cGMP 環境のアドインを検証するにはどうすればよいですか?こんにちは、みんな、
バイオ医薬品CDMOのお客様から、cGMP環境（下記参照）向けのJMPアドインの検証経験についてお問い合わせをいただいています。このアドインは、与えられた新しいデータセットに対して標準的なカーブフィッティング分析を行います。エンドユーザーによる分析結果の改変をいかに防ぐかが懸念事項です。
ご協力ありがとうございます。
フィル
「これまで他のユーザーと検証について話し合ったことはありますか？私は基本的にアドインを暗号化し、パスワードとバージョンに関して IT 部門が満足できるようにあらゆることを行っていますが、テストとなると、これが改ざん不可能であることをどうやって証明すればいいのかわかりません。
アドインを微妙に変更して結果をごまかすのは非常に困難ですが、ユーザーがアドイン内のスクリプトを削除して基本的にアドインを壊してしまう可能性は十分にあります。
私のスクリプトは非常によく保護され、追跡されていますが、アドイン自体は脆弱です。
ほぼその通りに書いています。ユーザーがテストのレポートと一致するレポートを作成した場合、アドインを改変することはできません。ただし、うまくいくかどうかはわかりません！
この部分を守る方法についてアドバイスはありますか？」
Re: cGMP 環境のアドインを検証するにはどうすればいいですか?ありがとう、マーティン。
同意します。
よろしくお願いいたします。
フィル
Re: cGMP 環境のアドインを検証するにはどうすればよいですか?こんにちは、フィル。
検証において考慮すべき点の一つは、変更を追跡し、ファイルを別のサーバーに保存する（サブ）バージョン管理システムを常に導入することです。これはマルコム氏の発言に近いものですが、より高度なシステムであるため、長期間の使用を想定して設計されています。規制の厳しい環境では、コードの改善やサブバージョンの作成といった作業も必要となるため、バージョン管理も必要となります。これはある程度の追跡は必要ですが、より重要なのは、数十年後でも（例えば航空宇宙産業など）、特定の検証済みアプリケーションで使用したのと全く同じルーチンを利用できることが求められることです。
アドインのソースコードやパス情報（編集可能なテキスト）をエンドユーザーに公開することは絶対に避けたいはずです。暗号化によって、そのような事態を防ぐことができます。
残念ながら、（私の視点から見ると）バージョン管理システムを導入せずに検証要件を満たしているケースを非常に多く目にします。バージョン管理システムは、冗長化されたサーバーシステムを使用することで、システム停止やシステム障害が発生した場合でもバックアップ機能を確保します。
よろしくお願いいたします。
マーティン
Re: cGMP 環境のアドインを検証するにはどうすればよいですか?ありがとう、マルコム。
それは本当に良いアイデアですね。
よろしくお願いいたします。
フィル
Re: cGMP 環境のアドインを検証するにはどうすればいいですか?こんにちは、フィル。
お客様がアドインコードの変更リスクを懸念されている場合は、ユーザーが読み取り権限を持つ共有ドライブ上のjslファイルにアクセスするカスタムメニューを作成するという代替案があります。これにより、ユーザーはソースjslファイルを変更できなくなります。
マルコム
Re: cGMP 環境のアドインを検証するにはどうすればよいですか?ありがとう、ピーター。
はい、私たち (JMP) は検証に関して一切の責任を負いたくないと思っています。
他のお客様がこの要件をどのように管理されているかを知りたいと思っています。このお客様はソフトウェアの検証に非常に敏感だと承知しています。
コメントありがとうございます。
フィル
Re: cGMP 環境のアドインを検証するにはどうすればいいですか?フィル：
ここにいくつかの考えを述べます:
1. あらゆる規制や内部統制環境における検証を考えると、2 つの側面が考えられます。
a. 企業が定めた要件への準拠（規制機関などの外部の影響に関係なく）。
b. 外部関係者の要件への準拠（要件は異なる可能性があります（より広範囲に及ぶか、より広範囲に及ぶか）。
したがって、お客様へのアドバイスとしては、まずこの2つのシナリオを調査することをお勧めします。既に成文化されたガイダンスが存在する可能性があり、その場合、コンプライアンスの問題とは健全な実践かどうかは関係ありません。その後、お客様はJMPアドインのアーキテクチャをどのようにコンプライアンスに準拠させるかを検討する必要があります。ここはお客様に任せましょう。私が最も避けたいのは、お客様の「検証方法の管理者」になることです。SASもこの役割を引き受けたくないのではないでしょうか。
上記のa. またはb. が満たされていない場合、顧客は、一般的なベストプラクティスとしての「検証」の精神を少なくとも満たす、何か、何でもいいので、実際に何かを記述する「裁量権」を持つことになります。製品の最終設計が完成した後に仕様書を設計するようなものです。余裕を持って、運用上の特性を定義し、実際にコンプライアンスを証明する方法を明確にしましょう。
