ベンダー保証パックを全公開しました — 未対応項目も含めて

規制対象事業におけるソフトウェア調達の実態はこうです。運用部門が2週目にツールを選定します。品質部門とITセキュリティ部門のレビューは4週目に始まります。6週目にベンダーへアンケートが届きます — 40タブにわたる質問と、ベンダーが一度も文書化したことのないGAMP分類の提出依頼が含まれています。14週目頃にようやく全員が合意しますが、足かせになっていたのは製品そのものではありませんでした。

私たちはこのプロセスの受け手として何度も経験し、この順序が間違っていると結論づけました。そこで、回答を事前に公開することにしました。

*2026年8月23日更新：本パックは、本番稼働環境に対するすべてのステータスの全面再検証を経て、v1.1として再発行されました。変更は双方向にわたります——長期バックアップとリストアドリルの項目がクローズされ、初回定期レビューが完了し、レコード単位PDF項目が絞り込まれ、認証経路はISO 27001を優先とする形で再記述されました。また、ファイアウォールの記載は上方修正されました。パックの文書管理セクションにすべての変更点が記載されています。*

収録内容

18のセクションで構成されており、レビュー担当者がそれぞれの担当箇所に直接アクセスできるよう整理されています。品質レビュー担当者はQMSインデックス、GAMP 5分類、Annex 11およびPart 11マッピングを参照します。ITセキュリティ担当者はホスティングトポロジー、セキュリティアーキテクチャ、CAIQ-Liteを参照します。DPOはコントローラー・プロセッサー分担、サブプロセッサー登録簿、AIガバナンスセクションを参照します。調達担当者は認証状況、継続性体制、責任分担を参照します。パックの冒頭に、各担当者が参照すべきセクションを示す一覧表があります。

条項マッピングが核心です。Annex 11の全17条項について、私たちの対応内容とエビデンスの所在を記載しています。次に21 CFR Part 11：§11.10のコントロール、§11.50および§11.70の署名規定、§11.100、§11.200、§11.300の電子署名要件。そのうち2行はベンダーではなく*お客様*の義務として明示されています。これらはベンダーが代わりに履行できるものではなく、そのように装うことで査察時にのみ発覚するギャップが生じるためです。

収録されていない内容

この文書を作成する価値があったのは、まさにこの部分です。§13は認証ステータス一覧表、§17は未解決事項の完全なリストであり、両者は明確に次のことを示しています。

• 当社はSOC 2 Type IIを取得していません。 ISO 27001の後に取得するよう意図的に順序付けています——欧州のお客様基盤において、ベンダーレビューで求められる認証はISO 27001であるため——お客様から要求された時点で取得します。
• 当社はISO 27001をまだ取得していません。 ISMSは2026年8月に正式に開設し、認定機関による認証取得は2026年末から2027年初頭を目標としています。証明書が発行されるまで、パックには*未取得*と記載されています。
• 当社のWebアプリケーションファイアウォールはカスタムのレート制限ルールを5つ実行していますが、管理されたOWASPルールセットは適用していません。 Standard Front Doorティアではルールセットを適用できません——Premiumティアが必要です。*2026年8月2日修正：このバレットは以前、ファイアウォールにルールが一切なくレイヤー7でフィルタリングを行っていないと記載していました。これは誤りであり、実際の管理策を過小評価していました。プロファイル上に2つのWAFポリシーが存在しますが、パブリックドメインに適用されていない方を確認していました。当初公表したのと同じ理由でここで修正します——当社に有利な方向での誤りも、当社に不利な方向での誤りも、どちらも単なる誤りに過ぎません。*
• データベースの高可用性は有効化されていません。 また、当社のRTOおよびRPOは契約上のコミットメントではなく、内部目標です。v1.0からの変更点：リストアドリルが実行・記録され（本番環境の完全リストアが7分未満で完了）、月次の長期バックアップが7年間の書き込み一回限りの不変性ポリシーの下、地理的ゾーン冗長ストレージへ稼働開始しました。
• ペネトレーションテストはCRESTに認定されたサードパーティによって実施されたものではありません。 2026年4月のテストでは10のOWASPカテゴリにわたってゼロの指摘事項が返されましたが、認定を受けた独立したテストではなく、レビュアーが確認する箇所にその旨を明記しています。

「準拠」と「認証取得」の違いについて

この区別については、パック内で1段落を割いて説明しています。この市場では日常的に混同されているためです。Annex 11および21 CFR Part 11は規制上の要件であり、認証スキームではありません。「Annex 11認証書」を発行する機関は存在せず、これを提供しているベンダーは存在しないものを販売していることになります。真に証拠として示せるのは、各条項を個別にマッピングし、各行に裏付けとなる証跡を添付した実装内容であり、それがまさにこのパックに含まれるものです。

SOC 2およびISO 27001は*認証スキームです*。当社はこれらを取得していません。したがって、自社を「認証取得済み」とは称しておらず、インフラプロバイダーが保有する認証についても、あたかも当社のものであるかのように暗示せず、プロバイダー自身のものとして明示しています。

記載内容はすべて転記ではなく検証済みです

コンプライアンス文書は陳腐化します。ホスティングリージョンが変わり、ギャップが解消され、コントロールの名称が変更されても、文書は昨年のアーキテクチャを今年の確信をもって主張し続けます。当社の文書でも同様のことが起き始めていました。社内QMS文書には既に移行済みのホスティングプロバイダーに関する記述が残っており、自社サイトのページには誤ったAzureリージョンが記載されていました。

そのため、パック内のすべてのステータスは公開日当日に本番稼働中のインフラおよびソースコードと照合して確認しています。リージョンはサブスクリプションから、データレジデンシーポリシーはその割り当てから、エッジ構成はライブのレスポンスヘッダーから、監査証跡と署名の動作はそれを実装するコードから読み取りました。検証結果が既存文書と矛盾する場合は、検証結果を優先しました。ファイアウォールのルールセット未設定を発見したのも、この過程においてです。

パックには発行日が記載されており、レビューのコミットメントとして、少なくとも6ヶ月ごと、および認証ステータス一覧または未解決事項リストに変更があった場合は随時再発行することが明記されています。

評価を担当される方へ

本文書には関連コンテンツがあります。Yard Operations GMP Audit Readiness Checklistは、ヤード境界を対象とした101項目のセルフインスペクションです。その最終ドメインは、ヤードシステムベンダーのサプライヤー適格性評価です。このパックは、評価対象のベンダーが当社であるかどうかにかかわらず、そのドメインに回答するために作成されています。

パックに含まれていない情報が必要な場合——NDA締結のうえでのQMS一式、実施済みテストのエビデンス、指定リリースのソフトウェア部品表、または御社のテンプレートで記入済みのCAIQ——については、admin@yardtwin.comまでお問い合わせください。請求に応じて提供可能な資料の一覧は§18に記載されています。