生物科技公司IT权限与账号生命周期管理办法.docxVIP

生物科技公司IT权限与账号生命周期管理办法

第一章总则

第一条目的

为规范公司IT账号与权限的全生命周期管理，防范科研数据、生产参数、患者信息等敏感数据泄露，保障IT系统安全稳定运行，契合《数据安全法》《药品管理法》及GMP、FDA21CFR11、欧盟GMP附件11等合规要求，明确各部门职责，规避权限滥用、账号闲置等风险，特制定本办法。

第二条适用范围

本办法适用于公司全体员工（含正式、试用期、实习生）、外部协作人员（含CRO机构、供应商、合作伙伴等），覆盖公司所有IT系统（含办公系统、科研系统、生产系统、实验室系统等，如LIMS、CTMS、MES、ELN等）的账号创建、使用、变更、停用、注销及权限分配、调整、回收等全流程管理。

第三条核心原则

1.最小权限原则：账号权限仅授予完成岗位职责必需的范围，不授予无关权限，核心科研、生产数据权限实行“双人审批+最小授权”，杜绝过度授权。

2.一人一号原则：每位用户对应唯一IT账号，严禁共享账号、共用密码，确保所有系统操作可追溯至个人，符合数据完整性ALCOA原则要求。

3.全生命周期管控原则：账号从创建到注销的每一个环节均需规范流程、留存记录，权限随岗位变动实时调整，确保账号与权限始终与实际需求匹配。

4.合规可审计原则：所有账号操作、权限变更均需记录留痕，审计记录保存期限符合行业监管要求，满足NMPA、FDA等机构