저희는 벤더 보증 팩 전체를 공개했습니다 — 갖추지 못한 항목까지 포함하여

규제 대상 기업에서 소프트웨어 조달이 실제로 이루어지는 방식은 이렇습니다. 운영팀이 2주차에 도구를 선택합니다. 품질팀과 IT 보안팀은 4주차에 검토를 시작합니다. 6주차에 벤더에게 설문지가 전달되는데 — 탭이 40개이고, 벤더가 한 번도 문서화한 적 없는 GAMP 분류를 요구합니다. 14주차쯤에 모두가 합의에 도달하지만, 지연의 원인은 제품 자체가 아니었습니다.

저희도 이런 상황을 여러 번 겪으면서 그 순서가 잘못되었다는 결론을 내렸습니다. 그래서 답변을 미리 공개하기로 했습니다.

*2026년 10월 12일 업데이트: 프로덕션에서 실행 중인 소스 코드, 라이브 Azure 구성 및 공개 페이지를 기준으로 모든 상태를 재검증한 후 v1.2로 재발행되었습니다. v1.1(2026년 8월 23일) 및 문구만 수정된 v1.1.1은 여러 통제 수준을 과장했으며, v1.2에서 이를 수정하고 각 수정 사항을 나열합니다. 검증할 수 없는 항목은 팩에 표시하고 더 약한 형태로 기술합니다.*

포함된 내용

18개 섹션으로 구성되어 있으며, 검토자가 자신에게 필요한 부분으로 바로 이동할 수 있도록 편성되어 있습니다. 품질 검토자는 QMS 인덱스, GAMP 5 분류, Annex 11 및 Part 11 매핑이 필요합니다. IT 보안팀은 호스팅 토폴로지, 보안 아키텍처 및 CAIQ-Lite가 필요합니다. DPO는 컨트롤러-프로세서 구분, 하위 처리자 등록부 및 AI 거버넌스 섹션이 필요합니다. 구매팀은 인증 현황, 비즈니스 연속성 태세 및 책임 분담이 필요합니다. 팩은 각 담당자가 읽어야 할 섹션을 안내하는 표로 시작됩니다.

조항별 매핑이 핵심입니다. Annex 11의 모든 조항 — 17개 전부 — 에 대해 저희의 대응 내용과 증거 위치를 기재했습니다. 이어서 21 CFR Part 11: §11.10 통제 항목, §11.50 및 §11.70의 서명 규정, 그리고 §11.100, §11.200, §11.300의 전자 서명 요건이 포함됩니다. 그중 두 행은 벤더가 아닌 *귀사*의 의무로 표시되어 있는데, 벤더가 이행할 수 없는 사항이기 때문이며, 그렇게 가장할 경우 실사 과정에서야 드러나는 공백이 생기기 때문입니다.

포함되지 않은 내용

이 부분이 이 문서를 작성할 가치가 있게 만든 핵심입니다. §13은 인증 현황 표이고 §17은 전체 미결 항목 목록으로, 두 섹션은 다음을 명확히 밝히고 있습니다:

• 당사는 SOC 2를 보유하고 있지 않습니다. SOC 2 참여는 ISO 27001 취득 후 고객 요청 시 검토할 수 있습니다. 유럽 고객층을 대상으로는 ISO 27001이 벤더 검토에서 우선적으로 요구하는 인증입니다.
• 당사는 아직 ISO 27001을 보유하고 있지 않습니다. ISMS는 2026년 8월에 개설되었으며, 2단계 인증 심사는 2027년 2월로 계획되어 있고 인증 취득 목표는 2027년 Q1입니다. 인증 취득 전까지 팩에는 *미보유*로 표기됩니다.
• 당사의 웹 애플리케이션 방화벽은 5개의 사용자 지정 속도 제한 규칙을 실행하지만, 관리형 OWASP 규칙 세트는 없습니다. Standard Front Door 티어에서는 이를 연결할 수 없으며, 프로덕션 재구축 시 계획된 Premium 티어로 전환하면 가능합니다.
• 데이터베이스에 고가용성이 활성화되어 있지 않으며, RTO 및 RPO는 계약상 약속이 아닌 내부 목표입니다. 유료 플랜의 월 99.5% 가용성은 계약상 보장됩니다. 복구 훈련은 실행 및 증명되었으며(전체 프로덕션 복구 측정 결과 7분 미만), 월별 암호화 백업은 삭제 및 덮어쓰기를 차단하는 시간 기반 불변성 정책(정책 잠금 미완료)에 따라 최대 7년간 보관됩니다.
• 아직 독립적인 침투 테스트가 수행되지 않았습니다. 재테스트를 포함한 침투 테스트가 계획되어 있으며 범위도 준비되어 있습니다. 2026년 10월 내부 화이트박스 코드 감사에서 취약점이 발견되었으며, Critical 등급 2건을 포함합니다. Critical 발견 사항 2건 모두 프로덕션에서 수정되었습니다. 2026년 4월 작업은 침투 테스트가 아닌 내부 기능적 보안 테스트였습니다.

준수(compliant)와 인증(certified)의 차이에 대하여

이 팩에서 한 단락을 할애하는 구분으로, 시장에서 흔히 혼용되기 때문입니다. Annex 11과 21 CFR Part 11은 규제 요건이지, 인증 제도가 아닙니다. 어떤 기관도 "Annex 11 인증서"를 발급하지 않으며, 이를 제공하는 벤더는 존재하지 않는 것을 판매하는 것입니다. 실질적으로 증거로 제시할 수 있는 것은 각 조항별로 매핑되고 각 행마다 근거 자료가 뒷받침된 구현 내역이며, 이것이 바로 이 팩에 담긴 내용입니다.

SOC 2와 ISO 27001은 *인증* 제도입니다. 당사는 이를 보유하고 있지 않습니다. 따라서 당사는 스스로를 인증된 업체로 표현하지 않으며, 인프라 제공업체의 인증은 당사의 것인 양 암묵적으로 제시하지 않고 해당 업체의 인증으로 명시하고 있습니다.

모든 내용은 복사가 아닌 직접 검증을 거쳤습니다

컴플라이언스 문서는 시간이 지나면 낡아집니다. 호스팅 지역이 변경되고, 갭이 보완되고, 통제 항목 명칭이 바뀌어도 문서는 이전 아키텍처를 현재의 자신감으로 계속 주장합니다. 당사 문서도 그러한 상태가 되어 있었습니다. 내부 QMS 문서에는 이미 이전한 호스팅 제공업체가 여전히 기술되어 있었고, 당사 사이트의 한 페이지에는 잘못된 Azure 지역이 기재되어 있었습니다.

팩의 모든 상태는 게시 당일 프로덕션에서 실행 중인 소스 코드, 라이브 Azure 구성 및 공개 페이지를 기준으로 확인되었습니다. 구독에서 읽은 지역, 할당에서 읽은 상주 정책, 라이브 응답 헤더에서 읽은 엣지 구성, 이를 구현하는 코드에서 읽은 감사 추적 및 서명 동작이 모두 검토되었습니다. 검증 결과가 기존 문서와 상충할 경우 검증 결과가 우선합니다. v1.2가 이렇게 탄생했습니다. v1.1을 재검토하는 과정에서 한 번도 사실이 아니었던 진술들이 발견되었으며, 이번 판에서 이를 수정합니다.

이 팩에는 날짜가 기재되어 있으며 검토 약정이 포함되어 있습니다. 최소 6개월마다 검토하고, 인증 현황 표 또는 미결 항목 목록의 내용이 변경될 때마다 재발행됩니다.

평가를 직접 수행해야 하는 분들께

이와 함께 활용할 수 있는 자료가 있습니다. 야드 운영 GMP 감사 대비 체크리스트는 야드 경계에 대한 101개 항목의 자가 점검 안내서로, 마지막 영역은 야드 시스템 벤더에 대한 공급업체 자격 검증을 다룹니다. 이 팩은 평가 대상 벤더가 당사인지 여부와 관계없이 해당 영역에 답변하기 위해 작성되었습니다.

이 팩에 포함되지 않은 내용이 필요하신 경우 — NDA 하의 전체 QMS 세트, 실행된 테스트 증거, 지정 릴리스의 소프트웨어 자재 명세서(SBOM), 또는 귀사 양식으로 작성된 CAIQ — admin@yardtwin.com으로 문의해 주십시오. 요청 시 제공 가능한 항목 목록은 §18에 있습니다.