung

GxP-konforme Dokumentsteuerungs- und Datenspeichersysteme sollten Datensätze schützen und aufbewahren sowie ihr genaues und schnelles Wiederauffinden ermöglichen. In der Vergangenheit, als die meisten Datensätze in Papierform aufbewahrt wurden, erfüllten Unternehmen die Anforderungen an die Aufbewahrung, indem sie die Dokumente unter vordefinierten Bedingungen, die ein systematisches Abrufen ermöglichten, vor Ort oder an einem anderen Ort aufbewahrten. Der Begriff „abrufbereit“ könnte, wenn er auf Cloud-basierte Anwendungen und Speicher angewendet wird, so verstanden werden, dass sie über robuste Sicherungs- und Wiederherstellungsprozesse und/oder Hochverfügbarkeitssysteme verfügen. Die Speicherung von Daten in der Cloud ermöglicht den maßgeschneiderten Abruf von Dokumentationen zu jedem Zeitpunkt ihres Lebenszyklus, von mehreren globalen Standorten aus gleichzeitig, wobei die zuverlässige Datensicherung ein weiterer Vorteil der Google-Plattform gegenüber anderen elektronischen Datensätzen ist.

Die Verwaltung des Objektlebenszyklus in Google Cloud kann mit Lebenszyklusrichtlinien konfiguriert werden, um Buckets des Archivspeichers für Daten zu erstellen. Diese Storage-Buckets könnten zum Beispiel auf der Grundlage unterschiedlicher Zugriffshäufigkeiten konfiguriert werden. Ältere Versionen vorhandener Dokumente, auf die seltener zugegriffen wird, können in kostengünstigere Nearline- oder Coldline-Speicheroptionen verschoben werden. Dadurch ist der Zugriff insgesamt viel einfacher als bei der Abfrage von Papierdokumenten aus einem externen Aufbewahrungsort.

Kunden können auch Dienste wie BigQuery und Cloud Bigtable konfigurieren, um Ablaufzeiten für bestimmte Datentypen zu automatisieren, sodass jede Organisation den Ablauf und das Löschen der Dokumentation in Übereinstimmung mit ihren Datenaufbewahrungsrichtlinien konfigurieren kann. Dadurch müssen Nutzer nicht mehr manuell auf Daten zugreifen und diese löschen oder aufbewahren, für die es aufgrund verschiedener Vorschriften Aufbewahrungsrichtlinien gibt.

Identitäts- und Zugriffsverwaltung

GxP-konforme Systeme erfordern Kontrollen, die regeln, wer generell und/oder in regelmäßigen Abständen Zugriffsrechte auf die Daten hat, um das Risiko einer unbefugten Änderung oder Löschen von Datensätzen zu mindern. Die Zugriffsrechte sollten gemäß den Richtlinien des Kunden zur Aufgabentrennung sowie nach Funktion oder Rolle festgelegt werden, um sicherzustellen, dass die Nutzer ihres Unternehmens auf alles zugreifen können, was sie im Rahmen ihrer Verantwortungsbereiche benötigen, während der nicht autorisierte Zugriff auf kritische oder sensible Daten eingeschränkt wird.

Mit Cloud Identity and Access Management (Cloud IAM) können Administratoren festlegen, wer Aktionen für bestimmte Ressourcen ausführen kann. Gleichzeitig bietet dies vollständige Kontrolle und Sichtbarkeit zum zentralen Verwalten von Cloudressourcen. Da Unternehmen der Biowissenschaften komplexe Organisationsstrukturen und Prozesse sowie eine globale Präsenz haben können, bietet unsere Suite von Sicherheits- und Identitätswerkzeugen eine einheitliche Übersicht auf die Sicherheitsrichtlinien in Ihrem gesamten Unternehmen mit integrierter Prüfung, um Compliance-Prozesse zu erleichtern.

Wie in Teil 11 vorgesehen, sollten elektronische GxP-Systeme Verfahren zum Verlustmanagement implementieren. Sollte es erforderlich sein, Anmeldedaten wie API-Schlüssel oder Verschlüsselungsschlüssel zum Schutz sensibler Gesundheitsdaten zu rotieren, bietet Google Cloud Optionen zur einfachen Rotation von Anmeldedaten in der Cloud IAM-Schnittstelle und zur Rotation oder Zerstörung von asymmetrischen oder symmetrischen Verschlüsselungsschlüsseln im Cloud Key Management Service.

GxP-Systeme sollten auch geeignete Standards für digitale Signaturen verwenden, wie z. B. Multi-Faktor-Authentifizierung („MFA“), um die Authentizität, Integrität und Vertraulichkeit von Datensätzen zu gewährleisten. Google Cloud bietet Kunden die Möglichkeit, MFA, wie z. B. die Bestätigung in zwei Schritten („2SV“), für Cloud Identity-Konten zu aktivieren und zu verlangen. Zu den Optionen für MFA gehören die Verwendung von Sicherheitsschlüsseln, Push-Benachrichtigungen an mobile Geräte oder Einmal-Passwörter.

Datensicherheit und Prüfprotokoll

Neben den Anforderungen an die Datenaufbewahrung sollten GxP-Datensätze auch vor unbefugten oder unbeabsichtigten Änderungen oder Löschungen geschützt werden. Kunden sollten sicherstellen, dass sie wissen, wann Daten erstellt wurden, von wem, wer auf diese Daten zugegriffen hat, und ob/wann/wie/und von wem Änderungen vorgenommen wurden. Dies kann durch einen robusten und sicheren Prüfpfad erreicht werden, der das vorherige Ergebnis, das geänderte Ergebnis, das Konto, das die Änderung vorgenommen hat, und einen maßgeblichen Zeit- und Datumsstempel erfasst. Auf diese Weise ist die Änderung des Datensatzes sowohl zuordenbar als auch nachweisbar. Google Cloud verfügt über mehrere Lösungen, die dies durch Tools wie Cloud-Audit-Logging (das unveränderliche Logs für Administrator-Aktivitäten, Datenzugriffe und Systemereignisse erstellen kann) und anpassbare Überwachungs- und Benachrichtigungsfunktionen erreichen.

Mit Cloud Logging können Sie beispielsweise Log-Daten und -Ereignisse aus der Google Cloud und anderen Quellen, einschließlich Amazon Web Services (AWS), speichern, suchen, analysieren, überwachen und mit einer Benachrichtigung versehen. Wir bieten auch eine starke Verschlüsselung für Daten bei der Übertragung in der Google Cloud, um sie vor unbefugten Zugriffen außerhalb unseres Perimeters zu schützen, und wir sind einer der einzigen Dienstanbieter, der standardmäßig eine Verschlüsselung für inaktive Daten anbietet. Darüber hinaus ermöglichen wir unseren Kunden, ihre eigenen Verschlüsselungsschlüssel für ausgewählte Produkte über einen Schlüsselverwaltungsdienst (Key Management Service) zu verwalten und bieten gesundheitsspezifische Dienste für die Verwaltung sensibler Daten wie PHI und medizinische Datensätze an.

Inhaberschaft von Daten

Google Cloud-Kunden sind die Eigentümer ihrer Daten, nicht Google. Wenn wir auf Kundendaten zugreifen, geschieht dies einzig aus Gründen der Erfüllung unserer vertraglichen und rechtlichen Verpflichtungen. Nur eine kleine Gruppe von Google-Mitarbeitern, z. B. diejenigen, die autorisierte Kundenadministratoren unterstützen, haben Zugriff auf Kundendaten. Bei Google werden Zugriffsrechte und -ebenen je nach Funktion und Rolle der einzelnen Mitarbeiter verwaltet. Es gilt das Prinzip der geringsten Berechtigung und der geringsten Personenzahl. Da wir uns für Transparenz verpflichten, bieten wir Kunden außerdem die Möglichkeit, echtzeitnahe Logs anzuzeigen, wenn Google-Administratoren auf Kundeninhalte zugreifen. Lesen Sie unsere Vertrauensgrundsätze, um mehr über die Philosophie von Google Cloud und die Verpflichtungen gegenüber unseren Kunden zu erfahren.

Darüber hinaus wird Google personenbezogene Daten in Übereinstimmung mit dem Vertrag oder den Service Level Agreements aufbewahren, zurückgeben, vernichten oder löschen. Wir empfehlen Kunden aus der Biowissenschaft, ihr Service Level Agreement, das mit etwaigen Anforderungen an die Datenaufbewahrung und/oder gesetzlichen Vorschriften zur Aufbewahrung von Daten abzustimmen. Weitere Informationen zum Löschen von Daten in Google Cloud finden Sie im Whitepaper Datenlöschung auf der Google Cloud Platform. Weitere Informationen finden Sie in unseren Richtlinien zur Datensicherheit in unseren Nutzungsbedingungen zur Datenverarbeitung und Sicherheitsbestimmungen.

Standortsicherheit

In Google-Rechenzentren wird mit einem mehrschichtigen Sicherheitsmodell gearbeitet, bei dem eigens entwickelte elektronische Zugangskarten, Alarme, Fahrzeugschranken, Umzäunungen, Metalldetektoren und biometrische Verfahren zum Einsatz kommen. In den Gebäuden der Rechenzentren werden zur Erkennung von nicht autorisiertem Eindringen Laserstrahlen eingesetzt. Nur autorisierte Mitarbeiter mit spezifischen Rollen haben Zutritt. Weniger als 1 % der Google-Mitarbeiter werden jemals eines unserer Rechenzentren betreten. Darüber hinaus hostet Google einige Server in externen Rechenzentren. Hier stellen wir sicher, dass neben den Schutzmechanismen, die der Betreiber des Rechenzentrums bereitstellt, zusätzlich von Google gesteuerte physische Sicherheitsvorkehrungen getroffen werden. Weitere Informationen finden Sie in der Übersicht über das Sicherheitsdesign der Infrastruktur von Google.

Netzwerksicherheit

Neben der Bereitstellung von Datenverschlüsselung bei der Übertragung und im inaktiven Zustand unterstützt Google Cloud auch unterstützende Systeme und Netzwerke mit Produkten, die Kundendienstperimeter definieren und durchsetzen, die eine Netzwerksegmentierung, Fernzugriff und Denial of Service-Abwehr ermöglichen. Systemadministratoren haben die Flexibilität, die Verbindung von Arbeitslasten regional und global sicher zu skalieren und zu steuern, je nachdem, wo ihre Geräte und Einrichtungen eingesetzt werden. Um die Sicherheit großer Netzwerke von Geräten und Anlagen zu unterstützen, hat Google Application Layer Transport Security und Virtual Private Clouds mit Service Controls entwickelt, die Entwicklern helfen können, ihre Design-Kontrollen in Übereinstimmung mit den Vorschriften u. a. des FDA-Qualitätssystems zu verbessern.

Wenn der Traffic durch die verwaltete Infrastruktur von Google fließt, verwendet Google Cloud automatisch verschiedene Schutzmechanismen für Daten während der Übertragung. Außerdem können Kunden zusätzliche Schutzebenen anwenden. Eine wichtige Überlegung für Unternehmen bei der Einführung von Governance und Kontrolle über Netzwerksicherheitsrichtlinien ist die Einführung von Shared VPC-Netzwerken. Netzwerkadministratoren müssen Routing- und Firewallregeln auf Hostprojektebene definieren und ausdrücklich die Autorisierung für Dienstprojektressourcen gewähren, die an einzelne Subnetze im Hostprojekt angehängt werden können. Mit diesem Ansatz für die Zuweisung des Netzwerkzugriffs können Unternehmen von den Besitzern von Dienstprojekten verlangen, dass sie bestimmte Sicherheitsstandards erfüllen, bevor sie für den Zugriff auf das Produktionsnetzwerk zugelassen werden.

Eine weitere Überlegung für Organisationen, die personenbezogene Gesundheitsdaten oder andere vertrauliche Daten verarbeiten oder speichern, ist die Einrichtung von VPC Service Controls. VPC Service Controls bieten eine tiefgreifende Verteidigung, um die Möglichkeiten der Daten-Exfiltration zu begrenzen. VPC Service Controls legen auch fest, mit welchen Hosts außerhalb des Perimeters sich geschützte Ressourcen verbinden oder Daten übertragen dürfen.

Anwendungssicherheit

Google Cloud bietet eine Vielzahl von Anwendungssicherheitsprodukten zum Schutz und zur Verwaltung der Geschäftsanwendungen unserer Kunden mit Anwendungstests, Scans und API-Sicherheitsfunktionen. Google empfiehlt, dass alle Kunden ihre Arbeitslasten regelmäßig scannen, um gängige Sicherheitslücken in Anwendungen zu erkennen. Um Kunden dabei zu unterstützen, bietet Google Cloud die Verwendung seines Web Security Scanners an, der gängige Injektionsfehler, die Verwendung gemischter HTTP/S-Inhalte und die Verwendung unsicherer Bibliotheken innerhalb von Anwendungen erkennt, die auf App Engine, Compute Engine und Kubernetes Engine bereitgestellt werden.

Für End-to-End-Sicherheit auf den API-Plattformen des Kunden bietet Google Cloud Lösungen wie Cloud Endpoints und Apigee. In beiden Fällen können Entwickler die Identität der Endnutzer mithilfe von Optionen wie JSON-Web-Tokens, API-Schlüsseln oder Oauth 2.0-Tokens überprüfen. Während Cloud Endpoints speziell für Google Cloud-Deployments entwickelt wurde, kann Apigee in Hybridszenarien mit APIs verwendet werden, die in Google Cloud und lokal bereitgestellt werden. Apigee kann Back-End-Systeme vor Nutzlastinjektionsangriffen (z. B. SQL-Injection) schützen und bestimmte Arten von sensiblen Informationen (z. B. Gesundheitsinformationen) erkennen und maskieren, bevor sie in Trace-Logs protokolliert werden. Apigee Sense bietet die Möglichkeit, APIs proaktiv vor Bedrohungen und verdächtigem Verhalten zu schützen.

Infrastrukturredundanz

Bei der Entwicklung der Plattformkomponenten achtet Google auf hohe Redundanz. Diese Redundanz gilt für Serverdesign, Datenspeicherung, Netzwerk- und Internetkonnektivität und die Softwaredienste selbst. Die Redundanz sämtlicher Bestandteile umfasst auch die konzeptionelle Behandlung von Fehlern und ermöglicht eine Lösung, die nicht von einem einzigen Server oder Rechenzentrum oder einer einzigen Netzwerkverbindung abhängt. Die Rechenzentren von Google sind auf verschiedene Standorte verteilt, um die Auswirkungen regionaler Störungen wie Naturkatastrophen und lokaler Ausfälle auf weltweit verfügbare Produkte gering zu halten. Bei einem Hardware-, Software- oder Netzwerkausfall werden die Plattformdienste und Steuerungsebenen automatisch und unverzüglich von einer Einrichtung in eine andere verschoben, sodass die Plattformdienste ohne Unterbrechung weiter bereitgestellt werden können. Googles hochredundante Infrastruktur unterstützt außerdem die Kunden dabei, sich vor Datenverlust zu schützen. Google Cloud-Ressourcen können in mehreren Regionen und Zonen erstellt und bereitgestellt werden, damit Kunden stabile und hochverfügbare Systeme aufbauen können.

Für die Datenspeicherung auf physischer Ebene speichert Google inaktive Kundendaten in zwei Arten von Systemen: aktive Speichersysteme und Sicherungsspeichersysteme. Während es sich bei den aktiven Speichersystemen um die Produktionsserver der Google Cloud handelt, auf denen die Anwendungs- und Speicherebenen von Google ausgeführt werden, beherbergen unsere Sicherungsspeichersysteme vollständige und inkrementelle Kopien der aktiven Systeme für einen bestimmten Zeitraum, um Google bei der Wiederherstellung von Daten und Systemen im Falle eines katastrophalen Ausfalls oder einer Katastrophe zu unterstützen. In den oben beschriebenen Speichersystemen werden Kundendaten während der Speicherung verschlüsselt. Die Verschlüsselung inaktiver Daten erfolgt auf den Anwendungs- und Speicherebenen in aktiven Speichermedien und Sicherungsspeichermedien. Eine genauere Beschreibung der Verschlüsselungstechniken von Google finden Sie in den Whitepapers zur Sicherheit der Google Cloud.

2.2 Relevante GxP-Produktfunktionen: Validierung und Qualifizierung der Infrastruktur

Qualifizierung der Infrastruktur

Eine der wichtigsten Anforderungen an GxP-Computersysteme ist, dass sie validiert werden, um sicherzustellen, dass das System die Anforderungen der Nutzer erfüllt.6 In einer herkömmlichen gehosteten Umgebung ist der erste Schritt zum Aufbau eines validierten Computersystems die Qualifizierung der Infrastruktur.7 Ähnlich wie bei der Qualifizierung der lokalen Infrastruktur würde ein Kunde seinem Infrastruktur-Qualifizierungsprozess folgen, um die erforderlichen technischen Spezifikationen zu dokumentieren, die cloudbasierte Infrastruktur nach diesen Komponenten aufzubauen und dann zu überprüfen, ob der tatsächliche Aufbau die Spezifikationen erfüllt. Die Validierungsmethode des Kunden sollte die spezifischen Dokumentationsanforderungen umreißen, und die während dieses Prozesses erstellte Build-Dokumentation könnte verwendet werden, um den qualifizierten Zustand der Infrastruktur zu unterstützen.

Cloud-Ressourcen wie Compute Engine oder Cloud Storage können über die Google Cloud Console oder programmatisch über Cloud Deployment Manager, Hashicorp Terraform oder direkt über die RESTful-APIs von GCP bereitgestellt werden. Cloud Deployment Manager ist ein Dienst zur Bereitstellung von Infrastruktur, der das Erstellen und Verwalten von Google Cloud-Ressourcen automatisiert. Es ermöglicht Kunden, flexible Vorlagen- und Konfigurationsdateien zu schreiben und sie zu verwenden, um Bereitstellungen zu erstellen, bei denen eine Vielzahl von Cloud Platform-Diensten wie Cloud Storage, Compute Engine und Cloud SQL für die Zusammenarbeit konfiguriert sind. Mit Deployment Manager kann ein Kunde das Manifest aufrufen, das alle Eingaben, Spezifikationen, Uploaddateien usw. (die „Anforderungen“) und einen Bericht des aktuellen Builds enthält, der verwendet werden kann, um zu zeigen, dass die Cloud-Ressourcen qualifiziert wurden. Anschließend kann der Kunde mit jeder Anwendungsvalidierung fortfahren.

Änderungsmanagement und Betriebsüberwachung

Neben der Validierung der Systeminfrastruktur sollten GxP-konforme Systeme auch entsprechende Verfahren zur Änderungskontrolle in Bezug auf Infrastruktur und Anwendungskomponenten implementieren. Dies lässt sich erreichen, indem nur autorisierte Änderungen an Systemen vorgenommen werden, nur autorisierte Nutzer die Möglichkeit haben, Änderungen vorzunehmen, und durch kontinuierliches Monitoring, sodass keine operativen Probleme oder Sicherheitsbedenken vorliegen. Kunden sollten ihre eigenen Steuerelemente für das Änderungsmanagement in die Google Cloud-Umgebung einbinden, um die Auswirkungen von Änderungen an der Cloud-Infrastruktur, Anwendungskonfigurationen oder Änderungen von Daten in Anwendungen zu bewerten.

Eine Organisation sollte auch Leitplanken in Form von Richtlinien einrichten, die festlegen, welche Teams Zugriff auf welche Arten von Daten haben müssen und welche Einschränkungen für diesen Zugriff gelten. Beispielsweise können Kunden sicherstellen, dass Teams nur genehmigte Images für die virtuelle Maschine verwenden.

Kunden können das Security Command Center (CSCC) verwenden, um ein Inventar ihrer Cloud-Ressourcen anzuzeigen und zu überwachen, Zugriffsrechte auf ihre Ressourcen zu überprüfen, Benachrichtigungen über Richtlinienverstöße von Forseti zu erhalten (z. B. übermäßig zulässige Cloud Storage-ACLs oder Firewallregeln der Compute Engine) und gängige Web-Schwachstellen zu erkennen - und das alles über ein einziges, zentrales Dashboard. Unsere Kunden können über Cloud IAM auch kontrollieren, wer Zugriff auf Änderungen an ihrer Infrastruktur hat, und so Richtlinien zur Änderungskontrolle und Workflows zur Überprüfung durch Administratoren implementieren. Nachdem die genehmigte Google Cloud-Infrastrukturänderung vorgenommen wurde, wird empfohlen, dass Nutzer eine gezielte Überprüfungsaktivität durchführen, um zu bestätigen, dass die Änderung die erwarteten Ergebnisse hatte.

Änderungen an Serverkonfigurationen, einschließlich Änderungen an den Spezifikationen, können über die Cloud Console oder Cloud Deployment Manager gesteuert werden. Sie können anhand der Dokumentation von Deployment Manager zeigen, dass die Änderungen gemäß den Anforderungen vorgenommen wurden. Die Cloud Console stellt die zentrale Benutzeroberfläche für einen Kunden zum Verwalten, Erstellen, Bearbeiten oder Aufrufen von Aktivitäten im Zusammenhang mit Google Cloud-Ressourcen dar. Außerdem können Kunden das Cloud SDK oder Cloud Shell verwenden, mit dem Google Cloud-Kunden die Infrastruktur und Anwendungen über die Befehlszeile in einem beliebigen Browser verwalten können.

Bei Google Cloud achten wir kontinuierlich auf bösartige Aktivitäten, behandeln Sicherheitsvorfälle und unterstützen operative Prozesse, die Bedrohungen und Leistungsprobleme verhindern, erkennen und darauf reagieren. Darüber hinaus sammelt die Google Cloud Operations-Suite Messwerte, Logs und Ereignisse aus der Infrastruktur und gibt Kunden die Möglichkeit, Leistungsprobleme proaktiv zu überwachen und kontrolliert zu beheben. Die Operations-Suite verwaltet auch den Änderungsverlauf für den Server selbst in Form des Prüfprotokolls. Dadurch können Sie zeigen, dass alle Änderungen autorisiert wurden und den entsprechenden Verfahren zur Änderungskontrolle folgen. Cloud Logging ermöglicht es Kunden, Log-Daten zu suchen, zu speichern, zu analysieren, zu überwachen und bei Änderungen oder Aktualisierungen von Log-Daten benachrichtigt zu werden.

Ausführliche Dokumentation zu Google Cloud-Produkten und operativen Prozessen finden Kunden auf unserer Google Cloud-Produktseite.

Reaktion auf Vorfälle

Eine effektive Reaktion auf Vorfälle ist nicht nur der Schlüssel zur Bewältigung und Wiederherstellung nach Vorfällen, sondern auch zur Verhinderung zukünftiger Vorfälle. Die umfassenden Funktionen der Reaktion auf Vorfälle in Google Cloud basieren auf einer Kombination aus spezialisierten Experten, effizienten Prozessen und ausgefeiltem Monitoring, um Vorfälle proaktiv zu erkennen, zu vermeiden, Auswirkungen abzumildern, Kunden zu informieren und Dienste auf vertrauenswürdige Weise wiederherzustellen. Hier finden Sie eine Übersicht über den Reaktionsprozess beim Vorfallmanagement, unterteilt nach Phasen:

1. Erkennung

Die frühzeitige und genaue Erkennung von Vorfällen ist für ein starkes und effektives Vorfallmanagement maßgebend. In dieser Phase liegt der Fokus auf der Überwachung von Sicherheitsereignissen, um potenzielle Datenvorfälle zu erkennen und zu melden.

2. Koordination

Wenn ein Vorfall gemeldet wird, überprüft und bewertet der Bereitschaftsdienst die Art des Vorfalls, um festzustellen, ob dieser einen potenziellen Datenvorfall darstellt, und leitet den Google-Prozess für die Reaktion auf Vorfälle ein.

3. Lösung

In dieser Phase liegt der Fokus darauf, die Hauptursache zu untersuchen, die Auswirkungen des Vorfalls zu begrenzen, unmittelbare Sicherheitsrisiken, falls vorhanden, zu beseitigen, im Rahmen der Behebung notwendige Korrekturen durchzuführen und betroffene Systeme, Daten und Dienste wiederherzustellen.

4. Kontinuierliche Verbesserungen

Wir analysieren jeden Vorfall, um neue Erkenntnisse zu gewinnen, die uns dabei helfen, unsere Tools, Schulungen und Prozesse sowie das gesamte Sicherheits- und Datenschutzprogramm von Google zu verbessern

Weitere Informationen zum Vorfallmanagement finden Sie im Whitepaper zur Reaktion auf Datenvorfälle.

2.3 Anforderungen für GxP erfüllen

Regulierte Unternehmen der Biowissenschaft, darunter Hersteller von Pharmazeutika, Medizinprodukten und biologischen Produkten, die in den USA oder in anderen globalen Gesundheitsmärkten tätig sind, wenden erhebliche Ressourcen für die Entwicklung, das Management und den Betrieb von GxP-Systemen auf. Insbesondere die Entwicklung von Systemen und Protokollen zur Einhaltung der aktuellen Good Manufacturing Practice (GMP) und Quality System (QS)-Richtlinien kostet wertvolle Zeit und Mühe.8 In den USA werden die GMP/QS-Anforderungen von der FDA durchgesetzt und verlangen von Biowissenschafts-Organisationen die Einrichtung von Verfahren zur Sicherstellung der ordnungsgemäßen Gestaltung, Überwachung und Kontrolle von Herstellungsprozessen und -anlagen. Obwohl den Organisationen ein gewisser Ermessensspielraum hinsichtlich der Spezifika ihrer Systeme eingeräumt wird, müssen konforme GMP/QS-Systeme im Großen und Ganzen Entwicklungs- und Produktionsthemen abdecken, die sich auf die Sicherheit und Wirksamkeit der hergestellten Produkte auswirken könnten. Zu diesen Themen gehören:

  • Management-Verantwortung
  • Personalschulungen
  • Datensätze und Berichte
  • Qualitätsprüfungen
  • Kontrollen im Einkauf
  • Anbieterbewertungen

Diese Systeme sind oft mit umfangreichen Aufzeichnungspflichten verbunden, und die Unternehmen müssen sicherstellen, dass ihre Dokumentation, Datenverwaltung und Änderungssteuerungsprozesse konform sind. Im Folgenden werden einige Möglichkeiten vorgestellt, mit denen Kunden ihre Compliance-Initiativen optimieren und Zuverlässigkeit in diese elektronischen Systeme einbinden können, indem sie zu cloudbasierten Anwendungen wechseln.

Management-Verantwortung:

GxP-Systeme setzen normalerweise voraus, dass biowissenschaftliche Einrichtungen offizielle Richtlinien und Ziele festlegen, um die Produktqualität zu gewährleisten.9 Die Führungsebene ist dafür verantwortlich, dass die Qualitätsrichtlinie auf allen Organisationsebenen verstanden, implementiert und verwaltet wird. Teil dieser Verantwortung ist die Zuweisung von Befugnissen an geeignete Mitarbeiter, die qualitätsrelevante Arbeiten leiten, durchführen und beurteilen. In einer cloudbasierten IT-Umgebung umfasst dies die Vergabe von Berechtigungen und Zugriffsrechten an die entsprechenden Mitarbeiter sowie die Überwachung und Verwaltung der Mitarbeiter hinsichtlich ihres Zugriffs auf und ihrer Nutzung von bestimmten elektronischen GxP-Systemen.

Kunden, die Google Cloud verwenden, können Cloud IAM-Berechtigungen konfigurieren, um den Zugriff auf ihre Cloud-Ressourcen zu steuern und den Zugriff ihrer eigenen Administratoren zu beschränken und so die Zugriffsberechtigungen auf Projekt-, Ordner- oder Dataset-Ebene zu bestimmen. Dazu gehört eine umfangreiche Liste der Berechtigungen und der vordefinierten Rollen, die sie gewähren. Sie können auch eigene benutzerdefinierte Rollen erstellen, die genau die von Ihnen angegebenen Berechtigungen enthalten.

Um Risiken wie die Fehlkonfiguration von Zugriffskontrollen für Mitarbeiter oder Angreifer, die kompromittierte Konten ausnutzen, zu mindern, können Kunden mit VPC Service Controls einen Sicherheitsperimeter um Google Cloud-Ressourcen wie Cloud Storage, BigQuery oder Bigtable definieren, um die Exfiltration von Daten zu verhindern. Mit Identity-Aware Proxy (IAP) können Kunden den Zugriff auf Cloud-Anwendungen und VMs basierend auf der Nutzeridentität und dem Kontext ihrer Anfrage steuern. Kunden können auch steuern, wer Zugriff auf Ihre Cloud Storage-Buckets und -Objekte hat, sowie die Zugriffsebene. Weitere Informationen finden Sie auf der Dokumentationsseite für Cloud Storage.

Schulungen für Organisationen und Personal:

Unternehmen der Biowissenschaft sind dafür verantwortlich, die Qualitätsrichtlinien ihres Unternehmens zu entwickeln und umzusetzen sowie eine angemessene Organisationsstruktur zu unterhalten, um sicherzustellen, dass ihre Produkte in Übereinstimmung mit den gesetzlichen Anforderungen entwickelt und produziert werden. Dazu gehört, dass das Personal über den erforderlichen Hintergrund, die Ausbildung und die Erfahrung verfügt, um alle zugewiesenen qualitätsbezogenen Aktivitäten korrekt durchzuführen. Wenn diese Funktionen die Nutzung von Google Cloud-Diensten zur Konfiguration der Infrastrukturunterstützung von elektronischen GxP-Systemen umfassen, sollte bei der Einstellung und/oder Schulung von Personal die Erfahrung mit Google Cloud-Diensten berücksichtigt werden. Kunden können eine Reihe von Google Cloud-Schulungen nutzen, um ganzen Teams zusätzliche Fähigkeiten und Kenntnisse in Bereichen wie der Architektur mit Google Kubernetes Engine und der Verwendung von maschinellem Lernen mit TensorFlow auf Google Cloud zu vermitteln. Ihre Mitarbeiter können dann Zertifizierungen erwerben, die ihre technische Qualifikation für eine bestimmte berufliche Aufgabe oder Technologie unter Beweis stellen

Kunden sollten auch in Erwägung ziehen, ihre Richtlinien und Verfahren und/oder andere organisatorische Dokumente zu aktualisieren, die die Anforderungen an die Ausbildung und Erfahrung des Personals sowie die Verwaltung von Schulungsplänen betreffen. Wir empfehlen unseren Kunden, sich mit der Kundenverantwortungsmatrix von Google Cloud vertraut zu machen.

Datensätze und Berichte

Ein zentrales Element sowohl der GMP- als auch der QS-Regelungen ist die Anforderung, Datensätze einzurichten, auf die bei einer behördlichen Inspektion leicht zugegriffen werden kann und die überprüft werden können. Der Zweck dieser Systeme ist es, sicherzustellen, dass die Verfahren zur Produktqualität angemessen aufrechterhalten und befolgt werden.10 So sind z. B. in der Regel Datensätze zu jedem wesentlichen Schritt des Vertriebsprozesses, einschließlich der Herstellung, Verarbeitung, Verpackung und Lagerung eines bestimmten Produkts oder einer Produktcharge, erforderlich. Darüber hinaus müssen regulierte Organisationen Verfahren für die Entgegennahme, Prüfung und Bewertung von Kundenbeschwerden einrichten und umfassende Datensätze führen, die detailliert aufzeigen, wie jede eingegangene Beschwerde gelöst wurde. Für die Überprüfung durch Aufsichtsbehörden ist eine ordnungsgemäße Verwaltung der Datensätze, die die Integrität der Daten sicherstellt, entscheidend.

Wie bereits erwähnt, bietet Google Cloud Kunden Tools wie Cloud-Audit-Logs, die Sicherheitsteams dabei helfen, Prüfpfade in Google Cloud zu pflegen und detaillierte Informationen über Admin-Aktivitäten, Datenzugriffe und Systemereignisse anzuzeigen. Cloud-Audit-Logs befinden sich in einem hochgeschützten Speicher, was einen sicheren, unveränderlichen und langlebigen Prüfpfad ermöglicht. Kunden haben auch die Möglichkeit, mit Cloud Logging Logdaten und Ereignisse von Google Cloud zu speichern, zu suchen, zu analysieren, zu beobachten und zu überwachen. Mit unserer API können Sie außerdem benutzerdefinierte Logdaten aus beliebigen Quellen aufnehmen und für die erweiterte Loganalyse mit den Daten- und Analyseprodukten von Google Cloud kombinieren.

Weitere Informationen zur Operations-Suite von Google Cloud finden Sie auf unserer Produktseite und auf der Dokumentationsseite.

Qualitätsprüfungen

GxP-konforme Organisationen der Biowissenschaft sind verpflichtet, Verfahren zur Durchführung von Qualitätsprüfungen zu etablieren. Solche Audits werden durchgeführt, um sicherzustellen, dass die Qualitätssysteme des Unternehmens mit den GxP-Vorschriften übereinstimmen, und um ihre Gesamtwirksamkeit zu bestimmen.11 Als Teil dieses Prozesses müssen Organisationen Berichte über die Ergebnisse jeder Qualitätsprüfung erstellen und aufbewahren, und diese Berichte sollten von der verantwortlichen Geschäftsleitung überprüft werden, um festzustellen, ob Korrekturmaßnahmen erforderlich sind. Behördliche Inspektoren verlangen oft eine Dokumentation, dass Qualitätsprüfungen durchgeführt werden.

Kunden, die Qualitätsprüfungen ihrer Systeme durchführen, können die Google Cloud-Dienste nutzen, um den Prüfprozess zu erleichtern. Durch Nutzung von Diensten wie der Operations-Suite von Google Cloud, Cloud IAM und Open-Source-Tools wie Forseti Security, erhalten Sie einen umfassenden Überblick über den Verlauf Ihrer Vorgänge in der Google Cloud-Umgebung, ohne dabei Ihre bestehenden Qualitätsprüfungen zu beeinträchtigen.

Kontrollen im Einkauf

Als Teil ihrer GxP-Kontrollen sind die Hersteller von Biowissenschaftsprodukten dafür verantwortlich, dass alle gekauften oder anderweitig erhaltenen Produkte den festgelegten Anforderungen entsprechen.12 Je nach Größe und Komplexität der Organisation haben Biowissenschaftsorganisationen oft unterschiedliche Bedürfnisse und Erwartungen in Bezug auf ihre IT-Infrastruktur. In jedem Fall müssen regulierte Organisationen jedoch Datensätze aufbewahren, die die festgelegten Spezifikationsanforderungen zusammen mit anderen Unterlagen zur Kontrolle im Einkauf klar beschreiben. Mit Google Cloud können Kunden unsere Berichte und Zertifizierungen anzeigen, die unabhängige Überprüfungen unserer Kontrollen darstellen.

Anbieterbewertungen

Organisationen mit GxP-Verpflichtungen sind dafür verantwortlich, potenzielle Lieferanten, Auftragnehmer und Berater auf der Grundlage ihrer Fähigkeit zu bewerten und auszuwählen, die festgelegten Anforderungen zu erfüllen, einschließlich derer, die sich auf die Produktqualität beziehen. Im Rahmen dieses Prozesses muss die Unternehmensleitung auf Basis der Bewertungsergebnisse Art und Umfang der Kontrolle über das Produkt, die Dienste und die Lieferanten festlegen. Außerdem kann die Dokumentation dieses Prozesses von der FDA oder anderen Aufsichtsbehörden im Rahmen einer Compliance-Inspektion angefordert werden. Daher ist die Erstellung und Pflege von Datensätzen über bewertete und akzeptierte Lieferanten, Auftragnehmer und Berater für Unternehmen der Biowissenschaft von entscheidender Bedeutung.

Sowohl unsere Kunden als auch die zuständigen Aufsichtsbehörden erwarten eine unabhängige Überprüfung unserer Sicherheits-, Datenschutz- und Compliancevorkehrungen. Deshalb unterziehen wir uns regelmäßig Prüfungen durch unabhängige Dritte. Einige der wichtigsten internationalen Standards, nach denen wir geprüft werden, sind:

Google beteiligt sich außerdem an branchenspezifischen und länderspezifischen Frameworks wie FedRAMP (US-Regierung), HITRUST CSF (hauptsächlich Healthcare), BSI C5 (Deutschland), MTCS (Singapur) und viele andere. Außerdem stellen wir Ressourcendokumente und -zuordnungen für Frameworks und Gesetze zur Verfügung, in denen keine formalen Zertifizierungen oder Attestierungen erforderlich sind oder angewendet werden. Eine vollständige Liste unserer Complianceangebote finden Sie im Center für Compliance-Ressourcen.

2.4 Anwendbare Google Cloud-Zertifizierungen, Attestierungen und Audits

Um Kunden aus der Biowissenschaft bei der Einhaltung von Vorschriften und der Erstellung von Berichten zu unterstützen, stellen wir Informationen, Best Practices und einen einfachen Zugang zur Dokumentation zur Verfügung. Unsere Produkte werden regelmäßig von unabhängigen Dritten auf Sicherheit, Datenschutz und Compliance überprüft und sind nach verschiedenen Standards zertifiziert. Zertifizierungen und Bescheinigungen im Zusammenhang mit der Informationssicherheit (z. B. ISO 27000-Serie, CSA STAR) sowie einige der spezifischen Zertifizierungen, Vorschriften und Rahmenwerke im Gesundheitswesen (z. B. HITRUST, FedRAMP, HIPAA) unterstützen die Anforderungen unserer regulierten Kunden. Darüber hinaus bieten viele der in unseren SOC-Berichten getesteten Kontrollen, insbesondere in Bezug auf Sicherheit, Nutzerzugriff, Änderungsmanagement und Bereitstellungsverfahren, den Kunden Transparenz über das Design und die operative Effektivität bestimmter Kontrollen, die für die Unterstützung der GxP-Anforderungen relevant sind.

Eine vollständige Liste der anwendbaren Zertifizierungen und weitere Informationen finden Sie auf unserer Seite Standards, Vorschriften und Zertifizierungen.

2.5 Informationen, die Google Cloud zur Verwendung bereitstellen kann, wenn sie für einen FDA-Zulassungsantrag erforderlich sind

Google Cloud stellt eine umfangreiche, öffentlich zugängliche Dokumentation unserer Verfahren, Praktiken und Sicherheitsmaßnahmen zur Verfügung, die bei der Einreichung von Zulassungsanträgen nützlich sein kann, um die Sicherheit und Effektivität eines in Google Cloud integrierten Medizinprodukts nachzuweisen oder um zu veranschaulichen, wie Google Cloud ein Qualitätssystem unterstützt. Ein großer Teil dieser Dokumentation ist in diesem Whitepaper verlinkt.

Google Cloud-Kunden erhalten möglicherweise ausführlichere Informationen zu den von ihnen verwendeten Produkten und Diensten. Einige Dokumente sind möglicherweise vertraulich und/oder sind durch Vertraulichkeitsvereinbarungen zwischen Google Cloud und unseren Kunden geschützt. Für den Fall, dass geschützte Informationen für die Aufnahme in einen FDA-Zulassungsantrag erforderlich sind und ihre Aufnahme im Voraus von Google Cloud genehmigt wurde, sollten sie als vertraulich gekennzeichnet werden, um die FDA darauf hinzuweisen, dass die Informationen gemäß dem Freedom of Information Act und den FDA-Bestimmungen zur Offenlegung von Informationen in 21 CFR Part 20 nicht freigegeben werden sollten. Wenn die FDA zum Zwecke der Prüfung eines Zulassungsantrags zusätzliche nicht-öffentliche Unterlagen verlangt, sollte die mögliche Freigabe solcher Informationen an die FDA in individuellen vertraglichen Vereinbarungen besprochen werden.

2.6 Zusätzlicher Support für Compliance im Gesundheitswesen

Google Cloud unterhält ein aktives, fortlaufendes Repository mit Informationen, Best Practices und Dokumentationen im Zusammenhang mit der Einhaltung von Vorschriften im Gesundheitswesen und in der Biowissenschaft sowie der Berichterstattung für verschiedene Regionen auf der ganzen Welt. Einige der wichtigsten Angelegenheiten im Gesundheitswesen sind unten aufgeführt.

HIPAA-Compliance

Das US-Gesetz zur Übertragbarkeit von Krankenversicherungen und Verantwortlichkeit von Versicherern (Health Insurance Portability and Accountability Act, HIPAA) aus dem Jahr 1996 legt Datenschutz- und Sicherheitsanforderungen für bestimmte Rechtspersönlichkeiten und Einzelpersonen zum Schutz der Gesundheitsdaten von Einzelpersonen fest. HIPAA schreibt Datenschutz- und Sicherheitsmaßnahmen für geschützte Gesundheitsinformationen (PHI) vor und gilt für Einzelpersonen und Unternehmen, die der Definition von „abgedeckten Unternehmen“ oder „Geschäftspartnern“ gemäß HIPAA entsprechen. Kunden, die HIPAA unterliegen und die Google Cloud-Produkte in Verbindung mit PHI (Protected Health Information) nutzen möchten, müssen die Geschäftspartner-Vereinbarung (Business Associate Agreement, BAA) von Google lesen und akzeptieren. Obwohl das U.S. Department of Health & Human Services (HHS, US-amerikanisches Gesundheitsministerium) keinen formalen Zertifizierungsprozess für die Einhaltung des HIPAA anerkennt, unterzieht sich Google Cloud regelmäßig mehreren unabhängigen Prüfungen, um die Sicherheits-, Datenschutz-, Betriebs- und Compliance-Kontrollen zu bewerten, die wir auf der Grundlage globaler Standards eingerichtet haben, die die im HIPAA beschriebenen Anforderungen umfassen. Die HIPAA-Compliance ist eine gemeinsame Verantwortung zwischen unseren Kunden und uns. Weitere Informationen finden Sie in unserem HIPAA-Compliance-Leitfaden für die GCP.

3.0 Fazit

Unternehmen der Biowissenschaft können die Vorteile von Google Cloud-Produkten und -Diensten nutzen, um die Produktentwicklung zu rationalisieren, qualitativ hochwertige Herstellungsprozesse auszuführen und zu verfolgen und einen robusten Softwareentwicklungslebenszyklus als Teil der Einhaltung von FDA- und anderen globalen regulatorischen Anforderungen zu ermöglichen. Durch erhebliche Investitionen in die Qualität und Sicherheit unserer Dienste haben wir es für Kunden aus der Biowissenschaft einfacher gemacht, die Einhaltung gesetzlicher Vorschriften nachzuweisen. Indem wir unsere Systeme sichern und vor Bedrohungen schützen, ermöglichen wir es Softwareentwicklern, von unseren Technologien und Verfahren zu profitieren und gleichzeitig die Risiken für Patienten und Nutzer ihrer Produkte zu minimieren.

4.0 Zusätzliche Ressourcen

Auf Ihrem Weg zur Entwicklung von GxP-konformen Geräten, Anlagen, Systemen oder Anwendungen laden wir Sie ein, die unten aufgeführten Ressourcen zu nutzen.

Google Cloud Google Workspace
Mehr erfahren
Warum andere Organisationen sich für Google Cloud entscheiden Vorteile von Google Cloud Vorteile von Google Workspace
Wir beraten Sie gern. Google Cloud-Lösungen Google Workspace-Schulungscenter
Weitere Informationen zu unseren Preisen Google Cloud – Preise Google Workspace-Lösungen
Begeistern
Google Cloud kostenlos testen Kostenlose GCP-Stufe Kostenlose Testversion von Google Workspace
Knowledge Center anrufen 844-613-7589 855-312-7191
Haben Sie Fragen zu Sicherheit, Datenschutz oder Compliance? Kontaktieren Sie unsere Experten unter compliance@google.com.
Handeln Sie jetzt!
Holen Sie Google in Ihr Team Füllen Sie dieses Formular aus oder rufen Sie uns unter 844-613-7589 an. Füllen Sie dieses Formular aus oder rufen Sie uns unter 855-312-7191 an.
Teamschulungen Google Cloud-Schulung Schulungen zu Google Workspace
Kurzanleitungen: Die erste Lösung kann in höchstens 10 Minuten bereitgestellt werden Erste Schritte mit der GCP Kurzanleitung für Google Workspace
Support erhalten
FAQ GCP-FAQ FAQ zu Google Workspace
Technischer Support für Kunden Wenden Sie sich an das Google Cloud-Supportcenter.

Haftungsausschluss

Dieses Whitepaper gilt für die unter cloud.google.com beschriebenen Google Cloud-Produkte. Der hierin enthaltene Inhalt ist auf dem Stand von Mai 2020 und repräsentiert den Status Quo zum Zeitpunkt der Erstellung. Die Sicherheitsrichtlinien und -systeme von Google können sich in Zukunft ändern, da wir den Schutz unserer Kunden kontinuierlich verbessern.

1. Auch wenn der Umfang dieses Papiers keine vollständige internationale Suche nach allen anwendbaren GxPs beinhaltet, so gilt doch allgemein, dass die Aufsichtsbehörden weltweit verlangen, dass Medizinprodukte in Übereinstimmung mit guten Praktiken entwickelt und hergestellt werden. Solche Praktiken finden sich direkt in staatlichen Vorschriften, Leitfäden und herausgegebenen internationalen Standards.

2. Siehe Food and Drug Administration, Regulations: Good Clinical Practice and Clinical Trialshttps://www.fda.gov/science-research/clinical-trials-and-human-subject-protection/regulations-good-clinical-practice-and-clinical-trials.

3. Siehe Food and Drug Administration, (2019, 7. May) Teil 11, Electronic Records; Electronic Signatures - Scope and Application, abgerufen unter https://www.fda.gov/regulatory-information/search-fda-guidance-documents/part-11-electronic-records-electronic-signatures-scope-and-application

4. 21 CFR Part 11: Electronic Records: Electronic Signatures.

5 Bitte beachten Sie, dass der gesamte 21 CFR Part 11 zwar technisch in Kraft bleibt, die FDA jedoch derzeit bestimmte Anforderungen dieser Vorschriften durchsetzt. Die Behörde hat einen Leitfaden herausgegeben, der klarstellt, welche Anforderungen die FDA aktiv durchsetzt. Einen Link dazu finden Sie unter FN 4. Kunden aus der Biowissenschaft sollten eigenständig bewerten, welche Anforderungen auf ihre Datensätze zutreffen könnten.

6. NIST definiert Validierung als: „Bestätigung, durch die Erbringung eines objektiven Nachweises, dass die Anforderungen für einen bestimmten Verwendungszweck oder eine bestimmte Anwendung erfüllt sind.“ (siehe NIST SP 800-160 [Superseded] (ISO 9000)).

7. NIST definiert Qualifizierung als: „Prozess des Nachweises, ob eine Entität in der Lage ist, bestimmte Anforderungen zu erfüllen.“ (siehe NIST SP 800-160 [Supersered] (ISO/IEC/IEEE 12207:2017)). Wird von https://csrc.nist.gov/glossary/Term/Qualification abgerufen

8. Die für pharmazeutische Produkte geltenden FDA-Vorschriften zur „Current Good Manufacturing Practice“ finden Sie in 21 CFR Part 210 & 211; die für Medizinprodukte geltenden Anforderungen an das Qualitätssystem sind in 21 CFR Part 820 enthalten.

9. Siehe 21 CFR Part 211, Subpart B—Organization and Personnel; 21 CFR 820 Part 820, Subpart B—Quality System Requirements.

10. Siehe 21 CFR Part 211, Subpart J--Records and Reports; 21 CFR Part 820, Subpart M--Records.

11. Siehe 21 CFR § 820.22.

12. Siehe 21 CFR Part 820, Subpart E--Purchasing Controls.