数据安全管理要点及质量管理基础建设

药品批发企业应当严格按照管理制度和操作规程进行系统数据的录入、修改和保存，以保证各类记录的原始、真实、准确、安全和可追溯。具体如下：①各操作岗位通过输入用户名、密码等身份确认方式登录系统，并在权限范围内录入或查询数据，未经批准不得修改数据信息；②修改各类业务经营数据时，操作人员在职责范围内提出申请，经质量管理人员审核批准后方可修改，修改的原因和过程在系统中予以记录；③系统对各岗位操作人员姓名的记录，根据专有用户名及密码自动生成，不得采用手工编辑或菜单选择等方式录入；④系统操作、数据记录的日期和时间由系统自动生成，不得采用手工编辑、菜单选择等方式录入。

药品批发企业应当根据计算机管理制度对系统各类记录和数据进行安全管理，具体如下：①采用安全、可靠的方式存储、备份；②按日备份数据；③备份记录和数据的介质存放于安全场所，防止与服务器同时遭遇灾害造成损坏或丢失；④记录和数据的保存时限符合《规范》第四十二条的要求。

药品批发企业应当将审核合格的供货单位、购货单位及经营品种等信息录入系统，建立质量管理基础数据库并有效运用。具体如下：①质量管理基础数据包括供货单位、购货单位、经营品种、供货单位销售人员资质、购货单位采购人员资质及提货人员资质等相关内容；②质量管理基础数据与对应的供货单位、购货单位以及购销药品的合法性、有效性相关联，与供货单位或购货单位的经营范围相对应，由系统进行自动跟踪、识别与控制；③系统对接近失效的质量管理基础数据进行提示、预警，提醒相关部门及岗位人员及时索取、更新相关资料；任何质量管理基础数据失效时，系统都自动锁定与该数据相关的业务功能，直至数据更新和生效后，相关功能方可恢复；④质量管理基础数据是企业合法经营的基本保障，须由专门的质量管理人员对相关资料审核合格后，据实确认和更新，更新时间由系统自动生成；⑤其他岗位人员只能按规定的权限，查询、使用质量管理基础数据，不能修改数据的任何内容。

1.风险管理

（1）风险分析：①手工备份系统数据容易出现数值变化或丢失；②未按日备份数据或备份数据保存时间不符合要求，造成备份数据的不连续；③没有配备不间断电源或不间断电源支持的时间不够，不能保证及时和安全的备份；④购销单位的经营范围与品种不能相互关联；对应的购销单位及购销药品的合法性、有效性无法关联；基础数据中近效期、失效期的情形，系统无预警或锁控功能；⑤相应的制度、操作流程及应急预案等文件中无数据备份相关内容，不能正确指导岗位人员进行数据备份。

（2）风险控制：①选用适宜的介质重新备份，保证备份的稳定性和安全性；②严格执行相关制度，每日备份数据；③配备不间断电源并加强日常维护；④确保质量管理基础数据是由数据库生成，关联其合法资质、经营范围、经营方式、供货单位销售人员、购货单位采购人员、有效期等各类信息，有自动识别、审核、预警或锁定等功能；⑤建立计算机系统应急预案，预案内容应包含数据备份的要求。

2.检查概要

（1）检查要求：

1）有与各岗位职责相对应的计算机系统管理制度和操作规程，内容符合《规范》及附录相关要求。

2）操作人员只能使用唯一账号登录系统，每个账号有明确的岗位操作权限，与实际岗位职责相适应。

3）系统任何有效数据更新操作应能自动生成记录并可追溯。

4）系统日志数据对每个账号的建立、登录、退出时间进行自动记录。(www.xing528.com)

5）采用不同的备份方式，按日备份数据，电子数据按规定保存。

6）备份记录和数据介质应存放于安全场所，与原储存数据设备设在不同地点，存放场所有符合设备正常运行所需要的温湿度，具有防止断电的备用电源及防火、防盗、防磁、防外部入侵盗取的保护设施。

7）建立质量管理基础数据库，由专职质量管理人员对相关资料审核合格后据实录入、更新。

8）系统能实现质量管理基础数据与对应的购货（销售）单位，或购进（销售）品种的合法性、有效性相关联，由系统进行自动跟踪、识别与控制。

9）供货单位及购货单位、经营品种、供货单位销售人员（购货单位采购人员）等资质，其中任何一个资质过期或失效，系统应能自动锁定相关业务，直至数据更新、生效后相关功能方可恢复。

10）各操作岗位按照规定权限查询、使用质量管理基础数据，不能修改数据的任何内容。

（2）检查方法：

1）查资料：查系统管理相关规定，核实对计算机系统各类数据管理和质量管理基础数据的规定是否符合《规范》及附录相关要求。

2）现场核实：①对照人员花名册和计算机系统操作权限的审核资料，核实是否对相关岗位人员分配了唯一的用户名和密码；②抽查各岗位人员实际操作，核实相关记录是否由系统自动生成，是否存在可采用手工编辑、菜单选择等方式录入的情形；③抽查非质量管理岗位人员，核实系统是否能自动拒绝或防止非质量管理岗位人员修改质量管理基础数据的操作；④是否按日备份，核实备份记录与数据介质是否与服务器存放于不同场所，存放场所是否符合相关要求。

3）现场核实：抽查库存品种，分别从系统调出购销流向，查其供货单位、购货单位、经营品种、供货单位销售人员、购货单位采购人员及提货人员等质量管理档案资料。①核实是否与系统中相对应的质量管理基础数据相一致；②模拟输入超经营范围、经营方式、资质效期、药品有效期等操作，核实系统是否能够自动跟踪、识别与控制；③核实系统是否能够对接近失效的质量管理基础数据具备提示、预警功能；④核实系统是否能够对失效的质量管理基础数据具备自动锁定的功能。

4）现场提问：各类数据存储、备份的方法是什么？为保证各类数据安全所采取的措施有哪些？