Drataには、失敗したテストの理由の要約、ポリシーの版の違いの要約、コントロールの対応付けの提案など、作業の手間を減らすAIの機能が、テスト、ポリシー、コントロール、ベンダー、監査の各所に組み込まれています。多くの機能は、組織でAIの機能を有効にしてから使えます。このページでは、DrataのAI機能として、AIの設定での有効化、AIでのデータの扱い、主な機能とそれぞれの使いどころ、AIの出力を監査に使う前に人が確認すべき点を説明します。
AIの機能を有効にする
AI settingsは、Drata全体のAIの機能を有効にして管理する設定です。AIの機能を有効にしたり無効にしたりできるのは、Adminのロールのユーザーだけです。
Settingsを開き、ConfigurationのAI settingsを選びます。- AIの機能を有効にして、変更を保存します。
組織でAIの機能を有効にしておく必要がある機能には、ポリシーのコントロールの提案、ポリシーの変更の要約、Custom Control Mapping Agent、テストのAIの要約などがあります。テストのAIの要約を無効にすると、作成済みの要約は表示されなくなり、新しい要約も作られません。
【注意】 TPRM Agentを使うには、AIの設定のほかに、TPRM AgentとTPRM Proの権利、AIへのデータの共有の許可（Drata AI Data Share）などの条件があります。条件は、TPRM Agentによるレビューで説明しています。
AIでのデータの扱い
ヘルプセンターの「Drata AI: Technical & Security Details」では、DrataのAIのデータの扱いが次のように示されています。
| 項目 | 内容 |
|---|---|
| 顧客のデータでの学習 | Drataは、今のところ、顧客のデータでAIのモデルを学習させたり、調整したりしていない |
| 顧客の間のデータの分離 | DrataのAIは、ほかの顧客のアカウントの情報を取り込んだり混ぜたりしない。テナントごとのデータは論理的に分けられている |
| 無効にできるか | いつでも、AIの設定で無効にできる |
| フィードバック | AIの出力には、良し悪しを評価するボタンがある。編集した内容や受け入れた提案は記録され、出力の改善に使われる |
| サブプロセッサー | 承認済みのサブプロセッサーを使う。一覧は、Drataのサブプロセッサーの一覧で確かめられる |
また、「Using AI Features in Drata」では、データを守る方法として、データのマスキングなどによる匿名化と、世界のデータ保護の規制に沿ったアクセス制御と暗号化を挙げています。AIの原則としては、顧客ごとの厳格なデータの分離、責任あるガバナンス、内部の確認と自動のツールによるデータの品質の確認、AIの機能の設定をいつでも変えられることを挙げています。
主なAIの機能
DrataのAIの機能と、使う場面は次の通りです。それぞれの機能の詳しい使い方は、説明しているページで確かめてください。
| 機能 | 使う場面 | 説明しているページ |
|---|---|---|
| テストのAIの要約 | 失敗したカスタムテストの理由を、リソースごとに平易な文章で確かめる。Drataが用意するテストでは使えない | 失敗したテストの是正 |
連携のAIの要約（AI Summary） | 連携がUnhealthyのときに、失敗した同期の段階の説明と、直し方の提案を確かめる | 連携の全体像 |
| ポリシーのコントロールの提案 | 承認済みか公開済みのポリシーの内容から、マッピングするコントロールの候補を挙げる | このページの次の節 |
| ポリシーの変更の要約 | ポリシーの2つの版の違いを、概要、詳しい変更の記録、リスクとコンプライアンスへの影響の3つに分けて要約する | ポリシーの承認と公開、ポリシーの見直しと版の管理 |
| Custom Control Mapping Agent | カスタムコントロールにマッピングする要求事項、テスト、ポリシー、証跡、リスクの候補を挙げる | コントロールの一括インポート |
| Framework Mapping Agent | カスタムフレームワークの要求事項に対応するコントロールの候補を挙げる | カスタムフレームワーク |
| 監査の依頼事項へのコントロールの推奨 | 監査人と内部監査人が、コントロールが対応付けられていない依頼事項に合うDCFのコントロールを確かめる | 監査人からの依頼への対応 |
| ベンダーの資料のAIの要約 | ベンダーのSOC 2レポートや質問票の回答の要点を確かめる | このページの「ベンダーの資料のAIの要約」の節、セキュリティーレビューの進め方 |
| TPRM AgentとDrata AIのチャット | ベンダーのセキュリティーレビューをAIで進め、ベンダーについて普段の言葉で質問する | TPRM Agentによるレビュー |
| AIで生成されたテスト | Test Libraryにある、AIで生成されたインフラストラクチャーのテストを追加する | Test Libraryからテストを追加する |
AIが作ったポリシーの変更の要約。比べた版と、概要、詳しい変更の記録が表示され、下部に評価のボタンがある
ポリシーにマッピングするコントロールの提案
ポリシーにコントロールをマッピングする作業は、GRCの運用の中でも手間がかかる作業の一つです。AIによるコントロールの提案を使うと、ポリシーの内容とワークスペースの状況から、マッピングするのに最も関係の深いコントロールを挙げてもらえます。
ポリシーが承認されるか公開されると、DrataのAIがポリシーの内容を分析し、マッピングするコントロールの候補を作ります。候補は、次のものをもとに作られます。
- ポリシーの本文
- 選んでいるワークスペースにあるコントロール
- 既にマッピングされているコントロール（候補から除かれる）
候補には、Drataのコントロールとカスタムコントロールの両方が含まれます。ポリシーテンプレートから作ったポリシー、カスタムのポリシー、外部のポリシーの全てで使えます。
使うための条件
| 条件 | 内容 |
|---|---|
| AIの機能 | 組織でAIの機能を有効にしている |
| ポリシーの状態 | 承認済みか公開済み |
| ポリシーの本文 | 英語で書かれ、450語以上ある |
| ロール | Admin、Information Security Lead、Policy Manager、Control Managerなどのロール。コントロールを見てマッピングする権限が必要で、読み取り専用のロールでは使えない |
提案を確かめる
- ポリシーを開きます。
Controlsタブを開きます。ポリシーが承認済みか公開済みであれば、提案されたコントロールが自動で表示されます。- 提案を確かめ、省略記号（…）のメニューから、提案された全てのコントロールのマッピング、全ての提案の無視、提案の作り直しのいずれかを選びます。
無視した提案は、ポリシーの今の版では表示されなくなります。後で提案を作り直すと、無視したコントロールがまた表示されることがあります。
提案の状態は、次の3つで表示されます。
| 状態 | 意味 |
|---|---|
Generating suggestions | AIがポリシーの内容を分析している |
Suggestions available | 確かめられる提案が1件以上ある |
No suggestions found | 提案がない。ポリシーが短すぎる、英語でない、まだDraftかNeeds approvalである、関係するコントロールが見つからない、AIの機能が有効でない、自分のロールではコントロールをマッピングできない、のいずれかの場合がある |
【注意】 この機能が提案するのはコントロールだけです。そのコントロールに対応付けられたモニタリングテストの提案や変更はしません。また、ポリシーの本文が英語でない場合は、提案は作られません。ポリシーの翻訳と言語の設定は、日本語版のポリシーを用意するで説明しています。
ベンダーの資料のAIの要約
ベンダー管理（TPRM）を使っている場合は、ベンダーから受け取ったSOC 2レポートや質問票の回答を、AIに要約させられます。要約は、資料の分析を代わりに行うものではなく、内容を効率よくつかむための補助です。要約ができるまでに数分かかることがあり、資料を開いたときの右側のパネルのSummaryタブで確かめます。
| 資料 | 要約の内容 | 要約できない場合 |
|---|---|---|
| SOC 2レポート（Drataにアップロードしたもの） | 概要（会社名、監査法人、監査の範囲、監査対象期間、対象のトラストサービス規準、サブサービス組織）、例外事項（コントロールの規準について監査人が記載した例外）、例外事項に対する経営者の回答 | SOC 2レポートと判別されない、関係する情報がない、200,000文字を超える |
| 質問票の回答（Drataから送ったもの、またはアップロードしたもの） | 概要（会社の情報、挙げられているフレームワーク、セキュリティーの取り組みとツールの全体像）、注意点（回答のない質問、インシデントや侵害、足りないツールや取り組み）、添付ファイル（回答に添付されたファイル。ファイルの中身は要約しない） | 質問と回答を合わせて450語未満か5,000語を超える、セキュリティーやコンプライアンスの情報がない、質問と回答の形式でない |
セキュリティーレビューの進め方は、セキュリティーレビューの進め方で説明しています。
AIの出力を監査に使う前に確かめること
ヘルプセンターでは、AIの機能ごとに、出力を人が確かめてから使うように示されています。機能ごとに、確かめることは次の通りです。
| 機能 | 確かめること |
|---|---|
| テストのAIの要約 | 要約は補助で、判断の根拠そのものではない。全ての場面で全ての詳細を拾えるとは限らないため、セキュリティーやコンプライアンスの判断に使う前に内容を確かめる。AIを使うかどうかにかかわらず、テストの通常のデータと証跡は全て残る |
| ベンダーの資料のAIの要約 | 情報の量が多いと、一部の情報を拾えないことがある。セキュリティーやコンプライアンスの判断の前に、必ず出力を確かめる |
| Custom Control Mapping Agent | 提案は確認の出発点で、判断を代わりに下すものではない。提案がコントロールの目的と範囲を支えているかを確かめてからMapを選ぶ。自動で承認されることはない |
| Framework Mapping Agent | 提案を受け入れたときにだけ反映され、自動で承認されることはない。確信度の低い提案や、提案のない要求事項に時間をかける |
| ポリシーの変更の要約 | 承認済みのポリシーを要約の後に編集すると、要約は自動で無効になる。確定と承認をやり直した後に作り直す |
| 監査の依頼事項へのコントロールの推奨 | 確信度の高い対応付けを自動で反映する設定でも、確信度が中程度の推奨は人が確かめる |
【運用のポイント】 確信度が表示される機能では、確信度を確認の手間をかける順番の目安にします。確信度が高く明らかに一致する提案は手早く確かめ、確信度の低い提案や、提案のない項目に時間をかけると、確認の手間を抑えられます。また、DrataのAIは、評価のボタンでのフィードバックや、編集した内容、受け入れた提案を記録し、出力の改善に使います。ポリシーの変更の要約のように評価のボタンがある機能では、出力の良し悪しを評価しておきます。