计算机化系统中关于权限管理，是否一定要进行三级权限管理？有没有哪份法规指南详...

Curryc1q

计算机化系统中关于权限管理，是否一定要进行三级权限管理？有没有哪份法规指南详细介绍？求大神们指导！

依然星期三

好像没有明确规定三级，一般最少也要两级

Lily_VIP

说是：
职责分离（Segregation of Duties, SoD）：将系统中的关键操作（如数据录入、审核、系统管理）分配给不同角色，避免单一角色拥有过多权限。
最小权限（Least Privilege Principle）：每个用户仅获得完成其职责所需的最低权限，禁止超额授权。

鬼使神差

没有法规明确要求必须三级。具体的权限管理模式应根据系统的实际需求、风险程度来设置。

琦瑞福生

药品记录与数据管理要求  第二十二条  电子记录应当实现操作权限与用户登录管理，至少包括：
一   建立操作与系统管理的不同权限，业务流程负责人的用户权限应当与承担的职责相匹配，不得赋予其系统（包括操作系统、应用程序、数据库等）管理员的权限；

duaaaaaa

法规有要求必须每个人拥有单独账号吗，现在公司要求配液罐每个人都有有一个账号，12个人，30多个配液罐，感觉矫枉过正了，个人认为都用一个权限比较低的公用账号就好了。

954798947

duaaaaaa 发表于 2025-7-3 13:22
法规有要求必须每个人拥有单独账号吗，现在公司要求配液罐每个人都有有一个账号，12个人，30多个配液罐，感 ...

同问，蹲回复

954798947

duaaaaaa 发表于 2025-7-3 13:22
法规有要求必须每个人拥有单独账号吗，现在公司要求配液罐每个人都有有一个账号，12个人，30多个配液罐，感 ...

同问，蹲回复

Curryc1q

duaaaaaa 发表于 2025-7-3 13:22
法规有要求必须每个人拥有单独账号吗，现在公司要求配液罐每个人都有有一个账号，12个人，30多个配液罐，感 ...

EDQM OMCL - Validation of Computerised Systems中有一段相关描述：
Systems should be accessed only by authorised personnel, using personalised accounts andpassword or equivalent identification method. The use of shared and generic accounts should beavoided to ensure that actions documented in computerised systems can be attributed to a unique individual. Where personal accounts are not available or feasible, combinations of paper andelectronic records should be used to trace actions to the personnel responsible.
即系统权限应限于经过授权的人员，由其使用个人账号和密码或等同的识别方法进入。应避免使用共享和通用账号以确保计算机化系统中所记录的动作可以追溯到唯一身份。