参考前文
- 速读（十）：第25条【周期性回顾与配置管理（
周期性回顾与配置管理）】 - 速读（九）：第21-24条【审计追踪内容回顾（审计追踪内容回顾）】
- 速读（八）：第18,19,20条【审计追踪功能定义（审计追踪功能定义）】
正文内容
第26-29四条修订意见都是针对原附录Security - 12.1 Physical and Logical control “安全 - 物理及逻辑控制”
26. [修订原有章节12.1] 旧指南仅关注将系统访问应只授权合法对象；但是，（系统安全）还有其他重要的主题。根据ISO 27001，IT安全部分应重点关注系统和数据的机密性、完整性和可用性。
大侠解读：这一个修订意见建议GxP药企IT参考行业最佳实践 ISO27001来提升自己的管理水平，对于一个大量应用了信息化系统与电子记录的企业来说，参考其他先进行业，应该注意以下合规要求：
1、保密性confidentiality
也称机密性，是不将有用信息泄漏给非授权用户的特性。可以通过信息加密、身份认证、访问控制、安全通信协议等技术实现，信息加密是防止信息非法泄露的最基本手段，主要强调有用信息只被授权对象使用的特征。
2、完整性integrity
是指信息在传输、交换、存储和处理过程中，保持信息不被破坏或修改、不丢失和信息未经授权不能改变的特性，也是最基本的安全特征。
3、可用性availability
也称有效性，指信息资源可被授权实体按要求访问、正常使用或在非正常情况下能恢复使用的特性（系统面向用户服务的安全特性）。在系统运行时正确存取所需信息，当系统遭受意外攻击或破坏时，可以迅速恢复并能投入使用。是衡量网络信息系统面向用户的一种安全性能，以保障为用户提供服务。
4、可控性under-control
指网络系统和信息在传输范围和存放空间内的可控程度。是对网络系统和信息传输的控制能力特性。
5、不可否认性Non-repudiation
又称拒绝否认性、抗抵赖性，指网络通信双方在信息交互过程中，确信参与者本身和所提供的信息真实同一性，即所有参与者不可否认或抵赖本人的真实身份，以及提供信息的原样性和完成的操作与承诺。
27. [修订原有章节12.1] 当前版本规定“应实施物理和/或逻辑控制，以限制授权人员访问计算机化系统”。但是，有必要更具体并列出一些预期的控制措施，例如多重身份验证，防火墙，平台管理，安全补丁，病毒扫描和入侵检测/预防。
大侠解读：同上ISO27001要求，我们在享受信息化系统与电子记录便利性的同时，也要适应和管控其带来的风险，比如黑客攻击，勒索病毒等；值得注意的是，这些要求一般是考虑在整个公司或者工厂的安全架构设计中，而非个别系统/设备单独确认：
更多系统安全架构文章参考大侠专栏文章《Security Architecture：企业安全架构-大侠科普Pharm 4.0系列8（Security Architecture：企业安全架构-大侠科普Pharm 4.0系列8）》
Security Architecture：企业安全架构-大侠科普Pharm 4.0系列8）》28. [修订原有章节12.1] （新指南）应明确指出，关键系统的认证应高度确定受监管用户的身份。因此，仅通过“通行证”的方式进行身份验证可能是不够的，因为它可能已被丢弃并随后被任何人发现。
大侠解读：
身份认证（Authentication）是证实主体的真实身份与其所声称的身份是否相符的过程，身份认证可分为用户（代表用户的进程）与主机间的认证和主机与主机之间的认证。
目的：确保通信实体就是它所声称的那个实体
作用：
认证的方式：
【相比于容易被复制或盗用的单因子（门禁卡）认证法，更为安全的多因子认证方法举例】
29. [修订原有章节12.1]（新指南）应添加对系统访问权限分配的两个重要期望：即“职责分离”，系统的日常用户没有管理员权限，以及“最小权限原则”，系统用户没有高于其工作职能所需的访问权限.
大侠解读：参考中国GMP 计算机化系统附录的要求“（一）建立操作与系统管理的不同权限，业务流程负责人的用户权限应当与承担的职责相匹配，不得赋予其系统（包括操作系统、应用程序、数据库等）管理员的权限； ”
