La sicurezza nelle CMO farmaceutiche

La sicurezza della catena di fornitura inizia da voi – e include tutti i partner

Chiaramente, il primo anello di una catena di fornitura sicura è rappresentato dalla propria infrastruttura e dai propri impianti di produzione. A livello interno, le aziende devono assumere un approccio alla sicurezza informatica incentrato sui rischi, che sia conforme alle migliori pratiche globali e permetta di identificare le priorità e applicare tecnologie, politiche e procedure basate su una strategia di difesa in profondità.

Mediante una valutazione dei rischi, le società farmaceutiche possono stabilire il livello di sicurezza necessario per ciascun processo esternalizzato.

Successivamente, occorre determinare se le CMO condividono lo stesso livello di sicurezza informatica e applicano lo stesso grado di rigore della società farmaceutica a cui fanno riferimento. Anche in questo caso, una valutazione dei rischi di sicurezza informatica rappresenta il modo migliore per determinare il livello di sicurezza di una CMO. Idealmente, sarebbe opportuno svolgere la valutazione presso lo stabilimento del produttore a contratto prima di formalizzare qualsiasi accordo.

Oltre a determinare il livello di sicurezza generale delle CMO, una valutazione sarebbe utile anche a identificare le lacune che potrebbero mettere a rischio gli asset della società farmaceutica. L’azienda dovrà quindi stabilire come limitare tale rischio e isolare adeguatamente il sistema della CMO rispetto al proprio, senza perdere l’accesso ai processi e alle informazioni chiave. A tal fine, la segmentazione delle reti, l’implementazione di appositi firewall, sistemi di accesso remoto sicuro, zone di sicurezza e altre tecnologie possono rappresentare una soluzione adeguata.

Conformarsi agli standard di sicurezza

Infine, la società farmaceutica e il produttore a contratto devono accordarsi sugli standard di sicurezza a cui fare riferimento. Com’è noto, tuttavia, accettare l’adozione di uno standard e conformarsi a esso sono due cose molto diverse.

Pertanto, un approccio alla sicurezza informatica della catena di fornitura incentrato sui rischi deve estendersi alla progettazione, all’implementazione e al monitoraggio dei sistemi delle CMO – nonché alla proprietà degli asset di produzione e dell’infrastruttura informativa. In tal senso, una società farmaceutica ha tre scelte dai diversi livelli di rischio:

• La CMO è proprietaria degli asset di produzione e dell’infrastruttura informativa. Questo è l’approccio che richiede la spesa di capitale minore. Tuttavia, dipende dalla capacità della CMO di garantire il livello di sicurezza adeguato con una supervisione limitata.
• La CMO è proprietaria degli asset di produzione, mentre la società farmaceutica mantiene la proprietà dell’infrastruttura informativa. In questo caso, la spesa di capitale risulta ridotta grazie allo sfruttamento di asset di produzione già esistenti. Tuttavia, la società farmaceutica possiede e gestisce l’infrastruttura, generalmente mediante un data center industriale in una rete segmentata.
• La società farmaceutica mantiene la proprietà degli asset di produzione e dell’infrastruttura informativa. In questo scenario, la società farmaceutica deve sostenere elevati costi di capitale, ma dispone di un maggiore livello di sicurezza. La CMO si limita a mettere a disposizione l’area di produzione e il personale addetto alle macchine.

Il vantaggio delle soluzioni IaaS (infrastrutture come servizio)

A questo punto, si potrebbe giungere alla conclusione che mantenere la proprietà dell’infrastruttura informativa sia spesso la scelta più prudente per una società farmaceutica. Tuttavia, l’implementazione e il monitoraggio di un’infrastruttura sicura in diversi impianti di produzione a contratto possono risultare complicati.

Prima di tutto, le organizzazioni interne incaricate della gestione delle CMO dispongono di risorse limitate. Rivolgersi al reparto IT, dedicato ai sistemi aziendali e di produzione principali, è spesso fuori questione. Semplicemente, le società non dispongono delle risorse interne necessarie per gestire decine – o centinaia – di impianti di produzione a contratto.

Ecco perché esternalizzare l’implementazione e il monitoraggio dell’infrastruttura a una terza parte può rappresentare una possibilità efficiente e conveniente. Un fornitore di servizi IaaS può mettere a disposizione un’architettura unificata – nonché un’implementazione validata e standardizzata con servizi comuni – per un gran numero di impianti di produzione a contratto in tutto il mondo.

Spesso queste soluzioni includono servizi di reporting trimestrale e accordi sul livello del servizio per determinare i tempi di risposta in caso di problemi e anomalie, come malfunzionamenti della rete e dell’infrastruttura o casi di violazione di sicurezza informatica.

Scoprite di più sulle soluzioni IaaS e altri servizi di rete industriali in grado di agevolare l’esternalizzazione della produzione e di contribuire alla riduzione dei rischi di sicurezza informatica.