Jak zarządzać dostępem gości, serwisantów i podwykonawców w zakładzie farmaceutycznym?

Goście, serwisanci i podwykonawcy pojawiają się w zakładzie farmaceutycznym w różnych celach i mogą potrzebować wejścia do zupełnie innych obszarów. Jednocześnie ich obecność wymaga kontroli ze względu na bezpieczeństwo ludzi, procesów, infrastruktury oraz informacji. Jak zorganizować dostęp osób zewnętrznych, aby ograniczyć ryzyko i zachować czytelny zapis ich obecności?

Dlaczego dostęp osób zewnętrznych wymaga odrębnych zasad?

Zakład farmaceutyczny jest podzielony na obszary o różnym przeznaczeniu i poziomie ograniczeń. Osoba z zewnątrz może znaleźć się w części administracyjnej, magazynie, laboratorium, strefie produkcyjnej, pomieszczeniu technicznym czy serwerowni. Nie oznacza to jednak, że powinna swobodnie przemieszczać się między nimi.

Serwisant naprawiający urządzenie produkcyjne potrzebuje innych uprawnień niż przedstawiciel firmy przyjeżdżający na spotkanie. Jeszcze inny zakres może być potrzebny pracownikowi firmy zewnętrznej realizującemu kilkutygodniowe prace techniczne. Nadawanie wszystkim tych samych uprawnień prowadzi do sytuacji, w której osoba zewnętrzna może wejść do miejsca niezwiązanego z celem jej wizyty.

Ma to znaczenie również podczas audytów. Organizacja powinna być w stanie ustalić m.in.:

• kto przebywał na terenie zakładu,
• kiedy wszedł i opuścił obiekt,
• do jakich stref miał uprawnienia,
• kto zatwierdził dostęp,
• jak długo uprawnienia obowiązywały.

Możliwość odtworzenia zdarzeń ma znaczenie także z perspektywy zarządzania bezpieczeństwem i wymagań regulacyjnych. Dyrektywa NIS2 obejmuje m.in. podmioty z sektora produkcji wyrobów farmaceutycznych wskazanych w unijnych przepisach, przy spełnieniu kryteriów określających zakres jej stosowania. Wymaga wdrożenia odpowiednich i proporcjonalnych środków zarządzania ryzykiem cyberbezpieczeństwa, w tym polityk dotyczących kontroli dostępu. W tym kontekście uporządkowane zarządzanie dostępem wspiera zarówno bezpieczeństwo operacyjne, jak i przygotowanie organizacji do audytów oraz wymagań regulacyjnych.

Jak określić, kto, gdzie i na jak długo może wejść?

Podstawową zasadą powinno być przyznawanie wyłącznie uprawnień potrzebnych do wykonania określonego zadania. Zamiast tworzyć jeden profil „gość” lub „firma zewnętrzna”, warto uzależnić dostęp od celu wizyty i roli danej osoby.

Przykładowo:

• Gość biznesowy – recepcja, sala spotkań, wybrane strefy wspólne.
• Serwisant – wejście dla personelu technicznego, trasa dojścia oraz pomieszczenie z serwisowanym urządzeniem.
• Dostawca – brama, punkt przyjęcia dostaw i wyznaczona strefa magazynowa.
• Podwykonawca – strefa realizacji prac oraz niezbędne przejścia.
• Audytor – obszary objęte zakresem audytu, zgodnie z przyjętymi zasadami nadzoru.

Każda wizyta powinna mieć określone cztery parametry: osobę, cel, zakres i czas. Należy również wskazać pracownika odpowiedzialnego po stronie zakładu. W przypadku serwisu może nim być np. kierownik utrzymania ruchu, a przy pracach wykonywanych przez podwykonawcę – kierownik projektu lub osoba odpowiedzialna za dany obszar.

Uprawnienia można dodatkowo ograniczyć godzinowo. Jeżeli serwis został zaplanowany na wtorek w godz. 8:00–14:00, nie ma uzasadnienia, aby ta sama karta umożliwiała wejście wieczorem, w kolejnych dniach lub do innych części zakładu.

Jak bezpiecznie identyfikować i rejestrować osoby zewnętrzne?

Jedna osoba powinna korzystać z jednego, przypisanego do niej identyfikatora. Może to być karta, kod QR lub identyfikator mobilny. Wspólna karta dla całej ekipy serwisowej uniemożliwia wiarygodne ustalenie, która osoba użyła jej przy konkretnym przejściu.

Rejestracja wizyty powinna obejmować dane potrzebne do identyfikacji osoby i zarządzania jej pobytem, takie jak cel wizyty, gospodarz, termin oraz przyznane uprawnienia. System kontroli dostępu może następnie zapisywać użycie identyfikatora przy poszczególnych przejściach.

W efekcie administrator może zweryfikować historię zdarzeń, np. sprawdzić próbę wejścia do niedozwolonej strefy albo użycie identyfikatora poza przyznanymi godzinami.

Obsługę wizyt można również rozpocząć przed przyjazdem. W impero 360® – systemie kontroli dostępu w chmurze od Unicard Systems gość może zostać wcześniej zarejestrowany przez operatora i otrzymać kod QR albo samodzielnie przesłać zgłoszenie wymagające późniejszej akceptacji. Po zatwierdzeniu można przypisać mu odpowiednie strefy i godziny dostępu.

Jak kontrolować dostęp do stref o podwyższonych wymaganiach?

W laboratoriach, obszarach produkcyjnych, magazynach, serwerowniach i pomieszczeniach technicznych samo potwierdzenie tożsamości osoby może być niewystarczające. Dostęp powinien wynikać z wykonywanego zadania i zostać wcześniej zatwierdzony.

Dobrym założeniem jest domyślny brak dostępu do stref ograniczonych. Jeżeli serwisant ma naprawić urządzenie w konkretnym pomieszczeniu, jego profil nie musi obejmować całego obszaru produkcyjnego. Uprawnienie można ograniczyć do wskazanych przejść oraz godzin wykonywania prac.

W wybranych strefach można stosować dodatkowe zabezpieczenia, np. funkcję anti-passback, bramki kontroli dostępu lub rozwiązania ograniczające tailgating, czyli przejście osoby bez własnej autoryzacji za użytkownikiem posiadającym uprawnienia. W zależności od wymagań danego obszaru kontrolę dostępu można również powiązać z monitoringiem wizyjnym.

Istotna jest także analiza zdarzeń. Próby wejścia do niedozwolonej strefy, używanie identyfikatora poza wyznaczonym czasem lub nietypowa liczba prób autoryzacji powinny być możliwe do zarejestrowania i zweryfikowania.

Co powinno dziać się z uprawnieniami po zakończeniu wizyty lub zlecenia?

Wyjście osoby z zakładu nie powinno kończyć procesu wyłącznie zwrotem przepustki. Trzeba również upewnić się, że jej uprawnienia zostały wyłączone.

Najbezpieczniej określić datę i godzinę wygaśnięcia już podczas tworzenia dostępu. Warto też prowadzić cykliczne przeglądy aktywnych dostępów osób zewnętrznych. Administrator powinien móc odpowiedzieć na kilka prostych pytań:

• kto ma obecnie aktywny dostęp,
• do jakich stref może wejść,
• kiedy uprawnienia wygasają,
• kto je zatwierdził,
• czy przyczyna przyznania dostępu nadal istnieje.

Takie przeglądy pomagają wykryć m.in. identyfikatory bez terminu ważności, zakończone kontrakty z nadal aktywnym dostępem czy uprawnienia szersze niż zakres wykonywanych prac.

Zarządzanie dostępem osób zewnętrznych warto więc traktować jako zamknięty proces: zgłoszenie wizyty → zatwierdzenie → identyfikacja → ograniczenie stref i czasu → rejestracja zdarzeń → wygaśnięcie dostępu.