GxP 領域でのクラウド利用におけるCSV 実施 /データインテグリティ対応

第5章
クラウドの基礎・利用形態とGxP システムにおけるクラウド利用

第5章（株）島津アクセス

荻本 浩三

はじめにクラウドは，クラウドコンピューティング（Cloud Computing）を略した呼び方で，IT やインターネット技術の進歩により，近年，あらゆる分野において急速に利用が進んでいる。GxPを対象とする分野も例外ではなく，業務の効率化などを目指し利用が進んでいる。本章では，現在一般的に利用可能なクラウドやクラウドサービスについて解説する。

1.

クラウドの歴史
クラウドの歴史は，1990 年代にさかのぼる。当初は，インターネットを通じてリモートのデータストレージやサービスの提供が行われていた。しかし，セキュリティや信頼性の問題から，当時は企業や組織によるクラウドの利用は限定的であった。
2000 年代に入ると，クラウドの利用分野が拡大した。データセンターの技術革新やインターネットの高速化によって大量のデータの保存や処理が可能になり，企業は IT インフラの運用負荷を軽減し，柔軟なリソース拡張が可能なクラウドサービスを利用するようになった。そして，現在，クラウドはますます普及しており，様々なサービスが提供され，利用されている。
また，最近では AI やビッグデータなどの先端技術を活用したクラウドサービスも増えている。これにより，より高度な計算やデータ処理が可能になり，企業や個人がより効率的に業務を行えるようになってきている。
一言でクラウドと呼ばれることもあるが，提供される内容により呼び方に違いがある。まず「クラウド」とは，インターネットを通じてデータやアプリケーションを保存・管理するための仕組みのことである。即ち，「クラウド」はインフラストラクチャやリソースの提供方法を表す言葉で，データセンターやサーバー，ネットワークなどの物理的な要素と，仮想化やオーケストレーション（システムやソフトウェア，サービスなどの構築，運用管理を自動化すること）などのソフトウェア要素から成り立っている。
一方，「クラウドサービス」とは，クラウドを利用して提供される具体的なサービスやアプリケーションのことである。「クラウドサービス」は，クラウド上で動作するソフトウェアやアプリケーションの形態を指し，ユーザーに対して特定の機能や利益を提供する。「クラウドサービス」は，様々な形態で提供される。例えば，データストレージ，データベース，Web ホスティング，メールサービス，ビッグデータ分析，業務用アプリケーションなどである。

57

従って，「クラウド」はインフラストラクチャやリソースの提供方法を表す概念であり，「クラウドサービス」は具体的なサービスやアプリケーションを指す概念である。「クラウドサービス」は，クラウドを利用して提供されるため，柔軟性や拡張性が高く，利用者は必要なサービスやアプリケーションを簡単に利用することができる。

2.

クラウド利用のメリット
クラウド利用のメリットはいくつもあり，企業や個人がクラウドを利用する際に得られる。

ただし，セキュリティやプライバシーの問題に対しては注意が必要である。
以下に主なクラウド利用のメリットを列挙する。

2.1

柔軟性と拡張性クラウドは，オンプレミス（機器やソフトウェアなどを自社で保有し運用するシステム）のインフラストラクチャと比べて，柔軟性が高い。クラウド上のリソース（CPU やメモリ，ストレージ，ネットワークなど）は，必要に応じて迅速かつ簡単にスケーリングできる。つまり，需要の変動に合わせてリソースを増減することができ，業務量の急激な増加に対応したり，コストを最適化したりするのに役立つ。
また，クラウドは，ユーザーの要求や必要に応じて機能やサービスを追加することが容易である。クラウドプロバイダは，様々な種類のサービス（例えば，コンピューティング，ストレージ，データベース，AI など）を提供しており，それらを必要に応じて利用することができる。
また，クラウドは API（Application Programming Interface）を提供していることが多く，既存のシステムやアプリケーションとの統合も容易である。
更に，クラウドは地理的な拡張性も持っている。通常，クラウドプロバイダは，複数のデータセンターを持っており，それらのデータセンターが地理的に分散しているため，ユーザーは地域に関係なくデータやアプリケーションにアクセスすることができる。
クラウドの柔軟性と拡張性は，企業の成長や変化に素早く対応するための重要な要素である。企業が競争力を維持し，効率を向上させるためには，クラウドを活用することが不可欠である。

2.2

コスト削減

クラウドのコスト削減効果は，企業の規模やニーズによって異なるが，多くの場合，経済的なメリットがある。

58

第6章
GxP 分野におけるクラウドで考慮すべきリスクとその対応

第6章（株）島津アクセス

荻本 浩三

はじめに
クラウドコンピューティングは，その特性をよく理解し，活用することで，企業活動において大きなメリットをもたらすが，その利用においてはセキュリティなどのリスクも存在する。
本章では，クラウドを利用する際のリスクやその対策，クラウド導入における留意点，そして，GxP 分野におけるクラウド利用のリスクと対策について解説する。

1.

クラウド利用におけるリスクと対策
クラウドの利用は効率性や柔軟性をもたらす一方で，セキュリティやデータ漏洩，サービス停止などのリスクも存在する。これらのリスクを踏まえ適切な対策を講じることで，クラウドを安全かつ効果的に活用することができる。
以下に主なリスクと対策を列挙する。

1.1

セキュリティ

クラウド利用の普及に伴い，セキュリティリスクの増加が懸念されている。クラウドにデータを保存することで，データ漏洩や不正アクセスのリスクが生じ，これにより，企業や個人の機密情報が第三者に漏れる可能性がある。
データ漏洩は，企業や個人にとって大きな被害をもたらす可能性があり，情報漏洩により，競合他社による情報の不正利用や，個人情報の盗難が発生する可能性がある。また，企業の信頼性やブランドイメージにも悪影響を及ぼす可能性もある。
クラウドのセキュリティ対策は，クラウドプロバイダによって異なるが，ユーザー自身も積極的にセキュリティ対策を行う必要がある。例えば，クラウドプロバイダとの契約においては，サービスレベル契約（SLA：Service Level Agreement）にセキュリティに関する項目を明記することが重要である。また，クラウドプロバイダのセキュリティ対策を評価するために，セキュリティ認証（ISO 27001 など）の取得状況やセキュリティ対策の実施状況を確認することが重要である。
更に，ユーザー自身もクラウド利用時のセキュリティ対策に注意を払う必要がある。強力なパスワードの使用と定期的な変更，二要素認証の導入，データの暗号化とバックアップの実施などが重要な対策となる。これらの対策は，クラウドサービスのセキュリティを向上させるだ

73

けでなく，ユーザー自身のデータ保護にも繋がる。
そして，クラウド利用におけるセキュリティに対して意識を高めることも重要である。従業員教育やセキュリティポリシーの策定が必要である。また，定期的なセキュリティ監査や評価を行うことで，クラウド利用におけるセキュリティリスクを把握し，適切な対策を講じることができる。

図1

1.2

セキュリティ対策の例

サービス停止

サービス停止は，クラウド利用の際に起こりうる最も深刻な問題の一つである。クラウド上で稼働しているサービスが停止すると，企業の業務が停止し，生産性が低下する。また，停止中にデータが損失する可能性もあり，データの復旧が困難となる場合もある。
クラウドプロバイダとの契約においては，サービス停止への対策が重要である。SLA において，クラウドプロバイダの可用性に関する項目を明確にすることが必要である。また，サービス停止時の補償措置やバックアップの確認も重要で，これらにより，サービス停止時にも被害を最小限に抑えることができる。
一方，ユーザー側でもサービス停止への備えが必要である。データのバックアップや冗長化を行うことで，データの損失を防ぐことができる。また，代替クラウドサービスの検討や移行計画の作成も重要で，これらにより，サービス停止時にも業務の継続性を確保することができる。クラウド停止時に備えて事業継続計画（BCP：Business Continuity Plan）を策定しておくことも重要である。
更に，クラウド利用時のリスク管理と予防策も重要である。クラウドプロバイダの信頼性と安定性を評価することで，サービス停止のリスクを減らすことができる。また，監視と警告システムの導入により，サービス停止を早期に察知し，適切な対応を行うことができる。

74

第7章
GxP 分野で利用されるクラウド基盤のURS 作成と適格性評価

第7章（株）島津アクセス

荻本 浩三

はじめにクラウドを利用したシステムであってもコンピュータ化システムであることには変わりはない。そのため，クラウドを利用したシステムは，GxP 分野で利用される場合には例外ではなく，バリデーションの対象となる。
本章では，クラウド利用システムにおいてクラウドプロバイダから提供されるクラウドサービス（クラウド基盤）に焦点を当て，クラウド基盤の URS 作成と適格性評価について解説する。
なお，クラウド利用システムの CSV については，他章で詳しく解説がされている。

1.

クラウド利用システムにおけるバリデーション
GxP 分野においてクラウドを利用したシステムは，システムの構築，構成においてクラウド基盤（クラウドサービス）を利用しているというだけで，システムの信頼性を確保するためにコンピュータ化システムバリデーション（CSV：Computerized System Validation）は必須で実施が求められる。
一方，クラウド利用システムは，クラウドプロバイダが提供するクラウド基盤が使用され，機能している。そのため，システムを利用するユーザーはクラウド基盤そのものに対しても，

図1

クラウド基盤（クラウドサービス）87

要求仕様（URS：User Requirement Specification）を作成したり，適格性評価を行ったりする必要がある。

1.1

クラウド基盤のカテゴリ

厚生労働省が 2010 年 10 月に発行した「医薬品・医薬部外品製造販売業者等におけるコンピュ ータ化システム適 正 管 理ガイドライン」に お い てソフトウェアのカテゴリ分 類 が 示 されている。その分類では，ソフトウェアの複雑さやリスクに応じて開発業務や検証業務で
実 施 す べ き 事 項 を 示 し て い る。 カテゴリ分 類 の 考 え 方 は，ISPE（International Society forPharmaceutical Engineering：国際製薬技術協会）が発行している GAMP 5（Good Automated
Manufacturing Practice 5）と同じ考え方であり，ソフトウェアをカテゴリ分類し，簡単なソフトウェアは簡潔に，複雑なソフトウェアはより詳細に検証する仕組みである。
システムのバリデーションにおいて，クラウドを利用するシステムにおいても同じ考え方，カテゴリ分類を取り入れることができる。

図2

1.1.1

コンピュータ化システムのカテゴリ分類

IaaS のカテゴリ分類

IaaS では，ネットワーク環境や，CPU，メモリ，記憶装置といったハードウェア，そしてMicrosoft 社の Windows に代表される OS を，クラウドプロバイダが提供し運用を行う。クラウドプロバイダが提供するソフトウェアは，「基盤ソフトウェア」，すなわち「カテゴリ 1」に属するソフトウェアといえる。

88

第8章
クラウド利用時のデータインテグリティ対応 /CSV アプローチと利用時の留意点

第8章

PQE ジャパン（株）

峠 茂樹

はじめにクラウドサービスがこれまでのオンプレミスのシステム構築に比べて非常に簡便で融通が利くシステムであることには異論がないだろう。このことから，GxP 業務に使用されるコンピュータシステムについてもクラウドを使いたいと思うことはとても自然なことである。
一方，GxP 業務でコンピュータシステムを利用する場合はコンピュータ化システムバリデーション（CSV）を行う必要がある。これはクラウドでも例外ではないが，クラウドの CSV について丁寧に記載されたガイダンスはない。このため一般の規制対象企業では，システムベンダーのいうままに CSV を行っているのが通常ではないだろうか。この結果，導入ベンダーにより様々な CSV を行い，結果的に一貫性のない CSV 文書の山を築き，顧客からは CSV とは意味のない文書の構築だと考えられているのではないだろうか。しかしながら，CSV に対する戦略を立てて，社内のガバナンスを利かせて，効率的に取組むことにより CSV だけでなく，システム全体が見える化できるのである。
本章ではクラウドにおいて CSV を行う際の留意点を述べ，さらに利用形態（IaaS，PaaS，SaaS）に分けた CSV アプローチを考えてみたい。

1.

クラウドに対する規制当局の考え方

1.1

製薬業界におけるクラウドのメリット

製薬業界においてクラウドのメリットとしては，以下のようなものが考えられる。
• 閲覧プロセスのスピードアップ◦ラボデータ，画像データ，統計解析データ等のデータ提供の高速化• AI（データ分析の利用）◦人工知能（AI）とクラウドコンピューティングの計算能力を組み合わせることで，製薬会社はデータ分析力を向上させることができる。
• シームレスなコラボレーション◦情報の流れを統合し標準化することで，パートナーと真に効率的で合理的なコラボレーション・プラットフォームを構築することができる。
◦クラウドコンピューティングを利用することによって，世界中の研究開発チームが協力して臨床試験を実施することができる。

103• 臨床試験での安全なデータ共有◦臨床試験は，紙ベースのモデルからほぼ完全に電子化されたモデルへと変化している。
◦クラウド上に一元化された「コンソール」を持つことで，そこからの問い合わせ，フィードバックの受信，アーカイブが可能になる。
◦研究者が臨床データを集約し，分析する際にも有効である。
◦事実上，無制限のストレージとコンピューティングリソースを提供できる。
• マーケティング業務◦コスト効率を最大化し，マーケティング担当者間のコミュニケーションを改善し，デジタル・メディアのコストを最適化することができる。

1.2

FDA におけるクラウド利用

このような，革新的なメリットが明らかになり，米国 FDA 内でも 2013 年を目標として利用できるようにするための戦略的目標が掲げられた。この際には FDA は技術的リスクと供給者リスクが理解され，評価され，軽減される限り，クラウド利用に対する懸念はほぼないとした。
また，2021 年には安全性管理システムとして統合マルチテナント型クラウドプラットフォーⓇ

ムである Aris Global 社の LifeSphere を稼働させた。
このように，規制当局でもクラウド利用はされており，積極的に利用を検討すべき状況となっていると考えられる。

2.

規制当局によるクラウド利用時の考慮点

2.1

FDA ガイダンスに見るクラウド利用時の要件

クラウドを利用するということは，何らかの形でコンピュータシステムのハードウエアあるいはソフトウエアの管理を外部に委託することである。このように委託（アウトソース）され1）た電子サービスに対して，FDA は以下の点について考慮すべきであると述べている 。
• バリデーション文書（そのプロセスと手順）• 記録の正確で完全なコピーを生成できること• 適用される規則により保管が要求される期間，FDA 査察のための記録の可用性を保ち，保持すること• アーカイブできること• ユーザの行動に対するアクセス制御と本人性確認• コンピュータが生成する，ユーザの行為やデータ変更のタイムスタンプ付きのセキュアな

104

第8章

監査証跡を提供する能力• 静止時や転送時のデータの暗号化• 電子署名管理• システムサービスベンダー及び提供されるサービスのパフォーマンス記録• 電子サービス・ベンダーの電子サービス・セキュリティ及びデータインテグリティ管理への準拠を監視する能力

これらは臨床研究向けのガイダンスの一部であるが，一般にクラウドを利用する場合の注意点と変わらないので，他の GxP に使用する場合も考慮すべきである。特にクラウドの場合は，データの保管管理が外部委託となるので保存が義務付けられている期間の可用性については十分注意する必要がある。例えば，臨床研究では臨床研究が終わった後のシステムとデータの取扱いについても，最初の契約時にきっちりと取り決めておく必要がある。

2.2

EMA におけるクラウド利用の要件

EMA も FDA と同じように，臨床試験におけるコンピュータ化システムと電子データにつ2）いてガイドラインを作成している 。そのガイドライン中の「6.7クラウドソリューション」にはクラウドを利用する場合の注意事項が記載されている。
• クラウドソリューションを使用する場合，治験依頼者（ICH-GCP 5.2.1）及び / 又は治験責任医師（ICH-GCP 4.2.6）は，クラウドを提供する契約先が適格であることを確認する必要がある。
• クラウドを利用する場合，治験依頼者 及び / 又は 治験責任医師は，多くのサービスがクラウド事業者によって目に見える形で管理されることが少ないので，一定のリスクを負うことになる。
• クラウド事業者との契約上の義務は，詳細かつ明確であるべきであり，GCP に関連するすべてのトピックと関連するすべての法的要件に言及すべきである。
• クラウドソリューションやサービスが複数のサイト，国，大陸にまたがって共有されるという性質上，データの管轄は複雑になる可能性があるが，クラウドソリューションを使用する前に，契約上の義務によって不確実性に対処し，解決すべきである。
• 責任当事者が，コンピュータ化されたシステムの適格性確認を自ら行うことを選択した場
合，クラウド事業者は，本番環境と同一のテスト環境を用意すべきである。

2.3

MHRA DI ガイダンスに見るクラウド利用の要件

MHRA は GxP を対象としたデータインテグリティガイダンスで，IaaS/PaaS/SaaS 等のクラウ

105

第9章
クラウド系 IT システムに関する FDA 査察対応

第9章

GMC/CMC 個人コンサルタント
1.

山﨑 龍一

クラウド系 IT システムの FDA 査察対応が必要となる背景
現状，製造所で活用している主 IT システムとしては，製品の製造工程を管理する MES（Manufacturing Execution System：製造実行システム），原材料，中間体及び製品の品質を管理する LIMS（Laboratory Information Management System：ラボラトリー情報管理システム）などが該当するが，これらは製造装置 / 設備及び分析装置とインターフェース（Interface：IF）
を介して連結しており，サーバー（ユーザーの要求に従い，要求に対応したデータを供給するコンピュータ及びプログラムを意味する）としては，クラウド（Cloud）でなくオンプレミス（OnPremise）となるのが基本である。その理由としては，サーバーとしてオンプレミスを選定することで，これらシステムで発生した障害を適時対処することが可能である。また，これらシステムは，制限された安全な環境下で管理・運用することで外部からのサイバー攻撃などに対して強固なシステムを構築することが可能となる。
し か し な が ら， ドキュメント管 理（Document Management System：DMS）， トレーニン
グ管 理システム（Training Management System：TMS）， クオリティ 管 理システム（QualityManagement System：QMS）， 監 査（ 査 察 含 む ）管 理システム（Audit Management System（Audit）），サプライヤー管理システム（Supplier Quality Management System：SQM）及び苦情管理システム（Complaint Management System（Complaint））などは，製造装置 / 設備あるいは分析装置などのハードウエアと連結する必要性がないため，オンプレミスである必要はな
く，クラウドで十分であることは容易に想像できる。なお，クラウドを選定した場合，コンプライアンス及びデータインテグリティの観点から，信頼性の高いグローバルなメーカーを選定しなければならない。
即ち，クラウドであるプラットフォーム基盤（Platform）の上に，IT メーカーが対象となるDMS などのソフトウエアを配置し，ユーザーに提供していることになる。
クラウド系 IT システムをユーザーが導入・維持・管理・拡張（企業内の多部門に展開する場合）するとなると，ユーザー（企業）はソフトウエア提供メーカーと契約を結ぶことになるが，基盤であるプラットフォームを提供しているメーカーとユーザー間で直接契約を結ぶことはない。即ち，プラットフォーム部分の適切な管理・運用に関する情報を，ユーザーは的確・適時に入手できる環境を構築することが非常に重要である。
クラウド系 IT システムの FDA 査察対応を考えると，ソフトウエア供給メーカー及びプラットフォーム供給メーカーに対する管理体制の構築が非常に重要である。なお，クラウド系 IT

125

システムを導入する大きな利点は，下記に示すように，製造所におけるサーバー管理に必要となる要員及びコストが大幅に削減されることである。

rd

サーバーを管理する 3 Party に要する費用
サーバーの維持・メンテナンス（保守＆点検など）
サーバーのテクニカルサービス
サーバーの定期的な更新・交換（変更管理，CSV 対応）
サーバー管理を規定したドキュメント（SOP 類など）

2.

FDA 査察の事前準備導入したクラウド系 IT システムを製造所で

表1

ALCOA＋の GMP 活動で使用しているなら，間違いなく対象システムは査察対象となり，十分な査察準備が必要となる。即ち FDA 査察において，対象クラウド IT システムが，ALCOA＋に十分に準拠したシステムであることを証明しなければならない。表 1 に ALCOA＋を示す。
クラウド系 IT システムの 導 入 を 検 討 す る
際， ユーザー は ALCOA+ に 準 拠 で き るシステムを選定すべきである。しかしながら，対象となるクラウド系 IT システムが全ての要件を満たすことが現時点にて不可能な場合，そのギャップ（Gaps）のリスクアセスメントを行い，マニュアル（SOP 類）で対応するなどの施策を図るべきである。また，その施策は，対象となるクラウド系 IT システムのクイックマニュ
アル，操作手順書（Operation Procedure）あるいはシステムメンテナンスマニュアル（SystemMaintenance Manual：SMM）などに記載することを推奨する。
次に，FDA 査察を無事通過するために準備すべき事項を考えてみる。表 2 に FDA 査察で準備すべき事項を示す。

126