Na indústria farmacêutica, alguns sistemas de TI participam diretamente de atividades sujeitas às Boas Práticas de Fabricação.
Nesses casos, uma falha de infraestrutura, um acesso indevido ou a perda de informações pode afetar processos regulados da empresa. Por isso, a gestão do ambiente de TI precisa considerar requisitos específicos.
A Instrução Normativa nº 134/2022 da Anvisa estabelece regras para sistemas computadorizados utilizados em atividades reguladas pelas Boas Práticas de Fabricação de medicamentos. A norma trata de pontos como infraestrutura de TI, controle de acesso, backup, gestão de mudanças, incidentes e continuidade de processos críticos.
Para quem gerencia a tecnologia de uma indústria farmacêutica, esses requisitos precisam fazer parte da organização do ambiente.
Aplicação e infraestrutura cumprem papéis diferentes
A IN 134/2022 faz uma distinção importante entre a aplicação utilizada pela empresa e a infraestrutura que permite seu funcionamento.
A aplicação utilizada em uma atividade regulada precisa ser validada. Já a infraestrutura de TI que sustenta esse sistema precisa ser qualificada.
Essa infraestrutura inclui componentes como servidores, sistemas operacionais e recursos de rede.
Isso mostra por que a atenção não pode ficar concentrada somente no software. O funcionamento de uma aplicação também depende da estabilidade e da disponibilidade do ambiente em que ela está instalada.
A gestão de TI atua nessa base, acompanhando infraestrutura, atualizações, segurança e outros recursos necessários para manter os sistemas disponíveis.
Os acessos precisam acompanhar as responsabilidades de cada usuário
Em sistemas ligados a processos regulados, é necessário controlar quem pode acessar cada recurso e quais ações cada pessoa pode realizar.
A IN 134/2022 prevê mecanismos para restringir o acesso a pessoas autorizadas. A criação, alteração e cancelamento dessas permissões também precisam ser registrados.
Na prática, isso exige atenção sempre que alguém entra na empresa, muda de função ou deixa a organização.
Uma conta que continua ativa sem necessidade ou uma permissão que não corresponde mais à função do usuário aumenta a exposição do ambiente e dificulta a rastreabilidade das ações realizadas.
Por isso, o controle de acesso precisa acompanhar as mudanças da própria operação.
Backup precisa funcionar quando os dados forem necessários
Ter uma cópia dos dados não garante, por si só, que eles possam ser recuperados.
A IN 134/2022 prevê backups dos dados relevantes e a verificação da integridade, da exatidão e da capacidade de restauração dessas informações.
Na prática, a equipe de TI precisa saber se os dados podem ser recuperados corretamente quando houver necessidade.
Testar a restauração ajuda a identificar falhas antes que um incidente coloque informações importantes em risco.
Mudanças no ambiente precisam ser controladas
Atualizações e alterações de configuração fazem parte da gestão de qualquer ambiente de TI.
Em sistemas relacionados às Boas Práticas de Fabricação, essas mudanças precisam seguir procedimentos definidos.
A IN 134/2022 também prevê avaliações periódicas dos sistemas. Entre os pontos considerados estão atualizações, incidentes, desempenho, confiabilidade e segurança.
Isso exige planejamento antes de alterar componentes que sustentam aplicações críticas.
Uma atualização de infraestrutura, por exemplo, pode interferir no funcionamento de um sistema utilizado em um processo regulado. Registrar e controlar essas mudanças facilita a identificação da causa caso algum problema apareça depois.
Incidentes precisam ser registrados e investigados
Quando um problema é corrigido, o trabalho não necessariamente termina ali.
A IN 134/2022 determina que incidentes sejam registrados e avaliados. Nos casos críticos, a causa precisa ser investigada para orientar ações corretivas e preventivas.
Para a equipe de TI, isso exige visibilidade sobre o ambiente e definição clara de responsabilidades.
Uma interrupção recorrente, um alerta de segurança ou uma falha de comunicação entre sistemas precisam ser analisados para entender sua origem e evitar novas ocorrências.
Continuidade precisa ser definida antes de uma indisponibilidade
A norma também prevê medidas de continuidade quando a falha de um sistema pode comprometer um processo crítico.
Essas medidas devem considerar o risco da operação e precisam ser documentadas e testadas.
Isso significa que a empresa precisa saber, antes de uma indisponibilidade, quais recursos são críticos, quais sistemas dependem deles e como a operação deve continuar se algum deles falhar.
Backup, infraestrutura, monitoramento e definição de responsabilidades fazem parte dessa preparação.
Onde a gestão de TI entra
Sistemas utilizados em processos regulados dependem de um ambiente tecnológico que precisa ser acompanhado ao longo do tempo.
Servidores, rede, acessos, segurança, backups e mudanças na infraestrutura não podem ser tratados de forma isolada quando sustentam aplicações importantes para a operação farmacêutica.
A Exact Solution atua na gestão contínua de ambientes de TI, com serviços de infraestrutura, cibersegurança, controle de acessos, backup e suporte às operações.
A validação regulatória dos sistemas e as demais responsabilidades previstas pela Anvisa continuam sob responsabilidade das áreas e profissionais definidos pela empresa. A Exact atua na gestão da estrutura tecnológica que sustenta esse ambiente.
Converse com a Exact Solution sobre a gestão de TI da sua operação farmacêutica.
Perguntas frequentes
A IN 134/2022 se aplica a todos os sistemas de uma indústria farmacêutica?
Não. A norma trata dos sistemas computadorizados utilizados em atividades reguladas pelas Boas Práticas de Fabricação de medicamentos, incluindo medicamentos experimentais.
Isso significa que nem todo software administrativo utilizado pela empresa está automaticamente sujeito aos mesmos requisitos.
Qual é a diferença entre validação do sistema e qualificação da infraestrutura de TI?
A IN 134/2022 determina a validação da aplicação utilizada na atividade regulada e a qualificação da infraestrutura de TI que permite seu funcionamento.
Essa infraestrutura pode incluir servidores, sistemas operacionais e recursos de rede.
A norma exige backup?
A norma prevê backups dos dados relevantes e também determina que a integridade e a capacidade de restauração dessas informações sejam verificadas.
O objetivo é garantir que os dados possam ser recuperados quando necessário.
Como funciona o controle de acesso nesses sistemas?
O acesso deve ser restrito às pessoas autorizadas. A criação, alteração e cancelamento das permissões também precisam ser registrados.
O nível de controle deve considerar a criticidade do sistema e a função de cada usuário.
O que deve acontecer quando um sistema crítico fica indisponível?
A empresa precisa ter medidas de continuidade adequadas ao risco e ao processo envolvido.
Essas alternativas devem ser definidas, documentadas e testadas antes de uma falha.
