실험실 HPLC 소프트웨어에 로그인할 때, 우리 팀이 모두 같은 아이디와 비밀번호를 함께 쓰고 있지는 않으신가요? 편하다는 이유로 관행처럼 굳어진 이 습관이, 실사(Inspection)에서 가장 먼저 발목을 잡는 지적 사항이 됩니다. 오늘은 GMP 데이터 완전성(Data Integrity)의 출발점인 접근권한 관리(Access Control)를 다뤄보려 합니다. 접근권한 관리가 무엇인지, 공유계정이 왜 문제가 되는지, 그리고 QC/QA 실무와 면접에서 이 개념을 어떻게 풀어야 하는지까지 순서대로 정리해 드리겠습니다.
접근권한 관리(Access Control)란 무엇인가요?
접근권한 관리란 “누가, 무엇을, 어디까지 할 수 있는가”를 시스템 차원에서 통제하는 관리 체계입니다. 쉽게 말해 시험자는 데이터를 생성·입력하고, 검토자는 승인하고, 관리자(Administrator)는 설정을 바꾸는 식으로 역할에 맞는 권한만 부여하는 것이죠.
이것이 왜 중요할까요? 데이터 완전성의 핵심 원칙인 ALCOA+ 중 첫 글자인 귀속성(Attributable), 즉 “이 데이터를 누가 만들었는가”가 접근권한에서 시작되기 때문입니다. 누가 입력했는지 특정할 수 없다면, 그 데이터는 아무리 정확해도 신뢰받지 못합니다. 접근권한 관리는 점검 기록(Audit Trail)이 제대로 작동하기 위한 전제 조건이기도 합니다.
공유계정이 왜 문제가 되나요?
공유계정(Shared Login)은 여러 사람이 하나의 계정을 함께 사용하는 것을 말합니다. FDA와 유럽 규제기관이 발행하는 경고서한(Warning Letter)에서 데이터 완전성 관련 지적의 단골 항목이 바로 이 공유계정입니다.
이유는 단순합니다. A와 B, C가 같은 계정으로 로그인하면, 점검 기록에는 세 사람의 행위가 모두 동일한 사용자 ID로 남습니다. 그러면 시스템은 “누가 이 결과를 지웠는지”, “누가 적분 파라미터를 바꿨는지”를 구분하지 못하죠. 귀속성이 무너지는 순간입니다.
▶ 그럼 계정을 개인별로만 나누면 끝나는 걸까요? 아닙니다. 개인 계정을 부여하더라도, 시험자에게 관리자 권한까지 함께 주면 시험자가 원본 데이터(Original Data)를 삭제하거나 시스템 시각을 변경할 수 있습니다. 계정 분리와 권한 분리는 별개의 문제라는 점을 꼭 기억하시기 바랍니다.
접근권한 관리의 4가지 핵심 원칙
실무에서 접근권한을 설계할 때 놓치지 말아야 할 네 가지 축이 있습니다.
① 개인 계정 원칙: 시스템을 사용하는 모든 인원에게 고유한 개인 계정을 부여합니다. 공유계정은 원칙적으로 금지이며, 부득이한 경우 사유와 통제책을 문서화해야 합니다.
② 권한 분리(Segregation of Duties): 데이터를 생성하는 사람과 그 데이터를 승인·삭제할 수 있는 사람을 분리합니다. 특히 시험 데이터를 다루는 QC 시험자에게는 관리자 권한을 주지 않는 것이 원칙입니다. 관리자 권한은 시험 업무와 독립된 인원(예: IT나 시스템 관리 담당)에게 부여합니다.
③ 다중 인증(MFA, Multi-Factor Authentication): 아이디·비밀번호에 더해 추가 인증 수단을 요구하는 방식입니다. 2026년 개정이 임박한 EU GMP Annex 11 초안은 중요한 시스템에 대해 다중 인증을 명시적으로 요구하는 방향으로 강화되고 있어, 앞으로 선택이 아닌 필수가 될 전망입니다.
④ 주기적 권한 검토(Periodic Access Review): 부여된 권한이 여전히 업무에 맞는지 정기적으로 점검합니다. 부서 이동자·퇴사자의 계정이 살아 있는 것은 대표적인 지적 사항입니다.
실무 예시: 공유 관리자 계정이 부른 데이터 완전성 일탈
구체적인 상황으로 그려보겠습니다. 어느 QC 실험실에서 HPLC 5대를 한 대의 서버 소프트웨어로 관리하는데, 시험자 8명이 모두 동일한 ‘QC_admin’ 계정 하나를 공유하고 있었다고 가정해 봅시다.
정기 시험 중 함량 결과가 기준일탈(OOS, Out of Specification)로 나왔습니다. 그런데 어느 시험자가 재적분(reintegration)을 수행해 결과를 기준 안으로 바꿔 저장했습니다. 점검 기록에는 ‘QC_admin’이라는 이름만 남았고, 실제 누가 언제 무슨 근거로 재적분했는지는 아무도 특정할 수 없었습니다.
이 경우 문제는 두 가지로 번집니다. 첫째, 원래의 기준일탈 결과에 대한 실험실 조사와 시정조치(Corrective Action)가 제대로 이뤄졌는지 증명할 수 없습니다. 둘째, 공유계정 때문에 귀속성이 무너져 해당 시스템에서 나온 모든 데이터의 신뢰성이 의심받습니다. 결국 단순한 접근권한 설정 하나가 배치 전체의 품질 판정으로 확대되는 것이죠. 이것이 규제기관이 접근권한을 데이터 완전성의 ‘입구’로 보는 이유입니다.
QC/QA 실무·취업에서 접근권한을 어떻게 다루나요?
취업을 준비하시는 분이라면 접근권한 관리를 추상적인 IT 개념으로만 외우지 말고, “귀속성 → 점검 기록 → 데이터 완전성”으로 이어지는 흐름 속에서 설명할 수 있어야 합니다.
▶ 면접에서 “데이터 완전성을 확보하기 위해 무엇부터 점검하겠느냐”는 질문을 받으면 어떻게 답할까요? “공유계정 사용 여부와 권한 분리 상태를 먼저 확인하겠습니다. 시험자에게 관리자 권한이 부여돼 있다면 원본 데이터 변경 위험이 있으므로, 계정을 개인별로 분리하고 관리자 권한은 독립된 인원에게 이관하겠습니다”라고 답한다면, 개념과 실무를 함께 이해하고 있다는 인상을 줄 수 있습니다.
실무 담당자라면 신규 시스템을 도입할 때(밸리데이션 단계)부터 사용자 권한 매트릭스(User Access Matrix)를 문서로 정의하고, 변경관리(Change Control) 절차에 따라 권한 변경 이력을 남기는 습관을 들이시기 바랍니다. 권한 하나를 바꾸는 것도 GMP에서는 관리 대상 변경입니다.
핵심 요약
접근권한 관리는 데이터 완전성의 가장 앞단에 있는 통제입니다. 공유계정을 없애고 개인 계정을 부여하는 것, 시험자와 관리자의 권한을 분리하는 것, 다중 인증과 주기적 권한 검토를 운영하는 것 — 이 네 가지가 핵심입니다. 접근권한이 무너지면 귀속성이 무너지고, 귀속성이 무너지면 아무리 정확한 데이터도 신뢰받지 못한다는 점을 기억하시기 바랍니다.
점검 기록이 어떻게 작동하는지 더 알고 싶으시다면 점검 기록(Audit Trail) 개념을 정리한 이전 포스팅을, 접근권한 요구가 어떻게 강화되고 있는지는 EU GMP Annex 11 개정 동향 포스팅을 함께 참고하시면 됩니다. 데이터가 생성되어 폐기되기까지의 전체 흐름은 데이터 라이프사이클 관리 포스팅에서 이어집니다.
규제 원문 기준을 직접 확인하고 싶으신 분은 FDA의 Data Integrity and Compliance With Drug CGMP 가이던스를 참고하시기 바랍니다. 개인 계정·권한 분리·점검 기록에 대한 규제기관의 기대 수준이 명시돼 있습니다.