Drataで監査人が見られる証跡は、監査対象期間と証跡のサンプリングの2つで決まります。証跡が見当たらない、空になっている、古いといった監査人からの問い合わせの多くは、この2つの設定によるものです。このページでは、監査対象期間と証跡のサンプリングとして、期間の設定が監査人の見られる範囲に与える影響、期間の外に登録した証跡を見せる方法、サンプリングとコントロールの証跡パッケージの関係を説明します。
監査人が見られる証跡を決める2つの設定
監査人が見られるのは、監査対象期間に入っていて、監査のためにサンプリングされた証跡だけです。
| 設定 | 内容 |
|---|---|
| 監査対象期間 | 監査を作るときに設定する日付の範囲。監査を受ける側が設定し、変える |
| 証跡のサンプリング | 監査人が、確かめる証跡のサンプルを設定する。サンプリングした時点の証跡から、コントロールの証跡パッケージが作られる |
監査人の証跡へのアクセスを決めるのは、監査人ではなく、監査を受ける側です。
監査対象期間を決める
監査対象期間は、監査人とよく相談して決めます。フレームワークの要件（SOC 2のType 2、ISO 27001など）に合った期間にしておくと、証跡を集める段階や監査人のテストの段階での食い違いを防げます。
SOC 2のType 1は特定の日の時点でのコントロールの設計を、Type 2は一定の期間（一般に3〜12カ月）のコントロールの設計と運用の有効性を評価します。Type 1とType 2の違いは、SOC 2を進めるで説明しています。
【注意】 監査人に見えるのは、設定した開始日から終了日までの間に作られたか、登録された証跡だけです。セキュリティー研修の修了、脆弱性スキャンの報告書、ポリシーの承認などの証跡がDrataにあっても、期間の外にあれば監査人には示されません。期間を設定する前に、選んだ期間の証跡がDrataにそろっているかを確かめてください。期間を変える場合は、監査人に示される証跡が変わることに注意します。
監査対象期間を変える
- 監査の画面を開きます。
- 監査対象期間の横にある編集のアイコンを選びます。
- 開始日か終了日を変えます。
- 変更を保存します。
Fieldguideと連携した監査では、監査対象期間はFieldguideから取り込まれ、Drataでは変えられません。Fieldguideとの連携は、監査を作成して監査人を招待するで説明しています。
期間の外に登録した証跡を見せる
新しい証跡を監査対象期間の外の日付で登録した場合、そのままでは監査人に見えません。次の手順で見せます。
- 新しい証跡の日付が入るように、監査対象期間を変えます。
- 期間を変えたことを監査人に知らせます。
- 監査人に、証跡のパッケージのサンプリングをやり直してもらいます。
証跡が見えないと言われたとき
監査人から、証跡が見当たらない、または空になっていると言われたら、サンプリングした日付を確かめます。監査人がまだ来ていない日付をサンプリングしていると、自動のテストの証跡はまだありません。その日付が過ぎてから、監査人にサンプリングをやり直してもらいます。
サンプリングとコントロールの証跡パッケージ
コントロールの証跡パッケージは、監査人と監査を受ける側が同じ証跡のデータから作るZIPファイルです。コントロールごとの証跡のファイル、監査の情報と対応付け、証跡をコントロールまでたどれる操作のできる一覧（マニフェスト）が含まれます。
監査人が最初に監査のサンプルを設定したとき、Drataはその時点で対応付けられている全ての証跡のスナップショットを取り、コントロールの証跡パッケージを作ります。サンプルを設定した後に新しい証跡を対応付けても、作成済みのパッケージには、監査人の側にも監査を受ける側にも現れません。新しい証跡を含めるには、監査人が対象のコントロールや期間のサンプルを調整するかリセットし、Drataに新しいサンプルでパッケージを作り直させます。どの証跡がそれぞれのサンプリングの裏付けになったかを、監査で確かめられる形で残すための仕組みです。
監査人がサンプルを変えるときは、日付の範囲を調整したり、テストに応じて別の要員や資産を選んだりします。Drataは新しいサンプルの期間に入る証跡を計算し直し、そのサンプルに合わせてコントロールの証跡パッケージを作り直せるようにします。Type 1の監査では、最初のサンプリングが限られる（要員の記録1件など）ことがありますが、監査人は追加のサンプルが必要なら同じ操作を繰り返せます。
【運用のポイント】 サンプルを変えるたびにパッケージを作り直すことになるため、どの時点でサンプルを固め、パッケージを確定させるかを、監査人と早めに決めておくと、不要な作り直しを避けられます。範囲に入るフレームワーク、期間、母集団も、早めに監査人とすり合わせておきます。
監査を受ける側でパッケージを作る
監査の詳細の画面では、監査を受ける側もコントロールの証跡パッケージを作れます。
| 操作 | 内容 |
|---|---|
Request control evidence | この監査のコントロールの証跡パッケージを作るようDrataに依頼する。Drataが全てのコントロールの証跡、監査の対応付け、マニフェストをZIPファイルにまとめる。作り終わると依頼した人にメールが届き、同じメニューか通知のリンクからダウンロードできる |
View past downloads | この監査のダウンロードの履歴を開く。過去に作った監査前の証跡パッケージとコントロールの証跡パッケージが、状態と日時とともに表示され、作り直さずにダウンロードし直せる |
監査の詳細の画面の右上のメニュー。コントロールの証跡パッケージの作成や、ダウンロードの履歴の確認をここから行う
証跡パッケージの中身を確かめる
監査の証跡をダウンロードすると、全ての証跡を含む1つのZIPファイルが作られます。
| ファイルやフォルダー | 内容 |
|---|---|
ControlEvidence/ | 全ての証跡のファイル。コントロールかフレームワークごとに分かれている |
AuditInfo.txt | 監査とパッケージの情報の概要 |
Controls-to-Requirements.csv | コントロールと要求事項の対応付けの一覧 |
Evidence/ | 全ての証跡のファイル。互換性のためにファイル名を短くしている |
evidence_manifest.html | 証跡をブラウザーで見たり、探したり、開いたりできるマニフェスト |
マニフェストで証跡を探す
ZIPファイルを解凍し、evidence_manifest.htmlをChrome、Edge、Safariなどのブラウザーで開きます。マニフェストには、次の列を持つ表が表示されます。
ブラウザーで開いたevidence_manifest.html。要求事項、コントロール、元のパス、短くしたファイル名が並ぶ
| 列 | 内容 |
|---|---|
Requirement | 関係するフレームワークの要求事項や条項 |
Control | コントロールや証跡の名前 |
Original Path | Drataでのファイルの元の場所（参考） |
Abbreviated Filename (/Evidence) | /Evidenceフォルダーにある証跡のファイルへのリンク。ブラウザーが対応していないファイルの種類は、ダウンロードのフォルダーに保存される |
検索の欄にコントロールの名前、ファイル名、キーワードの一部を入れると、入力に合わせて表が絞り込まれます。件数が多い場合は、下部のNextとPreviousでページを移ります（1ページに10件）。Abbreviated Filename (/Evidence)の列のファイル名を選ぶと、ブラウザーか既定のアプリでファイルが開きます。
パッケージの中のファイル名が短い無作為の名前になっているのは、Windowsなど、ファイルのパスの長さに制限があるOSでも、ダウンロードと解凍が確実にできるようにするためです。短いファイル名（1.pdf、6.csvなど）と元の名前の対応はマニフェストに載っているため、どの証跡のファイルがどのコントロールのものかを確かめられます。
| 困ったこと | 対応 |
|---|---|
| Windowsで解凍できない | Windowsのエクスプローラーか、7-Zipなどの解凍のツールを使う。解決しない場合はDrataのサポートに連絡する |
| マニフェストが開かない | 対応しているブラウザー（Chrome、Edge、Safari、Firefox）で開く |
| ファイルが見当たらない、壊れている | 最新の版を得るために、証跡のパッケージをダウンロードし直す |