Indice contenuti
- 1 Quali rischi per la Data Integrity derivano dalla gestione degli accessi?
- 2 Identità, autenticazione e autorizzazione: quali controlli servono
- 3 I requisiti normativi che regolano la gestione degli accessi
- 4 Come governare il ciclo di vita degli accessi, dall’onboarding alla revoca
- 5 Log, storico autorizzativo e audit trail: quali evidenze servono?
- 6 Come verificare che i controlli sugli accessi funzionino
- 7 PRAGMA4U: dalla governance degli accessi al controllo operativo
- 8 Domande frequenti sulla gestione degli accessi nel pharma
- 9 Rendere verificabile il legame tra identità e dati
Nel settore farmaceutico, un dato non è affidabile soltanto perché è stato registrato correttamente. È necessario poter comprendere chi lo ha generato o modificato, se quella persona fosse autorizzata a svolgere l’operazione e quali evidenze consentano di ricostruire ciò che è accaduto.
Il problema emerge, per esempio, quando un analista cambia mansione ma conserva i privilegi precedenti, quando più persone utilizzano le stesse credenziali oppure quando una richiesta di revoca viene approvata senza che l’accesso sia effettivamente disattivato in tutti i sistemi interessati.
In casi come questi, non basta sapere che esiste una procedura. Occorre verificare che il controllo funzioni e che il suo esito sia documentato.
La gestione degli accessi contribuisce quindi alla Data Integrity perché collega le identità delle persone alle autorizzazioni e alle attività che possono svolgere. Non garantisce da sola l’integrità dei dati, ma rappresenta una parte importante del sistema di controlli tecnici e organizzativi.
La domanda da porsi non è soltanto chi può accedere a un sistema, ma come dimostrare che le autorizzazioni e le attività rilevanti siano appropriate, verificabili e coerenti con le responsabilità assegnate.
Quali rischi per la Data Integrity derivano dalla gestione degli accessi?
Quando si parla di gestione degli accessi, il primo obiettivo è impedire che persone non autorizzate entrino nei sistemi. In ambito farmaceutico, però, questa è solo una parte del problema.
Un utente può essere correttamente identificato e avere comunque privilegi eccessivi. Una richiesta può essere stata approvata secondo procedura, ma implementata in modo errato. Un sistema può registrare un’operazione senza consentire di attribuirla con certezza alla persona che l’ha eseguita.
Sono situazioni differenti, ma hanno un elemento comune: la presenza di un account o di una registrazione non dimostra automaticamente che il controllo sia adeguato.
Account condivisi: chi ha eseguito l’operazione?
Se più analisti utilizzano le stesse credenziali per lavorare su un sistema di laboratorio, il sistema può registrare un’operazione senza identificarne univocamente l’autore.
L’audit trail può documentare l’evento, ma non risolve necessariamente il problema dell’attribuzione: registra l’identità utilizzata, che potrebbe non corrispondere alla persona effettivamente intervenuta.
La FDA considera accettabili gli account condivisi di sola lettura che consentono di visualizzare dati senza modificare dati o impostazioni. Questi account non sono però adeguati per attività che richiedono attribuzione individuale, come la revisione da parte di una seconda persona. Il criterio non è quindi soltanto la possibilità di modificare un’informazione, ma anche la necessità di identificare chi ha svolto un’attività regolamentata.
Privilegi eccessivi: un’identità corretta non basta
Anche un account personale può consentire operazioni che non corrispondono alle responsabilità dell’utente.
Un analista, per esempio, può aver bisogno di eseguire determinate attività e consultare risultati, senza dover necessariamente amministrare il sistema o modificarne le configurazioni. L’assegnazione di privilegi amministrativi richiede quindi una valutazione specifica: la FDA raccomanda che tali privilegi siano affidati a personale indipendente da chi è responsabile del contenuto delle registrazioni.
Autorizzazioni obsolete: il controllo deve seguire i cambiamenti
Lo stesso problema si presenta quando una persona cambia mansione, reparto o responsabilità. Aggiungere nuovi permessi senza riesaminare quelli precedenti può generare autorizzazioni non più giustificate.
Questi esempi mostrano perché la gestione degli accessi non può limitarsi alla creazione di account. Deve stabilire chi può svolgere una determinata attività, secondo quali responsabilità e attraverso quali controlli.
Per costruire questo processo, occorre distinguere tre elementi: identità, autorizzazione e attribuibilità.
Identità, autenticazione e autorizzazione: quali controlli servono
L’identità permette di ricondurre un accesso a una persona o, quando appropriato, a un’identità tecnica. L’autenticazione verifica l’identità dichiarata; l’autorizzazione stabilisce quali risorse e operazioni siano consentite.
L’attribuibilità riguarda invece la possibilità di ricondurre un’attività alla persona che l’ha realmente eseguita. È un principio essenziale per comprendere e ricostruire le operazioni che interessano i dati regolamentati.
Questi controlli sono complementari, ma non intercambiabili.
Dall’autenticazione alla gestione dei privilegi
L’autenticazione multifattore, o MFA, può rafforzare la verifica dell’identità utilizzando fattori differenti, come una password e un dispositivo posseduto dall’utente. Due password appartengono invece alla stessa categoria di fattore e non costituiscono, da sole, un’autenticazione multifattore.
Una volta verificata l’identità, rimane da stabilire quali attività siano autorizzate.
Il modello RBAC, Role-Based Access Control, organizza i permessi in base ai ruoli. Il principio del minimo privilegio orienta l’assegnazione verso le autorizzazioni necessarie a svolgere le attività previste.
In un contesto farmaceutico, una matrice autorizzativa dovrebbe quindi distinguere, quando pertinente, le esigenze di un analista, di un revisore e di un amministratore. Deve inoltre considerare le possibili incompatibilità tra responsabilità operative e privilegi assegnati.
MFA, RBAC e minimo privilegio sono strumenti e modelli utili, ma non vanno presentati come obblighi normativi universali per ogni sistema farmaceutico. La loro applicazione deve essere valutata in relazione al rischio, all’architettura e ai requisiti pertinenti.
Anche le utenze tecniche devono essere governate
Non tutte le identità presenti in un sistema appartengono a una persona. Possono esistere utenze di servizio, account tecnici o identità utilizzate per le integrazioni.
Queste identità richiedono regole specifiche: finalità definite, privilegi limitati, responsabilità individuate e modalità d’uso controllate. Non devono sostituire l’identificazione individuale nelle attività che richiedono attribuibilità personale.
Stabilire chi può accedere e cosa può fare è dunque il primo livello del controllo. Nel settore regolamentato, il passaggio successivo è tradurre questi principi in requisiti applicabili e verificabili.
I requisiti normativi che regolano la gestione degli accessi
EU GMP Annex 11
Per i medicinali per uso umano, il riferimento europeo è l’EU GMP Annex 11, nella revisione di gennaio 2011, dedicato ai sistemi computerizzati impiegati nelle attività regolamentate GMP.
Il punto 12 tratta la sicurezza dei sistemi:
- Il punto 12.1 indica che dovrebbero essere previsti controlli fisici e/o logici per limitare l’accesso alle persone autorizzate.
- Il punto 12.2 stabilisce che l’estensione dei controlli di sicurezza dipende dalla criticità del sistema.
- Il punto 12.3 indica che la creazione, la modifica e la cancellazione delle autorizzazioni di accesso dovrebbero essere registrate.
- Il punto 12.4 indica che i sistemi di gestione dei dati e dei documenti dovrebbero essere progettati per registrare l’identità degli operatori che inseriscono, modificano, confermano o cancellano dati, con data e ora.
I controlli fisici sono pertinenti quando proteggono l’accesso a server, postazioni, strumenti e aree di conservazione dei dati. Integrano i controlli logici senza sostituirli: sapere chi è entrato in un ambiente non dimostra, da solo, quali operazioni abbia eseguito sui dati.
La sezione 9 riguarda invece gli audit trail. Indica che, sulla base di una valutazione del rischio, dovrebbe essere considerata la registrazione delle modifiche e delle cancellazioni rilevanti ai fini GMP. La motivazione di tali modifiche o cancellazioni dovrebbe essere documentata; gli audit trail pertinenti devono essere disponibili, convertibili in un formato comprensibile e regolarmente riesaminati.
I due ambiti sono collegati, ma hanno funzioni differenti: il controllo degli accessi governa chi può operare, mentre l’audit trail contribuisce a ricostruire gli eventi registrati dal sistema.
FDA – Data Integrity
La guida FDA Data Integrity and Compliance With Drug CGMP: Questions and Answers approfondisce il controllo delle credenziali, l’attribuibilità delle attività, i privilegi amministrativi e la gestione delle modifiche alle registrazioni computerizzate.
La guida contiene raccomandazioni interpretative e deve essere letta insieme alle disposizioni CGMP applicabili. Una raccomandazione contenuta in una guida non equivale automaticamente a un obbligo normativo autonomo, anche quando chiarisce come la FDA interpreta requisiti già previsti dalle CGMP.
FDA 21 CFR Part 11
Per le organizzazioni soggette alla normativa FDA, va considerato anche il 21 CFR Part 11, relativo alle registrazioni e alle firme elettroniche che rientrano nel suo ambito.
L’applicabilità deve essere determinata in relazione ai requisiti normativi sottostanti e alle registrazioni specifiche. Non tutte le informazioni elettroniche aziendali ricadono automaticamente nel Part 11.
La valutazione deve quindi partire dall’uso effettivo della registrazione e dal relativo quadro regolatorio, non soltanto dal fatto che un dato sia conservato elettronicamente.
Il quadro per i medicinali veterinari
Per i medicinali veterinari nell’Unione europea, dal 16 luglio 2026 si applica il Regolamento di esecuzione (UE) 2025/2091. I requisiti pertinenti devono essere individuati nel rispettivo quadro normativo, che ha una base giuridica distinta da quella per i medicinali per uso umano. La Commissione europea pubblica anche tabelle di corrispondenza con l’EU GMP Volume 4.
Il punto comune non è la presenza di una particolare funzione software, ma la necessità di governare i controlli in modo proporzionato al rischio e di dimostrarne l’adeguatezza all’uso previsto.
Come governare il ciclo di vita degli accessi, dall’onboarding alla revoca
Una volta definiti i requisiti, occorre tradurli in un processo che accompagni la persona dall’ingresso in azienda fino alla cessazione del rapporto, includendo cambiamenti di ruolo e accessi temporanei.
Il punto decisivo è collegare le decisioni organizzative alla configurazione effettiva dei sistemi. Una richiesta approvata non dimostra, da sola, che i permessi siano stati assegnati correttamente.
Ingresso: assegnare i permessi necessari
L’onboarding dovrebbe collegare identità, ruolo, sistemi interessati, richiesta, approvazione e implementazione.
Dopo l’assegnazione, una verifica dovrebbe confrontare i permessi effettivi con quelli autorizzati. In questo modo si controlla che il risultato tecnico corrisponda alla decisione.
Cambio di mansione: riesaminare le autorizzazioni esistenti
Quando cambiano le responsabilità, il processo dovrebbe valutare quali permessi mantenere, modificare o revocare.
La verifica deve considerare anche le combinazioni di autorizzazioni che potrebbero compromettere la segregazione dei compiti. Aggiungere un nuovo ruolo senza riesaminare i privilegi precedenti può produrre un accumulo di permessi non più giustificati.
Cessazione e accessi temporanei: verificare l’effettiva revoca
La disattivazione di un account nella directory centrale non dimostra automaticamente che tutti gli accessi siano stati revocati. Possono esistere applicazioni separate, sistemi non integrati o eccezioni che richiedono interventi specifici.
Per consulenti e fornitori, il processo dovrebbe inoltre definire durata dell’accesso, responsabile, modalità di approvazione e verifica della chiusura.
La disattivazione dell’utenza non deve compromettere la ricostruzione delle attività precedenti. Dati e metadati pertinenti devono essere conservati secondo i requisiti applicabili, mantenendo le informazioni necessarie a comprendere il significato delle registrazioni e la loro storia.
Gestire il ciclo di vita significa quindi controllare sia le autorizzazioni presenti sia le evidenze delle decisioni passate.
Log, storico autorizzativo e audit trail: quali evidenze servono?
Le evidenze possono essere collegate, ma non sono intercambiabili.
| Tipo di evidenza | Che cosa consente di verificare |
| Storico autorizzativo | Chi ha richiesto, approvato e implementato un permesso, secondo il processo definito |
| Registrazioni di sicurezza | Quali accessi o eventi di sicurezza sono stati registrati |
| Audit trail del sistema | Quali modifiche o attività pertinenti sono state registrate sulle informazioni interessate |
La distinzione è funzionale: non implica necessariamente registri separati. La FDA include nell’audit trail anche azioni a livello di sistema, come tentativi di accesso e cancellazione di file.
Il registro di un’approvazione dimostra che una decisione è stata presa, ma non dimostra da solo che le successive modifiche a un dato siano state registrate correttamente. Allo stesso modo, l’audit trail non sostituisce la revisione dell’appropriatezza dei privilegi.
Revisione degli audit trail e revisione dei privilegi
Per i sistemi soggetti alle CGMP FDA, la guida del dicembre 2018 raccomanda che il personale responsabile della revisione delle registrazioni esamini gli audit trail che documentano le modifiche ai dati associati, contestualmente al resto della registrazione. Le responsabilità di revisione e approvazione devono rispettare le disposizioni CGMP applicabili.
Se tali disposizioni specificano la frequenza di revisione delle registrazioni, la stessa frequenza deve essere rispettata per gli audit trail pertinenti. In assenza di una frequenza specificata, la guida raccomanda di definirla attraverso la conoscenza del processo e una valutazione del rischio, considerando criticità dei dati, controlli esistenti e impatto sulla qualità del prodotto.
La revisione dei privilegi risponde a una domanda diversa: le autorizzazioni sono ancora appropriate? Può essere effettuata confrontando permessi effettivi, ruoli correnti e decisioni autorizzative, con una gestione documentata delle anomalie.
È il collegamento tra controllo, registrazione e revisione a rendere le evidenze utili durante un audit.
Come verificare che i controlli sugli accessi funzionino
Una procedura può essere formalmente corretta e fallire durante l’esecuzione. Un’integrazione può non rispondere, un’autorizzazione può essere applicata in modo incompleto oppure una revoca può restare in sospeso senza essere segnalata.
La verifica deve quindi includere scenari realistici, risultati attesi e criteri di accettazione documentati. L’Annex 11 richiede di considerare scenari di test, gestione degli errori e criteri di accettazione.
Scenari operativi da verificare
| Scenario | Che cosa verificare |
| Nuovo dipendente | Che i permessi effettivi corrispondano a quelli approvati |
| Cambio di mansione | Che i privilegi precedenti siano stati riesaminati e le decisioni documentate |
| Cessazione | Che la revoca raggiunga tutti i sistemi inclusi nel perimetro |
| Accesso temporaneo | Che durata, scadenza e revoca siano gestite secondo il processo |
| Privilegio amministrativo | Che assegnazione, motivazione e responsabilità siano documentate |
| Sistema indisponibile | Che l’attività incompleta sia segnalata e non chiusa senza evidenza dell’esito |
Questi sono esempi progettuali, non soglie regolatorie universali. Le verifiche devono essere coerenti con l’uso previsto e con l’approccio di convalida applicabile. La FDA chiarisce che la convalida della piattaforma non dimostra, da sola, il funzionamento di ogni workflow CGMP configurato.
Responsabilità e indicatori
I responsabili di processo definiscono le esigenze operative; il System Owner contribuisce al governo del sistema; l’IT gestisce gli aspetti tecnici assegnati; Quality Assurance interviene secondo il sistema qualità. Le risorse umane forniscono le informazioni organizzative previste dal processo.
La ripartizione dipende dall’azienda, ma deve evitare attività informali o senza un responsabile identificato. L’Annex 11 richiama la collaborazione tra le figure pertinenti e la definizione delle responsabilità.
Anche gli indicatori possono aiutare: tempo di completamento delle revoche, revisioni concluse entro scadenza, discrepanze tra permessi approvati ed effettivi e anomalie di integrazione irrisolte.
Sono KPI interni, non soglie regolatorie universali. Definizioni, obiettivi ed escalation devono essere stabiliti dall’organizzazione. Una metrica è utile quando un risultato anomalo attiva valutazione, intervento e verifica della chiusura.
PRAGMA4U: dalla governance degli accessi al controllo operativo
Definire ruoli, autorizzazioni e responsabilità è il primo passo. Per rendere il processo effettivamente gestibile, occorre poi coordinare le richieste, le approvazioni, le modifiche e le revoche, mantenendo una documentazione che consenta di ricostruire le decisioni e verificarne l’esito.
È in questo passaggio che una soluzione digitale di User Access Management può supportare l’organizzazione, riducendo la frammentazione delle attività tra e-mail, fogli di calcolo e sistemi differenti.
Il modulo User Access Management di PRAGMA4U è progettato per supportare la gestione del ciclo di vita degli accessi, dall’onboarding alla modifica delle autorizzazioni, fino alla revisione periodica e alla disattivazione. La soluzione prevede workflow di approvazione, notifiche, registrazioni delle attività e dashboard per monitorare lo stato delle richieste e delle verifiche. Consente inoltre di configurare le autorizzazioni in funzione di ruoli, reparti e processi e prevede possibilità di integrazione con Active Directory e sistemi terzi.
Per approfondire visita la pagina User Access Management e richiedi una demo basata su un caso reale della tua organizzazione. Potrai valutare le funzionalità della soluzione rispetto ai tuoi sistemi, ai requisiti applicabili e alle esigenze di tracciabilità e controllo.
Domande frequenti sulla gestione degli accessi nel pharma
Un software di gestione degli accessi garantisce la Data Integrity?
No. Può supportare autorizzazioni, richieste e tracciabilità delle attività amministrative. La Data Integrity dipende però dall’insieme dei controlli tecnici, organizzativi e procedurali applicabili.
Gli account condivisi sono sempre vietati in ambito GMP?
Non in ogni circostanza. La FDA ammette account condivisi di sola lettura per visualizzare dati senza modificare dati o impostazioni. Non sono adeguati per attività che richiedono attribuzione individuale, come la revisione da parte di una seconda persona.
Il 21 CFR Part 11 si applica a tutti i dati elettronici aziendali?
No. L’applicabilità va valutata in relazione alle specifiche registrazioni e ai requisiti normativi sottostanti. Non tutte le informazioni elettroniche aziendali rientrano automaticamente nel suo ambito.
L’audit trail sostituisce la revisione periodica degli accessi?
No. L’audit trail documenta eventi e modifiche; la revisione degli accessi verifica se le autorizzazioni siano ancora appropriate. Sono controlli distinti e complementari.
La revoca nella directory disattiva automaticamente tutti gli accessi?
Non necessariamente. La copertura dipende dalle integrazioni, dalle applicazioni separate e dalle attività manuali. Il processo dovrebbe verificare l’effettiva revoca su tutti i sistemi inclusi nel perimetro.
MFA e RBAC sono obbligatori per tutti i sistemi farmaceutici?
Non vanno considerati obblighi indistintamente applicabili a ogni sistema. La scelta dei controlli deve tenere conto di rischio, architettura, uso previsto e requisiti pertinenti.
Rendere verificabile il legame tra identità e dati
La gestione degli accessi contribuisce alla Data Integrity quando collega identità, autorizzazioni e attività attraverso controlli proporzionati al rischio ed evidenze adeguate.
Il percorso parte dalla definizione dei privilegi, prosegue con la gestione delle autorizzazioni e si completa con la verifica degli esiti. Nessun passaggio è sufficiente da solo: una richiesta approvata non dimostra l’effettiva revoca, un account individuale non garantisce privilegi appropriati e un audit trail non sostituisce il controllo delle autorizzazioni.
Vuoi strutturare e digitalizzare la gestione degli accessi? Richiedi una demo del modulo User Access Management di PRAGMA4U.
Riferimenti GMP e regolatori
- Commissione europea — EudraLex, Volume 4, Annex 11: Computerised Systems. Revisione di gennaio 2011.
- U.S. Food and Drug Administration — Data Integrity and Compliance With Drug CGMP: Questions and Answers. Guidance for Industry. Dicembre 2018.
- U.S. Food and Drug Administration — Part 11, Electronic Records; Electronic Signatures — Scope and Application. Guidance for Industry. Agosto 2003.
- Commissione europea — Regolamento di esecuzione (UE) 2025/2091 del 17 ottobre 2025, relativo alle buone pratiche di fabbricazione dei medicinali veterinari.
- Commissione europea — EudraLex, Volume 4: Good Manufacturing Practice guidelines.
Riferimenti tecnici su autenticazione e autorizzazioni
- National Institute of Standards and Technology — Back to Basics: What’s multi-factor authentication — and why should I care?
- National Institute of Standards and Technology, Computer Security Resource Center — Glossary: Role-Based Access Control — RBAC.
- National Institute of Standards and Technology, Computer Security Resource Center — Glossary: Least Privilege.
.
