Közzétettük a Teljes Vendor Assurance Csomagunkat – Beleértve Azt Is, Amivel Még Nem Rendelkezünk

Így működik valójában a szoftverbeszerzés egy szabályozott vállalatnál. Az operatív csapat a második héten választja ki az eszközt. A minőségügyi és IT-biztonsági részleg a negyedik héten kezdi el az átvizsgálást. A kérdőív a hatodik héten érkezik meg a szállítóhoz – negyven lap, és egy GAMP-kategorizálási kérelem, amelyet a szállító még soha nem foglalt írásba. A tizennegyedik hét körül mindenki megállapodik, és ami elhúzta az egészet, az sosem maga a termék volt.

Eleget voltunk már a fogadó oldalon ahhoz, hogy arra a következtetésre jussunk: a sorrend rossz. Ezért előre közzétettük a válaszokat.

*Frissítve 2026. október 12-én: a csomag v1.2-ként kerül újrakiadásra, miután minden állapotot újra ellenőriztünk az éles rendszerben futó forráskóddal, az éles Azure-konfigurációval és nyilvános oldalainkkal szemben. Az 1.1 verzió (2026. augusztus 23.) és annak csak szövegezést érintő 1.1.1 kiadása több kontrollra vonatkozóan túlzó állításokat tartalmazott; az v1.2 ezeket javítja és minden javítást felsorol. Ahol valamit nem lehetett ellenőrizni, a csomag jelöli és gyengébb formájában közli.*

Mi található benne

Tizennyolc fejezet, úgy rendezve, hogy a felülvizsgáló közvetlenül a saját részéhez ugorhasson. A minőségbiztosítási felülvizsgálónak szüksége van a QMS-indexre, a GAMP 5 kategorizálásra, valamint az Annex 11 és a Part 11 megfeleltetésekre. Az IT-biztonság a tárhelytopológiát, a biztonsági architektúrát és a CAIQ-Lite dokumentumot igényli. A DPO-nak az adatkezelő–adatfeldolgozó megosztásra, az alfeldolgozói nyilvántartásra és az AI-irányítási fejezetre van szüksége. A beszerzési terület a tanúsítási státuszt, az üzletmenet-folytonossági helyzetet és a felelősségmegosztást vizsgálja. A csomag egy táblázattal nyílik, amely megmutatja mindegyiküknek, hogy mely fejezeteket kell elolvasniuk.

A záradékmegfeleltetések alkotják a dokumentum magját. Az Annex 11 minden egyes záradéka – mind a tizenhét – azzal együtt, hogy mi hogyan teljesítjük, és hol találhatók a bizonyítékok. Ezt követi a 21 CFR Part 11: a §11.10 szerinti kontrollok, a §11.50 és §11.70 aláírási rendelkezések, valamint a §11.100, §11.200 és §11.300 elektronikus aláírási követelmények. E sorok közül kettő *az Ön* kötelezettségeként van megjelölve, nem a miénkként, mivel azokat szállítóként nem lehet teljesíteni, és ennek elhallgatása olyan hiányosságot hagy maga után, amely csak egy ellenőrzés során derül ki.

És ami nincs benne

Ez az a rész, amely miatt érdemes volt megírni a dokumentumot. A §13 egy tanúsítási státusztáblázat, a §17 pedig egy teljes nyitott tételek listája, és együttesen egyértelműen kimondják:

• Nem rendelkezünk SOC 2 tanúsítvánnyal. SOC 2 vizsgálat ügyféligényre mérlegelhető, amint az ISO 27001 megvan – európai ügyfélkör számára az ISO 27001 az a tanúsítvány, amelyet a szállítói auditok elsőként kérnek.
• Még nem rendelkezünk ISO 27001 tanúsítvánnyal. Az ISMS 2026 augusztusában nyílt meg; a 2. szakasz tanúsítási auditja 2027 februárjára van tervezve, a tanúsítvány megszerzésének céldátuma 2027 Q1. A tanúsítvány megszerzéséig a csomag *nem megszerezve* státuszt jelöl.
• Webalkalmazás-tűzfalunk öt egyedi sebességkorlátozási szabályt alkalmaz, de nem használ felügyelt OWASP szabálykészletet. A Standard Front Door csomag nem teszi lehetővé ilyen csatolását – ahhoz a Premium szint szükséges, amelyre az éles rendszer újjáépítésekor kerül sor.
• Magas rendelkezésre állás nincs engedélyezve az adatbázison, és az RTO- és RPO-értékek belső célkitűzések, nem szerződéses vállalások; a fizetős csomagoknál a havi 99,5%-os rendelkezésre állás szerződéses. A visszaállítási gyakorlat elvégzett és dokumentált (teljes éles visszaállítás mérten 7 percen belül), és a havi titkosított biztonsági mentések legfeljebb 7 évig megőrizhetők időalapú megváltoztathatatlan megőrzési szabályzat szerint, amely blokkolja a törlést és felülírást (a szabályzat még nincs zárolva).
• Független behatolástesztet még nem végeztek. Egy ilyen teszt újrateszteléssel együtt tervezett, és a hatóköre előkészített. A 2026 októberében végzett belső fehérdobozos kódellenőrzés sebezhetőségeket tárt fel, köztük két Kritikust; mindkét Kritikus megállapítás javítva van az éles rendszerben. A 2026 áprilisi munka belső funkcionális biztonsági tesztelés volt, nem behatolásteszt.

A megfelelőség és a tanúsítás közötti különbségről

Az egyik különbséget a csomag egy teljes bekezdésben tárgyalja, mivel ezen a piacon rendszeresen összemossák. Az Annex 11 és a 21 CFR Part 11 szabályozási elvárások, nem tanúsítási rendszerek. Egyetlen szervezet sem ad ki „Annex 11 tanúsítványt", és az azt kínáló szállító olyan valamit árul, ami nem létezik. Ami valóban igazolható, az egy olyan implementáció, amely záradékonként van feltérképezve, minden egyes sorhoz bizonyítékokkal alátámasztva – és pontosan ezt tartalmazza a csomag.

A SOC 2 és az ISO 27001 *valóban* tanúsítási rendszerek. Mi ezekkel nem rendelkezünk. Ezért nem írjuk le magunkat tanúsítottként, és infrastruktúra-szolgáltatónk tanúsítványait az övéikként tüntetjük fel – nem pedig csendben a sajátunkként.

Minden benne lévő adat ellenőrzött, nem másolt

A megfelelőségi dokumentumok elavulnak. Megváltozik egy tárhelyrégió, lezárnak egy hiányosságot, átneveznek egy kontrollt – és a dokumentum továbbra is a tavalyi architektúrát írja le a mai magabiztossággal. A mienk esetében ez már elkezdett megtörténni: egy belső QMS-dokumentum még egy olyan tárhelyszolgáltatót említett, amelyről már átköltöztünk, és saját weboldalunk egyik oldala is hibás Azure-régiókat írt le.

A csomagban szereplő minden státuszt a közzététel napján ellenőriztük az éles környezetben futó forráskód, az élő Azure-konfiguráció és a nyilvános oldalak alapján — a régiókat az előfizetésből olvastuk ki, a tárolási szabályzatot a hozzárendeléséből, az élszerver-konfigurációt az élő válaszfejlécekből, az auditnapló és az aláírási viselkedés pedig a megvalósító kódból kerültek kiolvasásra. Ahol az ellenőrzés ellentmondott egy meglévő dokumentumnak, ott az ellenőrzés eredménye volt az irányadó. Így jött létre az 1.2-es verzió: az 1.1 újraellenőrzése olyan állításokat tárt fel, amelyek soha nem voltak igazak, és ezt a kiadás most korrigálja.

A csomag dátumozva van, és tartalmaz egy felülvizsgálati kötelezettségvállalást: legalább félévente, és újra kiadásra kerül, valahányszor a tanúsítási táblázat vagy a nyitott tételek listájának valamely státusza megváltozik.

Ha Ön az, akinek értékelnie kell

Ehhez tartozik egy kiegészítő anyag is. A Yard Operations GMP Audit Readiness Checklist egy 101 ellenőrzési pontból álló önvizsgálati útmutató az udvarhatárhoz – amelynek záró területe a yard-rendszer szállítójának szállítóminősítése. Ez a csomag arra a területre ad választ, függetlenül attól, hogy az Ön által értékelt szállító mi vagyunk-e vagy sem.

Ha olyan információra van szüksége, amely nem szerepel a csomagban – a teljes QMS-dokumentációra NDA alatt, elvégzett tesztelési bizonyítékokra, egy adott kiadás szoftveralapanyag-listájára vagy egy saját sablonjában kitöltött CAIQ-ra –, keressen minket a admin@yardtwin.com címen. A kérésre elérhető anyagok listája a §18. szakaszban található.