FormsNet 3 概要説明書
1. FormsNet3 の概要（システム概要）
2. FormsNet3 のセキュリティ説明（セキュリティが高いシステムであることを示すため）
3. FormsNet におけるアカウント管理
4. 日本の医療機関からの登録データの取り扱いに関して
1. FormsNet3 の概要（概要説明）：
FormsNet 3.0 は、CIBMTR が現在運用中の、21 CFR Part 11 に準拠した全世界で利用可能な造血細胞移植（HCT）及び細胞治療アウトカムデータ電子収集のためのアプリケーションです。これは安全なウェブベースのアプリケーションであり、ソフトウェアの購入や個々のクライアントのインストールは必要ありません。FormsNet は、データ収集、監査、事象の報告、ドナークリアランスと経過観察、ウェブサービス、およびメッセージ送受信をサポートします。FormsNet
では、リアルタイムデータ検証、エラーメッセージ、およびデータ入力フローの管理を提供しますが、これには質問の有効性・無効性、およびフォーム上のフィールド間における「スマートナビゲーション」が含まれます。また、本システムでは、単独でまたは HCT 前後に用いられた治療を適応するために、順応性のあるデザインを使用して HCT 以外の細胞治療に関する情報を収集します。FormsNet は定期的に更新され、毎月のメンテナンスリリースおよび四半期ごとの改訂とエンハンスメントリリースを行います。

FormsNet 3 概要説明書

FormsNet3 の他に、上記の図表に示したその他のアプリケーションは以下のとおりです：
Integrated Data Warehouse – CIBMTR の内部データのデータ統合プラットフォーム 、米国骨髄バンク（NMDP）データ、および第三者機関データソース。

OBIEE Business Intelligence (BI) Platform – このアプリケーションにより、データ品質プロセスとその他の操作上のニーズを CIBMTR スタッフに内部報告します。

QLIK BI Platform – このアプリケーションでは、FormsNet3 細胞治療データの JDCHCT でのデータダウンロードをサポートします。

2. FN3 のセキュリティ説明
CIBMTRのソフトウェア開発ライフサイクル、および内部ガバナンス・セキュリティ保障プログ
ラムは、連邦システムフレームワークのために国立標準技術研究所（NIST）800‐53セキュリテ
ィおよびプライバシーコントロールと提携します。CIBMTRは、米国政府機関である保健資源事業局（HRSA）が使用した方法と同様のやり方を、有資格の独立した第三者機関である監査法人と共に、年1回のITセキュリティ評価を実施する予定です。これらの評価の完了通知は、要請に応じてJDCHCTに提供することができます。

FormsNet 3 概要説明書
CIBMTR情報システムセキュリティ監視には、以下が含まれます：

ハードウェアおよびソフトウェア在庫品について実施中のメンテナンス。CIT在庫品SOPに、本プロセスの具体的な工程が詳述されています。



ユーザーアカウントとユーザー権限について実施中の管理。アカウント管理SOPに、本プロセスの具体的な工程が詳述されています。



事故報告管理および報告。発生報告SOPに、本プロセスの具体的な工程が詳述されています。



月1回の脆弱性スキャンと定期的補修。脆弱性スキャンSOPに、本プロセスの具体的な工程が詳述されています。

開催中のコンフィギュレーション管理審査委員会会議。コンフィギュレーション管理SOPに、本プロセスの具体的な工程が詳述されています。



年1回の危機管理計画検査。危機管理計画SOPに、本プロセスの具体的な工程が詳述されています。



年1回の事故対応検査。事故対応SOPに、本プロセスの具体的な工程が詳述されています。



年1回の情報システムセキュリティ計画書類の見直しおよび更新。



年1回のセキュリティ意識トレーニング。ルールおよび行動SOPに、本プロセスの具体的な工程が詳述されています。

保護された健康情報（PHI）と細胞治療登録一元管理番号（CRID）
患者の初回 HCT または細胞治療の通知を受けて、CIBMTR は 固有の細胞治療登録一元管理番号（CRID）を作成するために必要な PHI を要請します。CRID は、細胞治療登録一元管理番号（CRID）割付けフォーム（フォーム 2804）を用いて割付けるものとします。CRID を作成するために収集された直接識別情報は、研究目的で治験責任医師に開示されることはありません。
下記の項目は、PHI の収集に関して取組まれてきた重要なセキュリティに関する懸念事項を明示しています。
•CIBMTR は、NMDP とウィスコンシン医科大学（MCW）の造血細胞移植と細胞治療に関する共同研究プログラムです。CIBMTR および NMDP は、Stem Cell Therapeutic Outcomes Database（SCTOD）契約のためのデータの収集と使用の資格において、また HIPAA プライバシー規定への対応に関して、指定された米国公衆衛生当局です。
• PHI を収集する電子システムは、FormsNet3 と呼ばれます。直接識別子を保持しているサーバーは安全であり、転帰データベースとは別に実施されて維持されます。これらのデータへのアクセスは、CIBMTR 内で非常に制限されています。CRID 番号の取得および生成に使用さFormsNet 3 概要説明書
れる電子システムは、HRSA の情報技術局から厳格な認可と承認を受け、連邦データベース内の電子データのセキュリティに関するすべての米国連邦規定（21 CFR Part 11）に準拠しています。
• FormsNet3 を用いた医療機関からの PHI の電子送信は、データを入力するシステムユーザー全員について、二重認証入力要件（OKTA Verify によるログイン・パスワードと複数因子認証）により保護されています。電子送信は、SSL 技術により保護されています。
フォーム 2804 に関する詳しい情報は、 フォーム説明マニュアル（Forms InstructionManual）、またはｅラーニングへのアクセスはこちら（access the eLearning here）.をご覧ください。
3. FormsNet におけるアカウント管理
アカウント所有者は、厳しいパスワードの複雑さとロックアウトの要件、パスワード継続使用期間の要件、アカウント解約の手順、およびユーザー資格報告により、複数因子認証（MFA）で無事に認証して CIBMTR システムにアクセスしなければなりません。手順全体については、アカウント管理 SOP で確認することができます。これらのログイン要件に加えて、FormsNet 3
アプリケーション内のアクセスはユーザーアクセスロールにより管理されています。各ロールには当該ロールに関する特定の機能があり、ユーザーに当該ロールが割付けられた場合、当該ユーザーのみがこれらの機能へのアクセスを許可されます。なお、ユーザーアクセスロールは、これらユーザーの医療機関のプライマリーデータマネージャー、または選任 CIBMTR スタッフメンバーによりユーザーに割付けることが可能です。

4. 日本の医療機関からの登録データの取り扱いに関して日本の医療機関から FormsNet アプリケーションを用いて登録されたデータは、米国ミネアポリスにある FormsNet サーバーに保存されます。これらのデータは、通常の CIBMTR 登録医療機関から報告されるデータとは論理的に分離されるようにコード化されます。これにより、日本の医療機関からの登録データが CIBMTR の通常のデータ利活用スキームに含まれることがないことを保証し、かつ、JDCHCT スタッフによるデータの品質チェック、データ管理レビュー、そして JDCHCT によるデータの使用と共有を可能とします。この論理的分離は、医療機関単位、そしてフォーム単位で実施されます。