監査が始まると、監査人は、何を提出してほしいかを示す依頼事項を作ります。例えば「本番環境のシステムへのアクセスを四半期ごとにレビューしていることを示す証跡を提出してください」といった依頼です。依頼事項とその状態は監査の完了率のもとになるため、状態を正確に保ちながら対応します。このページでは、監査人からの依頼事項に対応する方法として、依頼事項の一覧の見方、証跡の確認とダウンロード、メッセージのやり取りと既読の管理、AIによるコントロールの対応付けの提案を説明します。
依頼事項の一覧を見る
依頼事項は、監査の詳細の画面の一覧で確かめます。
Compliance→Auditsを開きます。- 一覧から対象の監査を選びます。監査の詳細の画面が開き、依頼事項の一覧が表示されます。
一覧には、依頼事項ごとに、現在の状態と関係する情報が表示されます。一覧では、次のことができます。
- 依頼事項ごとに、要求事項、状態、そのほかの情報を確かめる
- 状態（New、Prepared、Completedなど）で絞り込んだり並べ替えたりして、まだ対応が必要なものに絞る
- 依頼事項を開いて、詳しい内容を確かめ、対応する
依頼事項を開くと、主に次の内容が表示されます。
| 内容 | 説明 |
|---|---|
| 依頼の要約 | 監査人が何を求めているか |
| 関係するコントロール | 依頼事項に対応付けられたコントロール |
| 証跡 | 対応付けられたコントロールに、既にアップロードされているか結び付けられている証跡 |
| メッセージ | この依頼事項について、監査人とやり取りするための欄 |
依頼事項に対応する
監査人からの依頼事項はDrataの中に届き、監査を受ける側は、補足のファイルをアップロードする、既存の証跡を結び付ける、依頼事項の状態を更新する、といった形で対応します。監査を受ける側が証跡をアップロードしたり状態を更新したりすると、依頼事項のメッセージの欄に、何が変わったかを示すシステムのメッセージが作られます。システムのメッセージには依頼事項へのリンクが含まれ、監査人はそこから依頼事項に移って証跡をダウンロードできます。
依頼事項とその状態は監査の完了率のもとになり、監査人や社内の関係者が進み具合を判断する目安になります。対応したら、依頼事項の状態を正確に更新しておきます。依頼事項の状態が変わったときや新しいメッセージが届いたときの通知は、通知の設定で設定できます。
【運用のポイント】 依頼の内容がはっきりしないときは、推測で証跡をそろえるより、依頼事項のメッセージで監査人に確かめる方が、やり取りの回数を減らせます。メッセージは依頼事項に結び付いて日時とともに残るため、監査に関するやり取りの記録にもなります。
依頼事項の証跡を確かめてダウンロードする
監査の画面では、項目ごとに、結び付いている全ての証跡をEvidenceタブで確かめられます。証跡を開いてプレビューしたり、1件ずつ、またはまとめてダウンロードしたりできます。Evidenceタブを使えるのはAdminとInternal Auditorのロールのユーザーで、項目とその証跡へのアクセスの権限に従います。
Auditsページを開きます。- 対象の監査を開きます。
- 監査の画面を下に移り、一覧を表示します。
- 一覧から対象の項目を選びます。
- 項目のページで、
Evidenceタブを選びます。
監査の項目のページ。Evidenceタブで、その項目に結び付いている証跡を確かめる
Evidenceタブの表には、Name、Artifact、Type、Control、Dateの列が並びます。表の上部の検索と絞り込みで、一覧を絞れます。証跡を開くと、次のように表示されます。
| 証跡の種類 | 表示 |
|---|---|
| プレビューできるファイル | Drataの中でそのまま見られる |
| プレビューできないファイル | 「Preview unavailable for this file type」と表示され、Downloadでダウンロードする |
| URLの証跡 | 「This evidence is a link to an external website」と表示され、Open linkで開く |
項目の全ての証跡は、表の上のDownload allで1つのZIPファイルにまとめてダウンロードできます。Download allには、ファイルの容量や数の上限はありません。証跡やコントロールが結び付いていない項目では、No documentsやNo controlsのような表示になります。
監査人とメッセージでやり取りする
依頼事項ごとに、自社のチームと監査人がDrataの中でメッセージをやり取りできます。
- 依頼の内容がはっきりしないときに確かめる
- アップロードした証跡について、最新の状況や背景を伝える
- 監査に関するやり取りを、依頼事項に結び付けて日時とともに残す
監査人のメッセージは、その監査にアクセスできる自社のDrataのユーザーに見え、同じスレッドでそのまま返信できます。
既読と未読を管理する
メッセージは、チーム全体で既読と未読を管理できます。既読と未読を変えられるのは、監査人と、Admin、Workspace Managerのロールのユーザーです。ほかのユーザーは、メッセージを見ることはできますが、既読と未読は変えられません。
Compliance→Auditsを開きます。- 対象の監査を選びます。
Open auditを選びます。- 画面を下に移り、一覧を
Unread messagesで絞り込みます。 - 未読のメッセージがある依頼事項を選びます。
Mark as read for teamを選びます。
既読にすると、チームの全員の未読の表示が消え、そのメッセージは監査の単位で確認済みとして扱われます。
監査の詳細の画面。依頼事項の一覧の左側で、未読のメッセージがあるものに絞り込む
AIで依頼事項にコントロールを対応付ける
依頼事項にコントロールが対応付けられると、そのコントロールに結び付いた証跡が依頼事項と一緒に示されるようになります。AIによるコントロールの推奨は、コントロールがまだ対応付けられていない依頼事項について、Drataが依頼事項のタイトルと説明を読み、最も合うコントロールを、確信度と分かりやすい説明とともに提案する機能です。対応付けの対象はDCFのコントロールだけで、カスタムコントロールには使えません。
この機能を使うのは、Drata Audit Portalの監査人か、内部監査人です。書き込みのできる監査人は推奨を確かめて採否を決められ、読み取り専用の監査人は推奨を見ることだけができます。
新しい監査で推奨を使う
- 監査人としてDrata Audit Portalにサインインします。内部監査人の場合は、監査のページを開きます。
- 新しい監査の作成を始めます。
Customize evidence stepで、Use custom evidence request listを選びます。- 依頼事項の一覧をアップロードします。推奨を受けたい依頼事項は、対応付けるDCFのコントロールの列を空欄にしておきます。一覧のテンプレートは、監査の作成の途中でダウンロードできます。
- コントロールの対応付けの確かめ方を選びます。
Auto-apply high-confidence mappings（推奨）は、確信度が高い対応付けを自動で適用し、確信度が中程度のものを確認用に残します。Review all mappingsは、全ての対応付けを適用の前に確かめます。 - 監査の作成を終えます。
保存すると、依頼事項の一覧に推奨の列が加わり、Drataが分析している間はGenerating、確かめる必要があるものはNeeds reviewと表示されます。監査の上部のバナーには、生成が終わったときに、自動で適用された数と確認が必要な数が表示されます。自動で適用されたコントロールは、Controlsの列で確かめられます。
推奨を確かめる
- 監査の画面で、確認が必要な依頼事項を開きます。
Recommendedの欄に移ります。- 推奨のカードごとに、コントロールの名前、DCFのコード、説明、確信度、AIの根拠を依頼事項と見比べ、関係があれば
Map Control、関係がなければDismissを選びます。選んだ後にUndoを選ぶと、カードが元に戻ります。 - 却下した推奨をもう一度見たいときは、
Regenerateを選びます。
複数の依頼事項をまとめて扱う場合は、監査のRequestsの欄で依頼事項を選び、Generateで推奨を作るか、Accept recommendationsで推奨を適用します。
【注意】 まとめて適用すると、確信度が高いものも中程度のものも、全ての推奨が適用されます。推奨を確かめて関係があると判断してから使ってください。推奨の設定、自動の対応付け、まとめての適用、依頼事項からのコントロールの削除は、
Eventsページで確かめられます。
Fieldguideと連携した監査の依頼事項
監査人がFieldguideを使い、Drataと連携した監査では、依頼事項の作成と状態はFieldguideが、証跡はDrataが受け持ちます。Fieldguideの依頼事項はDrataに同期され、自社はDrataで証跡を登録し、依頼事項ごとのやり取りを行います。
| 動き | 内容 |
|---|---|
| 証跡の受け渡し | Drataで証跡を添付しただけでは、Fieldguideには送られない。依頼事項をNewからPreparedに移すと、FieldguideのReady for Reviewに切り替わり、証跡が送られる |
| 差し戻し | 監査人が修正を求めて差し戻すと、その状態の変化がDrataに同期され、Drataで対応を続けられる |
| 証跡の除外 | Fieldguideに渡したくない証跡は、依頼事項から除外できる。除外した証跡は、同期の状態になっても送られない |
| コメント | 新しいコメントは、FieldguideとDrataの間で双方向に同期される。編集や削除は同期されない。誰が書いたかの表示は、投稿した人とFieldguideでの扱いによって変わることがある |
| AIの推奨 | 依頼事項が同期されると、確信度が高いコントロールが自動で対応付けられる。切り替えの設定はない。残りの推奨は、上の手順で確かめる |
証跡がFieldguideに届いていない場合は、Drataで依頼事項の状態を確かめます。監査の上部に連携の警告が出ている場合は、Settings → ConnectionsでFieldguideとの連携を確かめ、接続を試し直すか、APIトークンを更新します。Fieldguideとの連携の設定は、監査を作成して監査人を招待するで説明しています。