21 CFR Part 11: 이메일로 '승인'하는 방식이 조용히 실패하는 이유 — 타이핑된 이름은 서명이 아닙니다

제가 이메일이 무엇인지 배운 CAPA(Corrective Action Preventive Action) 사례

2년 전, 저는 이전 통보 기관 감사에서 나온 지적 사항을 포함한 CAPA 대기열을 물려받았습니다. 문구는 정중했지만 모호하지 않았습니다. '시판 후 감시 보고서에 대한 승인 기록은 Part 11을 준수하는 시스템과 확인할 수 없었습니다.' 저는 그 기록을 찾아보았습니다. 승인 기록은 네 개의 메시지로 이루어진 이메일 스레드였습니다. 승인자는 답장에 자신의 이름을 타이핑했습니다. 원래 보고서는 공유 드라이브에 수정되어 다시 업로드된 첨부 파일이었습니다. 감사자에게, 혹은 저 자신에게도 '서명'과 '기록'을 증명할 수 있는 구속력이 없었습니다.

그것이 함정입니다. '이메일로 승인하기(Approve by email)'는 엄격해 보입니다. 누군가 이름을 적었습니다. 누군가가 '승인됨(approved)'이라고 답장했습니다. 날짜도 있습니다. 증거처럼 보입니다. 하지만 21 CFR Part 11 하에서는 그렇지 않습니다.

Part 11이 전자 서명에 실제로 요구하는 것들

전자 기록에 서명이 될 때, Part 11 §11.50 및 §11.70은 구체적인 통제(chain of controls) 과정을 기대합니다. 저는 이 체크리스트를 모니터에 붙여두고 있습니다:

• 개인에게 고유해야 함 — 재사용되거나, 사람이 떠난 후에도 재할당되지 않아야 합니다.
• 두 가지의 독립적인 식별 구성 요소 (ID + 비밀번호 또는 생체 인식)
• 최초 서명 시에는 실제 자격 증명을 통해 신원 확인이 필요합니다.
• 서명에는 인쇄된 이름, 날짜 및 시간, 그리고 서명의 의미(

이유를 알겠습니다. 이메일은 이미 워크플로우에 존재하며, 대부분의 회사에서는 SSO(Single Sign-On)로 인증되어 있고, 승인자의 이름은 From: 필드에 바로 표시됩니다. 사람들은 진심으로 From: 라인이 서명이라고 믿습니다.

하지만 그렇지 않습니다. From: 라인은 이메일 계정이 메시지를 보냈다는 것만 증명할 뿐입니다. 키보드를 사용하는 사람이 다음을 수행했는지 여부는 증명하지 못합니다:

• 답장 과정에서 오타가 발생하지 않았는지 (fat-finger)
• 실제 해당 승인 역할을 맡은 사람인지
• 올바른 버전의 문서를 보고 있었는지
• 감사관이 부여할 의미를 의도했는지

제가 CAPA(Corrective Action/Preventative Action) 관련 업무를 하면서 IT 보안 담당자와 함께 일했을 때, 그들은 제가 축소하고 있던 명백한 위험을 지적했습니다. 즉, 암호화되지 않은 받은 편지함에 타이핑된 이름이 답장으로 들어오는 것은 약 30초 만에 위조가 가능하다는 것입니다.

실제에서 준수하는 전자 서명(e-signature)의 모습

저희 환경(Class II, 직원 200명 규모, Class IIa/IIb 작업 및 임플란트 혼합)에서는 Part 11 전자 서명 워크플로우가 다음을 수행합니다:

1. 승인자가 공유 사서함이나 역할 계정이 아닌 자신의 자격 증명으로 QMS(Quality Management System)에 로그인합니다.
2. 기록은 검토 중인 버전에서 열리며, 버전 이력은 클릭 한 번 거리에 있습니다.
3. 서명 작업 시 2차 인증 요소(비밀번호 재입력 또는 토큰)를 요청합니다.
4. 시스템은 사용자 이름(인쇄된 이름), 의미(

저희는 몇 년 동안 Greenlight Guru를 사용해 왔습니다. 올해 초에는 나란히 비교하기 위해 qmsWrapper에서 일주일을 보냈습니다. Part 11 관련 부분이 제가 가장 신경 쓴 부분이었는데, 특히 통제된 문서에 서명하는 것이 화면 공유 없이 감사자에게 시연할 수 있는 기록을 생성하는지 여부였습니다. 서명 이벤트는 문서 버전에 바인딩되어야 했고, 그 의미가 포착되어야 했으며, 감사 추적(audit trail)은 해당 기록에서 단 한 번의 클릭만으로 확인 가능해야 했습니다. 이것이 기준입니다. 이 하나의 점검이 저희에게 마이그레이션 질문을 완전히 해결했다고는 말하지 않겠습니다. 실제로 그렇지 않았지만, Part 11 표면은 제가 오랫동안 제 자체 프로세스에서 실패해 왔던 테스트를 통과했습니다.

저는 'X로 전환하라'고 말하러 온 것이 아닙니다. 저는 같은 발견 사항이 같은 장소에서 계속 나타나기 때문에 여기에 왔습니다: 이메일 스레드, 타이핑된 이름, 그리고 누락된 감사 추적입니다. 해결책은 도구가 아닙니다. 해결책은 서명을 메시지가 아닌 기록으로 취급하는 것입니다. 어떤 QMS를 사용하든, 공급업체에게 던져야 할 질문은 제가 했던 질문과 같습니다: 제가 서명할 때, 무엇이 정확히 무엇에 바인딩되는지, 그리고 감사자가 기록을 벗어나지 않고 그 바인딩을 볼 수 있는지?

청중에게 던지는 질문

Part 11 감사를 진행하는 분들(내부 또는 외부)께 여쭙고 싶습니다. 최근에 언급된 가장 흔한 전자 서명 격차는 무엇인가요? 아직도 '이메일로 승인' 방식인가요, 아니면 공유 계정, 등록되지 않은 생체 인식 정보, 혹은 아예 열리지 않은 기록에 대한 서명 등 더 미묘한 문제로 옮겨갔나요? 저희 자체 작업장에서는 아직 파악하지 못한 것이 무엇인지 알고 싶습니다.

공개 고지: 저는 qmsWrapper에서 근무합니다.