証跡の中身として登録するファイル、URL、チケットを、Drataではアーティファクトと呼びます。アーティファクトが登録されていない証跡や、更新期限を過ぎた証跡は、コントロールの準備状況を下げることがあります。このページでは、証跡にアーティファクトを登録する方法として、ファイル、URL、チケットの使い分け、複数のファイルの登録、ファイルの容量の上限と圧縮ファイルの扱い、更新したときの版の残り方を説明します。
アーティファクトの役割
証跡は「何を示すか」の単位で、アーティファクトはそれを裏付ける実際の資料です。1つの証跡に、複数のアーティファクトを登録できます。
登録するアーティファクトは、マッピングするコントロールを直接裏付けるものにします。古いアーティファクトや内容の誤ったアーティファクトは、コントロールの準備状況を下げることがあります。証跡の状態と準備状況の関係は、Evidenceページと証跡の状態で説明しています。
証跡を作ってアーティファクトを登録する
証跡は、Compliance → EvidenceのCreate evidenceで作ります。
Compliance→Evidenceを開きます。Create evidenceを選びます。- 証跡の名前を入れます。説明と実施の手引き（
Implementation guidance）は、必要に応じて入れます。 - 取得元を選び、ファイルをアップロードするか、URLなどを入れます。
- クラウドストレージからファイルを選ぶ場合は、正しいアカウントでサインインし、ファイルを探して選びます。
- 作成日（
Creation date）と更新期限（Renewal date）を入れます。監査の対象期間に合わせた日付にします。 - 必要に応じて、
Link controlで証跡をコントロールにマッピングします。マッピングは後からでもできます。 Saveを選びます。
作成した証跡はEvidenceページに加わり、選んだコントロールにマッピングされます。
コントロールの詳細の画面から証跡を加えることもできます。コントロールのEvidenceタブでAdd evidenceを選び、Evidenceページにある証跡から選ぶ（Map from Evidence Library）か、Evidenceページに新しい証跡を作る（Create new evidence）か、そのコントロールだけに付けるその他の証跡（Miscellaneous evidence）を追加します。それぞれの違いは、証跡とコントロールのマッピングで説明しています。
取得元の使い分け
取得元は、アーティファクトの種類に合わせて選びます。
| 取得元 | 向いている資料 | 入れるもの |
|---|---|---|
File | スクリーンショット、報告書、システムから書き出したデータ、手順書など | 手元のコンピューターかクラウドストレージのファイル |
URL | ウェブ上の資料、外部のダッシュボード、社内のツールや文書の置き場所。Drataに置きたくない機密性の高い資料 | 資料へのリンク |
Ticket provider | 是正、調査、承認などの作業を管理しているチケット | チケットのURL（https://yourcompany.atlassian.net/browse/SEC-123、https://linear.app/yourcompany/issue/SEC-45など） |
No Artifact | アーティファクトを後で登録する証跡 | なし。証跡の状態はNeeds artifactになる |
チケットの取得元は、チケット管理のシステムとの連携をつないだ環境で選べます。Jiraのチケットを証跡にする場合は、チケットが完了していること、添付ファイルが25MB未満であることが条件です。手順は、開発と課題管理のツールとの連携で説明しています。
ファイルの形式と容量の上限
登録できるファイル
手元のコンピューターから、次の形式のファイルを登録できます。
| 区分 | 形式 |
|---|---|
| 文書 | PDF、DOCX、ODT、XLSX、ODS、PPTX、ODP、TXT、CSV、JSON |
| 画像と動画 | PNG、JPEG、GIF、MP4 |
| そのほか | HTML、LOG、MSG、ZIP |
クラウドストレージは、Google Drive、Microsoft OneDrive、SharePoint、Box、Dropboxから選べます。クラウドストレージを使う場合は、正しいアカウントでサインインし、キーワードでファイルを探して選びます。
容量の上限とZIPファイル
| 対象 | 上限 |
|---|---|
| 1つのファイル | 50MB |
| ZIPファイル | 解凍した後の合計で100MB。中の1つ1つのファイルは50MB未満 |
ZIPファイルの中には、ZIPファイルを1つだけ含められます。
不正な内容の検査
ZIP、TXT、JSON、Markdown（.markdown、.md）、CSVのファイルは、不正な内容がないかをDrataが検査してから保存します。MSG、MP4、LOG、HTMLのファイルも検査してから保存しますが、ブラウザーでは表示されず、ダウンロードして確かめます。
- アップロードしたファイルをDrataが検査します。
- 問題がなければ、ファイルが保存されます。
- 不正な可能性がある内容が見つかった場合は、ファイルが受け付けられず、
Eventsページにイベントが記録されます。ZIPファイルの場合は、中のどのファイルが問題とされたかがイベントの詳細に示されます。 - アップロードしたユーザーに、受け付けられなかったことを知らせるメールが届きます。メールには、イベントの詳細へのリンクが含まれます。
【注意】 ファイルの登録が必須の操作では、検査が終わるまで先に進めません。例えば、コントロールにその他の証跡としてファイルを追加する場合、検査が終わる前に
Save Fileを選ぶとエラーになります。検査が終わってから保存してください。操作をやめる場合は、Cancelでいつでも画面を閉じられます。
1つの証跡に複数のアーティファクトを登録する
1つの証跡に、複数のファイル、URL、チケットをまとめて登録できます。1つのコントロールを示すのに複数のスクリーンショットや文書が必要な場合に、ZIPファイルにまとめたり、登録を繰り返したりせずに済みます。例えば、インフラの管理画面で多要素認証を強制していることを示すのに4枚のスクリーンショットが必要な場合、4枚とも同じ証跡のアーティファクトとして登録します。
この操作は、Admin、Information Security Lead、DevOps Engineer、Control Managerのロールのユーザーが行えます。ワークスペースの機能を使っている場合は、ワークスペースごとに扱われます。
アーティファクトを追加する画面では、選んだアーティファクトが右側のプレビューの欄に並び、確定する前に確かめられます。
- 対応していない形式のファイルが含まれていても、アップロード全体は止まりません。対応している形式のファイルだけが登録されます。
- 各アーティファクトには、ファイル名、URL、チケットの参照などの元の名前が、種類を示すアイコンとともに表示されます。
- アーティファクトごとに、名前（
Artifact Name）を付けられます。空欄の場合は、元の名前が使われます。
登録したアーティファクトは、今のアーティファクトの一覧に並びます。アーティファクトごとのメニューから、種類に応じてOpen URL、Open Ticket、View Fileで開けます。今のアーティファクトは、この一覧から削除することもできます。
アーティファクトが1つだけの証跡は、アーティファクトの種類に応じた操作（Open URL、Open Ticket、View File）で開きます。複数ある証跡ではView evidenceと表示され、全てのアーティファクトの一覧が開きます。URLとチケットはそのまま表示され、ブラウザーで表示できない形式のファイルはダウンロードを促されます。
アーティファクトを更新したときの版の残り方
アーティファクトには、今の証跡として使う「今のアーティファクト」と、履歴として残す「過去のアーティファクト」があります。どのアーティファクトを監査人に示し、どれを履歴として残すかは、利用者が決められます。
| 操作 | 動き |
|---|---|
| 新しいアーティファクトを追加する | 既存のアーティファクトは過去のものに移らず、全て今のアーティファクトのまま残る |
Mark as Past Artifact | アーティファクトを過去のものに移す。移した日付が記録される |
Mark as Current Artifact | 過去のアーティファクトを今のものに戻す |
証跡を更新する（Renew Evidence） | 今のアーティファクトが自動で過去のものに移り、新しくアップロードしたものに置き換わる |
Delete Artifact | アーティファクトを削除する |
過去のアーティファクトは、証跡のPast artifactsタブで確かめられます。Delete Artifactで削除しない限り、期限なく残ります。自動で消えることはありません。監査の履歴として長く（一般に7年以上）求められることがあるため、残しておきます。過去のものに移した日付が記録されるため、各アーティファクトがどの監査の対象期間のものかを確かめられます。
更新期限は、アーティファクトごとではなく、証跡ごとに設定します。アーティファクトが個別に期限切れになるのではなく、証跡全体に更新の周期があるという考え方です。更新期限を過ぎたら、今のアーティファクトをまとめて過去のものに移し、新しいものを登録します。更新期限の設定は、証跡のオーナーと更新期限の運用で説明しています。
【運用のポイント】 監査人に証跡を示す前に、今のアーティファクトを見直し、古いものや関係のないものを過去のアーティファクトに移しておきます。削除せずに移しておけば、後で必要になったときにも履歴として確かめられます。
アーティファクトをダウンロードする
証跡の詳細の画面のCurrent artifactで、アーティファクトのメニューからダウンロードできます。証跡をダウンロードすると、全てのアーティファクトがまとめられます。
- ファイルは、ZIPファイルにまとめられます。
- URLとチケットは、PDFにリンクとしてまとめられます。
一括インポートで証跡をまとめて登録する
多くの証跡を、アーティファクトとともにまとめて作ったり更新したりするには、一括インポートを使います。CSVファイルを取り込む方法、表計算ソフトから貼り付ける方法、画面で直接入力する方法があります。入力すると同時に内容が確かめられるため、送信の前に誤りを見つけて直せます。次のような場面で使います。
- 既存の証跡の一式を、Drataに一度で移す
- 集めたアーティファクト（PDF、ZIPファイル、リンク）を、まとめて証跡に付ける
- 既存の証跡の情報を一括で更新し、アーティファクトを追加する
Create evidenceのメニューにBulk importが表示されない場合は、一括インポートの権限（Bulk Import Evidence - Manage）がありません。この権限は、既定ではAdminやInformation Security Leadなどのロールに付いています。表示されない場合は、Adminのユーザーにロールと権限を確かめてもらいます。
一括インポートの画面。左側のUpload Artifact Files Hereでアーティファクトのファイルを上げ、中央でUpload fileかManually enter dataを選ぶ
一括インポートの手順
Compliance→EvidenceのCreate evidenceの横の矢印を選び、Bulk importを選びます。Upload Artifact Files Hereに、アーティファクトのファイルをアップロードします。ZIPファイルを上げると、Drataが解凍し、中のファイルを証跡に付けられるようになります。ZIPファイルそのものは付けられません。- データの入れ方を選びます。CSVファイルを取り込む場合は
Upload file、画面で1行ずつ入れる場合はManually enter dataを選びます。 - ファイルを取り込んだ場合は、ファイルの項目をDrataの項目に対応付けます。同じ名前の項目は自動で対応付けられるため、確かめて直し、
Continueを選びます。続いて、オーナー、コントロール、更新の周期の値を、ワークスペースの値に対応付けます。 - 入力の確認の結果を見て、誤りを直します。
Submitを選び、確認の画面でImport evidenceを選びます。
CSVファイルをアーティファクトとして付ける場合は、手順2で追加の操作が必要です。アップロードしたCSVファイルの行の「…」のメニューからAttach as evidence artifactを選び、確認が終わったらContinueを選ぶと、ファイル名を選べるようになります。
入力の確認
入力の確認は、行ごとに入力と同時に行われます。
| 表示 | 意味 |
|---|---|
| 赤のセル | 誤り。直すまでSubmitを選べない |
| 黄色のセル | 注意。そのまま送信できる。よくあるのは、同じ名前の証跡が既にあり、その行が既存の証跡の更新になるという注意 |
セルにカーソルを合わせると、問題の詳しい内容が表示されます。列の見出しにカーソルを合わせると、その項目の入力のルールが表示されます。All、Valid、Invalidのタブで行を絞り込め、右上のDownload validation resultsで今の誤りの一覧を書き出せます。
主な項目
必須の項目はNameだけです。ただし、各行に少なくとも1つのアーティファクト（ファイルかURL）が必要です。
| 項目 | 内容 |
|---|---|
Name | 証跡の名前。ワークスペースの既存の証跡と、大文字と小文字を区別せずに照合される |
Owner | 証跡のオーナーのメールアドレス。有効な要員で、Admin、Information Security Lead、Workspace Manager、Control Managerのいずれかのロールを持つ人 |
Controls | マッピングするコントロールのコードか名前。複数の場合はコンマで区切る。今のワークスペースにあるコントロールに限る |
Renewal Schedule | 更新の周期。1 Month、2 Months、3 Months、6 Months、1 Year、Custom - One Time、None |
Renewal Date | 次の更新期限（YYYY-MM-DD）。Renewal ScheduleがCustom - One Timeの場合だけ入れる |
Collected Date | アーティファクトを集めた日（YYYY-MM-DD）。行の全てのアーティファクトに使われる。空欄の場合はインポートした日になる |
Artifacts (Files) | 付けるファイルの名前。アップロードしたファイルの名前と、拡張子を含めて完全に一致させる |
Artifacts (URLs) | 付けるURL。https://などのプロトコルを含め、1つの値に1つのURLを入れる |
Replace Matching Artifacts | 既存の証跡に、同じファイル名のアーティファクトがある場合に、新しい版に置き換えるかどうか |
ほかに、説明（Description）、実施の手引き（Implementation Guidance）、再現の手順（Steps to Reproduce）、SafeBaseへの同期（Sync to SafeBase）の項目があります。
Renewal Scheduleで1 Monthから1 Yearの周期を選ぶと、次の更新期限は自動で計算されるため、Renewal Dateは空欄にします。Custom - One TimeでRenewal Dateを空欄にした場合と、ほかの周期でRenewal Dateを入れた場合は、誤りになります。Noneを選んだ証跡は更新されません。
ワークスペースの間でつないだコントロールがある場合は、AdminとInformation Security Leadのロールのユーザーに、ほかのワークスペースの同じコントロールにも証跡をマッピングする項目（Apply to linked controls in other workspaces）が表示されます。
作成と更新の分かれ方
各行は、Nameが既存の証跡と一致するかどうかで、作成か更新かが決まります。
| 同じ名前の証跡 | 同じファイル名のアーティファクト | Replace Matching Artifacts | 結果 |
|---|---|---|---|
| ない | ― | ― | 新しい証跡を作る |
| ある | ない | ― | 既存の証跡を更新し、アーティファクトを追加する |
| ある | ある | 選ばない | 既存の証跡を更新し、アーティファクトを追加する。既存のアーティファクトはそのまま残る |
| ある | ある | 選ぶ | 既存の証跡を更新し、同じファイル名（大文字と小文字を区別）のアーティファクトを新しい版に置き換える |
新しい証跡を作るつもりの行に、黄色の注意が出ている場合は、名前を変えてください。そのまま送信すると、同じ名前の既存の証跡が更新されます。