Calificación de TI y OT para IA y tecnologías tradicionales

Marco de seguridad

En las empresas de ciencias biológicas, la IA se utiliza para tareas como la automatización de procesos de fabricación, la optimización de ensayos clínicos, el análisis de datos de pacientes y varias otras aplicaciones críticas para las industrias farmacéutica, biotecnológica y de productos médicos.

La infraestructura de TI (Tecnologías de la Información) y OT (Tecnologías de Operación) es algo muy amplio en cuanto al ciclo de vida de los medicamentos o dispositivos médicos. Básicamente, son componentes y sistemas que soportan aplicaciones utilizadas en I+D, ensayos clínicos, fabricación, laboratorios de control de calidad, cadena de suministro y seguimiento postcomercialización.

Al igual que las validaciones tradicionales, un componente importante para la confiabilidad, la seguridad y el cumplimiento de los estándares es la calificación de la infraestructura de TI y OT en entornos BPx (calidad del producto, seguridad del paciente y/o integridad de los datos).

Este proceso implica una serie de actividades y documentación para validar que la infraestructura de TI y OT cumpla con los requisitos regulatorios y los estándares de calidad definidos para soportar adecuadamente las aplicaciones críticas en términos de rendimiento e integridad de los datos.

En resumen, el alcance de la calificación de infraestructura se refiere al hardware, software y servicios en la nube que conforman la infraestructura de TI u OT de la empresa.

La conexión entre la IA y la cualificación de la infraestructura: garantizar la seguridad de las innovaciones de TI y OT

Las empresas que buscan innovar utilizando inteligencia artificial (IA) y técnicas de aprendizaje automático generalmente comienzan estructurando sus datos, creando la base para la innovación. Como la mayoría de las técnicas de IA dependen del aprendizaje de los datos, es esencial organizarlos adecuadamente para luego desarrollar aplicaciones y modelos que exploten estos datos.

Sabemos que hoy los datos se comparan con el "nuevo petróleo". Entonces, ¿cómo garantizar que estos datos, almacenados en la infraestructura de la empresa, ya sea física o en la nube, estén seguros?

Este es uno de los principales objetivos de la Calificación de Infraestructura: asegurar documentalmente que la infraestructura es segura y capaz de soportar las aplicaciones que consumen estos servicios. El proceso está impulsado por lo que realmente importa, con especial atención a la gestión de riesgos.

Una calificación, muchas implementaciones

Una aplicación BPx final depende de una buena infraestructura para funcionar correctamente.

Si la infraestructura que soporta múltiples sistemas de IA y tecnologías tradicionales no está calificada de manera unificada, cada vez que una aplicación final necesite validación, se debe verificar su infraestructura relacionada. Es decir, cuando se realiza de forma unificada se puede referenciar y no será necesario repetir todas las comprobaciones de cada sistema.

Cada vez más industrias utilizan sus datos como una ventaja competitiva mediante el uso de aplicaciones de inteligencia artificial. Sin embargo, existe el riesgo de que se produzcan violaciones de seguridad y privacidad si los controles no se implementan adecuadamente.

Además, una infraestructura no calificada puede generar peligros potenciales como pérdida de datos, confidencialidad de datos, robo de modelos, en el caso de utilizar AI/ML (Inteligencia Artificial y Aprendizaje Automático), cumplimiento, ciberseguridad, entre otros.

A continuación, enumeramos algunos ejemplos de impactos/escenarios críticos que deben considerarse.

Robo de modelos, aplicado a AI/ML:

Imaginemos que se realizaran varios cursos de formación en aprendizaje automático, centrados en modelos de lenguaje, también conocidos como LLM (1), que requirieran una importante inversión por parte de la empresa. Uno de los principales riesgos asociados es el posible robo de conocimiento de estos sistemas, mediante la observación directa de sus entradas y salidas, similar al proceso de ingeniería inversa. Esto puede suceder mediante el acceso no autorizado, la copia o la extracción de modelos propietarios, lo que resultaría en pérdidas económicas y la posible exposición de información confidencial. Una vez replicado, el modelo se puede invertir, lo que permite a los atacantes extraer información sobre las funciones o datos de entrenamiento. En resumen, los ataques que exponen sus datos de Machine Learning (ML) y GenAI(1) no solo pueden afectar su negocio, sino que también corren el riesgo de revelar datos confidenciales, como la información del paciente. Para mitigar estos riesgos es fundamental implementar medidas como auditar cambios, cifrar datos en reposo y en tránsito, así como estrictos controles de acceso e implementar enmascaramiento de datos (sustitución de datos sensibles por datos ficticios).

(1) Large Language Models (LLM) como GPT-4 de ChatGPT son ejemplos de IA generativa o GenAI. La IA generativa es un término que describe cualquier tipo de modelo de Inteligencia Artificial que genera contenido.

Exposición accidental de datos:

En el caso de datos sensibles, una buena práctica es utilizar el enmascaramiento de datos, cuyo objetivo es reemplazar los datos sensibles con valores ficticios o alterados, de modo que los datos sigan pareciendo reales, pero sin revelar la información original. Es importante que los datos en tránsito y en reposo también estén cifrados. El propósito del cifrado es codificar datos en un formato ilegible, que sólo puede ser codificado por quien tenga la clave de descifrado. Este proceso garantiza que los datos sean ilegibles si se interceptan.

Manipulación de datos:

En casi todos los casos, los datos sin procesar requieren preprocesamiento y transformación antes de poder utilizarlos para construir un modelo. La conservación de datos (2) y el etiquetado (3) son esenciales para mantener la confiabilidad y usabilidad de los datos. Por lo tanto, la forma en que se manipulan los datos puede introducir un riesgo de distorsionar los resultados. El atacante podría, por ejemplo, manipular las etiquetas de una fracción de los datos de entrenamiento.

Esto puede comprometer la integridad y precisión del modelo, y es una preocupación para los modelos utilizados para la toma de decisiones en entornos BPx (calidad del producto y seguridad del paciente/consumidor). Las acciones que podrían mitigar este riesgo incluyen auditar cambios, cifrar datos en reposo y en tránsito y controles de acceso sólidos.

(2) Curación: recopilación, limpieza, organización y conservación de datos.

(3) Etiquetado: implica tareas como identificar datos sin procesar (imágenes, archivos de texto, videos, entre otros) y asociar una o más etiquetas informativas que brinden contexto, permitiendo que un modelo de aprendizaje automático (ML) aprenda de estos datos.

Linaje de datos:

Los datos pueden provenir de múltiples fuentes y sufrir múltiples transformaciones a lo largo de su ciclo de vida. La transparencia de los datos y los requisitos de uso en la formación de IA son importantes para la gestión de riesgos. Para cumplir con los requisitos regulatorios, las industrias altamente reguladas deben garantizar una visibilidad y trazabilidad claras de los datos utilizados para la IA. El linaje automático (seguimiento de flujos y trazabilidad de datos) le permite crear rastros automáticos de flujo de datos, por ejemplo, con fines de auditoría. Imagine un escenario en el que es necesario eliminar datos confidenciales y no es posible identificar qué aplicaciones consumen esos datos.

Seguridad de datos

Los datos son el aspecto más importante de los sistemas de IA porque proporcionan la base sobre la que se construyen las aplicaciones de IA. La seguridad de los datos es fundamental e igualmente importante para garantizar la seguridad de los algoritmos de aprendizaje automático. Se utilizan cada vez más nuevas tecnologías, incluidas infraestructuras de nube y modelos de servicios, lo que amplía la cartera y el alcance.

Probablemente ha escuchado términos como Infraestructura como servicio (IaaS), Plataforma como servicio (PaaS) y Software como servicio (SaaS). Estos modelos de servicio se denominan colectivamente XaaS, que es un acrónimo que significa cualquier solución (X) que estará disponible como servicio.

Hay una multitud de otras soluciones que se pueden utilizar para soportar aplicaciones BPx AI relevantes, como DBaaS (base de datos como servicio), FaaS (función como servicio), FDaaS (modelos básicos como servicio), STaaS (almacenamiento como servicio). La computación en la nube introduce flexibilidad en la capacidad de los recursos, pero también introduce nuevos riesgos para las empresas reguladas. Estos riesgos incluyen:

• Menos o ningún control sobre el centro de datos
• Múltiples proveedores trabajando juntos para proporcionar la infraestructura.
• Menos control sobre la infraestructura
• Menos control sobre los datos
• Menos control sobre los servicios aplicados
• Los datos y sistemas están fuera de la red de las empresas.

La necesidad de mantener la seguridad del producto y del paciente debe ser central en el proceso de selección de proveedores. Es necesario evaluar y gestionar los riesgos, y esta evaluación puede variar ampliamente entre proveedores de XaaS. Se debe considerar el conocimiento de las regulaciones BPx de un proveedor de XaaS.

Si quiere saber más sobre las responsabilidades de los proveedores haga clic aqui.

Control de infraestructura de TI

Se deben verificar varios aspectos importantes para verificar el cumplimiento de la calificación de infraestructura de TI y OT:

Gestión de control de cambios
Gestión de configuración
Gestión de seguridad
Gestión de servidores
Gestión de red
Gestión de incidentes y problemas
Helpdesk (también conocida como Helpdesk de servicio en ITIL®)
Copia de seguridad, restauración y archivo
Recuperación ante desastres
Monitoreo del desempeño
Gestión de Proveedores
Seguro de calidad

Cuando un proveedor externo aloja o gestiona algunos o todos los aspectos de una nube regulada o una infraestructura de TI, varios componentes del Sistema de Gestión de Calidad (QMS) deben someterse a una evaluación. Estos incluyen:

Manual de Calidad
Evaluación de riesgos
Documento que aclara cómo la empresa aborda la privacidad de los datos.
Gestión y monitoreo del centro de datos, si corresponde
Gestión de cambios y configuración
Plan de recuperación de desastres
Control de documentos
Procedimiento de formación
Procedimiento de Auditoría Interna
Respuesta de emergencia
Copia de seguridad, restauración y archivo

Temas clave que deben considerarse en proyectos de calificación de infraestructura de TI y OT para aplicaciones AI BPx relevantes

A continuación, presentamos un ejemplo de los 10 principales escenarios de riesgo que se deben considerar en un Análisis de Riesgo Funcional durante la Calificación de Infraestructura de TI y/u OT. Naturalmente, también es necesario incluir otros riesgos para garantizar la solidez del proceso de calificación.

Acceso de control insuficiente;
Clasificación de datos faltantes;
Mala calidad de los datos;
Almacenamiento ineficaz;
Monitoreo de datos faltantes;
Cifrado ineficaz;
Falta de control de versiones de los datos;
Linaje de datos insuficiente;
Falta de confiabilidad de los datos;
Datos legales: necesidad y capacidad de ML para “eliminar” datos específicos debido a la LGPD.

Este y otros escenarios, incluido el ciclo de vida completo de la infraestructura y las aplicaciones de IA, están cubiertos en el software de validación GO!FIVE®.

GO!FIVE® es una plataforma de software especializada diseñada para la validación de sistemas, infraestructura, servicios públicos, limpieza, equipos y procesos, apoyando diversas actividades de validación y calificación a través de métodos ágiles y digitales.

Ofreciendo amplio contenido y funcionalidades avanzadas, permite la validación integrada de sistemas de IA y tecnologías tradicionales, así como la calificación de infraestructura de forma fluida.

Ciclo de Calificación de Infraestructura TI y OT

El propósito de este artículo es consolidar los principales entregables que deben preverse en un proyecto de Calificación de Infraestructura de TI y OT.

Categorizar el sistema según ISPE GAMP®5 puede respaldar el desarrollo de la estrategia de calificación de manera adecuada.

Nota: ISPE® (Sociedad Internacional de Ingeniería Farmacéutica) desarrolló la Guía GAMP (Buenas prácticas de fabricación automatizada) para guiar a la comunidad de ciencias biológicas en el desarrollo de validaciones/calificaciones sólidas.

Este contenido no pretende definir la estrategia, sin embargo, aquí hay un resumen que puede ayudar a guiar sus pasos hacia una buena calificación de infraestructura:

Plan de Calificación:

Generalmente incluye responsabilidades, actividades del ciclo de vida, entregables, revisiones y aprobaciones necesarias, descripción general de la Infraestructura de TI y sus componentes, necesidades de capacitación, evaluación inicial de riesgos, etc.

Especificaciones y diseño:

Puede incluir requisitos y especificaciones para servidores y periféricos (hardware, sistema operativo, disponibilidad, almacenamiento), clientes¹, red, herramientas de diagnóstico y soporte, bases de datos, sala de servidores y configuraciones de servicios en la nube.

¹ los clientes brindan a los usuarios acceso a recursos y servicios compartidos (por ejemplo, servidores de archivos, impresoras).

Análisis de riesgos:

La evaluación de riesgos suele ser un proceso iterativo que se lleva a cabo durante la planificación y especificación a medida que se obtiene más información. Este documento busca relevar escenarios de riesgo, efectos en el peor de los casos, determinar la severidad, probabilidad y detectabilidad del riesgo para medir su prioridad y proponer las respectivas mitigaciones/controles.

Protocolo, script e informe de prueba:

Puede verificar la instalación, integración del sistema, evaluación de proveedores, verificación de documentación (por ejemplo: arquitectura del sistema, manuales de operación, diagrama de red, lista de cables, etc.), condiciones ambientales (por ejemplo: sala de servidores), red, conectividad, configuración de seguridad, evaluación de firewall, antivirus, sistema operativo, respaldo y recuperación, configuración de servicios en la nube, entre otros;

Matriz de Trazabilidad:

Las pruebas deben ser trazables a requisitos y riesgos cuando corresponda.

Informe de calificación:

Tras la ejecución exitosa de las especificaciones de instalación y operación y el cierre de cualquier problema, se debe redactar un informe que confirme que todas las actividades especificadas se han completado con éxito, así como que todos los procesos críticos estén descritos e implementados. Generalmente incluyen información sobre desviaciones/incidentes abiertos y referencias sobre cómo se mantendrá la calificación.

Aproveche nuestra experiencia

A través de la experiencia de varios proyectos realizados, FIVE ha creado una base de datos de conocimiento que se actualiza constantemente.

Brindamos una solución completa con expertos y software para respaldar proyectos en cualquier parte del mundo.

Software SaaS para todas las disciplinas de validación y calificación (digital y ágil), incluido el proyecto de calificación de infraestructura de TI u OT
Especialistas

Si quiere saber más sobre nuestros servicios: haga clic aqui

Sobre el autor:

Lílian Ribeiro es ingeniera química, tecnóloga en sistemas biomédicos, posgraduada en Sistemas Integrados de Gestión y actualmente cursando un MBA en Ciencia de Datos y Analítica de Negocios. Tiene más de una década de experiencia técnica y comercial en las industrias alimentaria, farmacéutica y sanitaria. Como defensora de la validación sin papel, le apasiona introducir la eficiencia y la innovación en las empresas de ciencias biológicas. La amplia experiencia de Lílian es fundamental en proyectos de validación y calificación, abarcando VLMS, ERP, EQMS, automatización (PW) y calificación de infraestructura de TI.

Sobre el revisor:

Silvia Martins es ingeniera eléctrica con dos décadas de experiencia en los sectores farmacéutico, biotecnológico y de dispositivos médicos. Ha recibido capacitación en GAMP5 y FDA 21 CFR Parte 11 en Inglaterra, validación de SAP® en Alemania y tiene experiencia en integridad y gobernanza de datos adquirida en Dinamarca. Como directora ejecutiva y cofundadora de FIVE Validation, una empresa comprometida con la simplificación de los procesos de cumplimiento, Silvia se dedica a agilizar y simplificar los procedimientos de los clientes manteniendo al mismo tiempo una alta solidez y cumplimiento.

Referências:

ISPE GAMP® Good Practice Guide: IT Infrastructure Control and Compliance (Second Edition).

GAMP® é um conjunto de guias que tem seus direitos intelectuais reservados à ISPE®. Disponível para aquisição no site https://ispe.org/.