D&T Internet GmbH: Informationssicherheit managen

Für die D&T Internet GmbH hat Braincode Consulting ein produktspezifisches Qualitäts- und Informationssicherheitsmanagement aufgebaut, das anspruchsvolle regulatorische Anforderungen mit den realen Abläufen eines kleinen Entwicklungsteams verbindet. Anlass war eine von D&T entwickelte Anwendung zur Unterstützung klinischer Studienumfragen, für die gegenüber einem Kunden belastbare Nachweise zu Informationssicherheit, Nachvollziehbarkeit und kontrolliertem Betrieb erforderlich waren.

Ziel des Projekts war ein Managementsystem, das gegenüber externen Prüfern auditfähig ist und zugleich im operativen Alltag zuverlässig funktioniert. Dazu wurden die für das konkrete Produkt relevanten Anforderungen systematisch analysiert, risikobasiert bewertet und in die bestehenden Entwicklungs- und Betriebsprozesse integriert.

Als Referenzrahmen dienten regulatorische Anforderungen, einschlägige Leitlinien und bewährte Praktiken der Softwareentwicklung. Besondere Bedeutung hatten dabei EU-GMP-Annex 11 und die EMA-Leitlinie zu computergestützten Systemen und elektronischen Daten in klinischen Prüfungen. Ergänzend wurden Anforderungen und Prinzipien aus ISO 27001 und ISO 9001 berücksichtigt.

Gemeinsam mit dem Entwicklungsteam wurden die erforderlichen Regelungen unmittelbar mit den tatsächlichen Arbeitsabläufen verknüpft. Dies umfasste unter anderem Anforderungsmanagement, Review- und Freigabeprozesse, Release Management, Zugriffssteuerung, sichere Softwareentwicklung, Monitoring, Incident Management, Backup und Recovery sowie Qualifizierung und Training.

Ein zentraler Gestaltungsgrundsatz war dabei die Verhältnismäßigkeit: Regelungen wurden so detailliert ausgestaltet, wie es Risiko, Produkt und Audit erforderten. Gleichzeitig blieb das System schlank genug, um von einem kleinen Entwicklungsteam dauerhaft und verlässlich gelebt werden zu können.

Das anschließende Kundenaudit wurde erfolgreich abgeschlossen. Damit bestätigte sich der Ansatz, regulatorische Sorgfalt, Informationssicherheit und Qualitätsmanagement konsequent mit den operativen Entwicklungsprozessen zu verbinden.

Für D&T Internet entstand so ein risikobasiertes und auditfähiges Managementsystem, das Nachweisfähigkeit schafft, Verantwortlichkeiten klärt und die Grundlage für einen stabilen und kontrollierten Betrieb der Anwendung bildet.