공유 계정은 데이터 완전성 위반 — Annex 11 개정 초안 #11

지난주(11월 4~6일) PIC/S 실사관들은 이스탄불에 모여 "Digital Transformation in GMP"를 주제로 연례 세미나를 열었습니다. 실사관이 배우는 주제는 머지않아 현장에서 받는 질문이 됩니다. 그 질문의 첫머리는 대개 단순합니다. "이 데이터는 누가 만들었습니까?"

EU GMP Annex 11 개정 초안(2025년 7월 공개, 의견조회 종료, 2026-11-09 확인 시점 최종본 미채택)은 11장 '신원·접근 관리(Identity and Access Management)'를 새로 두고 그 답을 요구합니다. #11.1은 "All users should have unique and personal accounts."라고 적고, 공유 계정은 읽기 전용일 때만 허용하며 그 밖의 사용은 데이터 완전성 위반으로 봅니다. #11.6은 통제 구역 밖에서 중요 시스템에 원격 접속할 때 다중 인증(MFA)을, #11.9는 로그인·로그아웃 시각과 역할이 남는 접근 기록을, #11.10은 GMP 사용자에게 관리자 권한을 주지 않는 직무 분리와 최소 권한을, #11.11은 관리자가 주기적으로 권한을 다시 확인하는 검토를 요구합니다. 초안 기준이지만 방향은 분명하고, 현행 기대치도 다르지 않습니다. PIC/S PI 041-1 #9.5는 "Shared login credentials do not allow for traceability to the individual who performed the activity."라며 비용 절감을 이유로 한 비밀번호 공유도 금지 대상으로 적었습니다.

귀속성(Attributable)은 '1인 1계정'이 전제입니다. 계정을 나눠 쓰는 순간 점검기록(감사추적)에 남는 이름은 사람이 아니라 자리가 됩니다.

오늘 확인할 것

• 저울·pH미터·HPLC 등 장비 PC까지 포함해 공유 계정이 남아 있는 시스템 목록을 뽑아 보세요. 장비가 개인 계정을 지원하지 않으면 수기 사용 기록(Logbook) 같은 보완 통제와 그 근거를 적어 두세요(#11.1).
• 비밀번호 길이·만료·실패 잠금이 절차서에만 있고 시스템에서 강제되지 않는 경우가 없는지 확인하세요(#11.5, #11.7).
• 전배·퇴사자의 권한이 그대로 남아 있지 않은지, 접근 권한 정기 검토 기록으로 보여줄 수 있는지 살펴보세요(#11.11).

계정은 로그인 수단이 아니라 서명입니다.