Drataの監査は、コンプライアンスの情報、証跡、コントロールを、期間を区切って決まった形で監査人に共有するための仕組みです。監査を作ると、監査人からの依頼事項、証跡、監査人とのメッセージを、Drataの中の1カ所で扱えます。このページでは、Drataで監査を進める全体像として、Auditsページの見方、監査の詳細の画面でできること、準備状況の点検から依頼事項への対応までの作業の流れを説明します。
監査を作るときに決める3つのこと
Drataで監査を作るときは、次の3つを決めます。
| 決めること | 内容 |
|---|---|
| 何を監査するか | フレームワークと監査の種類 |
| いつを対象にするか | 監査対象期間 |
| 誰がアクセスできるか | 割り当てる監査人 |
これらの設定が誤っていると、監査人に必要な証跡や依頼事項が見えなかったり、監査人が監査の作業を進められなかったりします。監査の作成の手順は、監査を作成して監査人を招待するで説明します。
Auditsページを開く
Auditsページは、左側のナビゲーションのCompliance → Auditsで開きます。開くと、アクセスできる全ての監査の一覧が、主な情報と進み具合とともに表示されます。
Auditsページでは、Adminとワークスペースマネージャーのロールのユーザーが、監査を確かめ、依頼事項を管理できます。外部の監査人は、別に用意された監査人向けの画面（Drata Audit Portal）を使います。監査人向けの画面も、同じ監査のデータをもとにしています。監査人向けの画面は、監査人が見る画面で説明します。
Auditsページの監査の一覧。監査ごとに、フレームワーク、監査の種類、監査対象期間、監査人が表示される
監査の一覧に表示される情報
監査の一覧には、ワークスペースやフレームワークをまたいで、実施中と完了済みの監査がまとめて表示されます。監査ごとに、主に次の情報が表示されます。
- 内部監査か外部の監査か
- 監査の名前とフレームワーク（SOC 2、ISO 27001など）
- 監査対象期間（監査人が確かめる期間）
- 監査全体の状態（実施中か完了済みかなど）
監査人の一覧は、Auditsページの上部のAuditorsタブで管理します。
監査の詳細の画面でできること
監査の一覧から監査を選ぶと、監査の詳細の画面が開きます。この画面は、監査人が監査人向けの画面で見ている内容と同じ見え方になるように作られており、そのうえで、監査を受ける側だけが使う機能が加わっています。
監査の詳細の画面。上部に割り当てられた監査人と依頼事項の集計、下部に依頼事項の一覧が表示される
| できること | 内容 |
|---|---|
| 依頼事項の確認と対応 | 監査人からの依頼事項を一覧で確かめ、状態（New、Prepared、Completedなど）で絞り込んで、まだ対応が必要なものに絞る。依頼事項を開くと、監査人が求めている内容の要約、対応付けられたコントロール、そのコントロールに登録済みの証跡、依頼事項ごとのメッセージが表示される |
| 監査人とのメッセージ | 依頼事項ごとに、監査人とメッセージをやり取りする。メッセージは既読と未読で管理できる |
| 証跡のダウンロード | 監査前の証跡パッケージや、コントロールの証跡パッケージを作ってダウンロードする。過去に作ったパッケージをダウンロードの履歴からダウンロードし直す |
| 監査人の管理 | 監査に監査人を加える、監査法人の担当者が替わったときに監査人を外したり替えたりする |
監査の完了率は、依頼事項とその状態をもとに計算されます。監査人や社内の関係者が進み具合を正しく判断できるように、依頼事項の状態を正確に保ちます。依頼事項への対応は、監査人からの依頼への対応で説明します。
【運用のポイント】 監査の画面から、モニタリングや証跡などのほかのページに移って問題を詳しく調べ、監査の画面に戻って依頼事項への対応を終える、という使い方ができます。監査の中で、ふだん使っているコントロール、テスト、証跡、要員の記録をそのまま参照できます。
監査の流れとDrataで行う作業
監査の準備ができてきたら、Auditsページから監査を作り、監査人を招待します。監査を作るときは、監査の種類、監査の進め方、フレームワーク、監査対象期間を決めます。監査を作った後は、監査の詳細の画面が監査の期間中の主な作業場所になります。
| 段階 | Drataで行う作業 | 説明しているページ |
|---|---|---|
| 準備状況の点検 | モニタリング、コントロール、要員、ポリシー、ベンダーの各ページを見直し、失敗しているテストや足りない証跡を直す | 監査前の証跡パッケージ |
| 監査対象期間の決定 | 監査対象期間を、監査人と相談して決める | 監査対象期間とサンプリング |
| 監査の作成と監査人の招待 | 監査を作り、フレームワークと監査対象期間を設定して、監査人を割り当てる | 監査を作成して監査人を招待する |
| 監査前の証跡パッケージ | 監査人に前もって渡す情報のカテゴリーを選ぶ | 監査前の証跡パッケージ |
| サンプリング | 監査人が証跡のサンプルを設定する。サンプリングの時点の証跡から、コントロールの証跡パッケージが作られる | 監査対象期間とサンプリング |
| 依頼事項への対応 | 依頼事項を確かめ、証跡を登録し、メッセージで監査人とやり取りする | 監査人からの依頼への対応 |
社内の人が行う内部監査も、同じ流れで進められます。内部監査は、内部監査で説明します。