Cloud Computing: Welche Cloud-Modelle gibt es und wo finden diese Anwendungen im GxP-Umfeld statt?

Auch in der pharmazeutischen Industrie geht der Trend in Richtung Cloud Computing. Finanzielle, aber auch organisatorische Vorteile sprechen für die Cloud. Gleichzeitig sollten aber auch potentielle Gefahren und regulatorische Einschränkungen beachtet werden. Neun Experten aus der Pharmaindustrie und von Überwachungsbehörden beantworten einen umfangreichen Fragenkatalog aus den folgenden GxP-relevanten Themenkreisen:

• Grundlagen der Cloud Computing Technologie
• Regulatorische Grundlagen und Erwartungen von Inspektoren
• Kunden-Lieferanten-Beziehung
• Anforderungen an den Cloud Service Provider (CSP)
• Anforderungen an die Lieferantenbewertung und Lieferantenaudits
• Qualifizierungs-/Validierungsanforderungen

Frage 2: Welche Cloud-Modelle gibt es und wo finden diese Anwendung im GxP-Umfeld statt? - Themenkreis Grundlagen der Cloud Computing Technologie

Grundsätzlich ist die Klassifizierung von Cloud-Modellen nicht einheitlich geregelt. Vom NIST (National Institute of Standards and Technology) wurde ein sogenanntes "Deployment Model" formuliert, das eine weit verbreitete Klassifizierung beschreibt (1):

• Private Cloud
  In einer Private Cloud wird die Cloud-Infrastruktur nur für eine Institution betrieben. Sie kann von der Institution selbst oder einem Dritten organisiert und geführt werden und kann dabei im Rechenzentrum der eigenen Institution oder einer fremden Institution stehen.
• Public Cloud
  Von einer Public Cloud wird gesprochen, wenn die Services von der Allgemeinheit oder einer großen Gruppe, wie beispielsweise einer ganzen Industriebranche, genutzt werden können; diese Services werden vom jeweiligen Cloud Service Provider in seinen Einrichtungen/Rechenzentren zur Verfügung gestellt.
• Community Cloud
  In einer Community Cloud wird die Cloud-Infrastruktur von mehreren Institutionen geteilt, die ähnliche Interessen haben (bspw. bzgl. Sicherheit, Compliance). Eine solche Cloud kann von einer dieser Institutionen oder einem Dritten betrieben werden.
• Hybrid Cloud
  Werden mehrere Cloud Infrastrukturen, die für sich selbst eigenständig sind, über standardisierte Schnittstellen gemeinsam genutzt, wird dies Hybrid Cloud genannt.

Während bei einer Private Cloud, bei der meist Anbieter und Nutzer identisch sind, der Nutzer die komplette Kontrolle über die genutzten Services hat, überträgt der Nutzer bei einer Public Cloud die Kontrolle an den Cloud Service Anbieter.

Die oben genannten Definitionen decken aber nicht alle Varianten von Cloud Angeboten ab, was zu weiteren Definitionen wie "Virtual-Private-Cloud", etc. führt. Ein weitere gängige Unterscheidung von Cloud-Modellen ist die Einteilung nach "Service Models" (SaaS, PaaS, IaaS) - siehe Frage 1.

Grundsätzlich werden alle "Deployment Model" bzw. "Service Model" auch in der GxP-regulierten Industrie genutzt. Hierbei orientiert sich die Auswahl des Cloud Modells in erster Linie an der Kritikalität des vom Cloud Service unterstützten GxP Prozess und der dabei verarbeiteten Daten. So werden bspw. Tools zur Unterstützung des Schulungsprozesses, sogenannte Learning Management Systems (LMS) häufig als Public Cloud abonniert. Demgegenüber werden sehr sensible Anwendungen wie bspw. die Verwaltung des Trial Master Files höchstens in der Form eines Community Cloud Services genutzt.

Unabhängig von der Kritikalität von Prozessen und Daten wird durch die besonderen Eigenheiten des unterstützten Prozesses, der Einsatz von Community- oder Private Cloud Angeboten unterstützt: Je spezieller ein Prozess ist - bspw. das Führen eines Trail Master Files - desto kleiner und spezieller wird der Kreis der potenziellen Abonnenten.

Die Experten

Frank Behnisch, CSL Behring GmbH, Marburg
Klaus Feuerhelm, ehem. Inspektor beim Regierungspräsidium Tübingen
Oliver Herrmann; Q-FINITY Quality Management, Dillingen
Eberhard Kwiatkowski, PharmAdvantageIT GmbH, Neuschoo
Stefan Münch, Körber Pharma Consulting, Karlsruhe
Yves Samson, Kereon AG, Basel
Dr. Wolfgang Schumacher, ehem. F. Hoffmann-La Roche AG, Basel
Dr. Arno Terhechte, Bezirksregierung Münster
Sieghard Wagner, Chemgineering Germany GmbH, Stuttgart

Quellen: (1) The NIST Definition of Cloud Computing, Special Publication 800-145, Sept. 2011