バックグラウンドチェック

採用時のバックグラウンドチェック（経歴の確認）は、SOC 2やISO 27001の監査で、新しく入社した要員について確かめられる項目です。Drataでは、連携したサービスから記録を取り込むか、外部で行ったチェックの証跡を要員の記録に付け、モニタリングテストで確かめます。このページでは、採用時のバックグラウンドチェックの記録として、SOC 2とISO 27001で求められる範囲、連携できるバックグラウンドチェックのサービス、記録の一括インポートを説明します。

SOC 2とISO 27001で求められる範囲

ヘルプセンターでは、フレームワークごとに次のように説明しています。どこまで行うかは、監査人とも相談して決めます。

論点	SOC 2	ISO 27001
義務か	明示の要件ではないが、新しく入社する人の犯罪歴の確認を、雇用の条件として行うことが勧められる。監査人は、行っていることを信頼できる運用の表れとして見る	附属書Aの管理策6.1（選考）の実施の手引きが、全ての従業員と業務委託者に勧めている。どの種類の確認を行うかには幅がある
確かめる内容	何を確かめるかは組織が決める	犯罪歴、本人確認、職歴、照会、能力、学歴、資格、技能の試験などから、1つか組み合わせを選ぶ
既存の社員	全員に行うのが望ましいが、監査人が確かめるのは、新しく入社した従業員と業務委託者であることが多い	同じ。実施の手引きは全員に勧めているが、監査人が確かめるのは新しく入社した人であることが多い
業務委託者	個人で契約する業務委託者には行うことが勧められる。外部の会社から受け入れる場合は、その会社が行っていることを確かめる	個人の業務委託者には行うことが勧められる。外部の会社から受け入れる場合は、責任の分担を契約で決める
国の法律で行えない場合	採用する人の経歴と技術的な能力を評価し、その記録を要員ごとにアップロードする。例外の理由も記録に残す	その国の法律が考慮される。最低限は本人確認
頻度	―	実施の手引きは定期的な確認を勧めているが、事業の判断とリスクアセスメントによる

Drataのテストは、在籍中の従業員（Employee Background Checks）と業務委託者（Contractor Background Checks）のそれぞれについて、入社前にバックグラウンドチェックが済んでいるかを確かめ、済んでいない人の一覧を示します。チェックを求めない要員は、理由を付けてBackground Checkの確認項目を除外します（対象外の要員とサービスアカウント）。

チェックの進め方を選ぶ

バックグラウンドチェックの進め方は、Settings → Personnel complianceのHuman ResourcesタブのBackground checksの欄で選びます。設定できるのは、AdminとPersonnel Compliance Managerのロールのユーザーです。

Human ResourcesタブのBackground checksの欄。Drataの提携先のサービスを使うか、完了したチェックをアップロードするかを選ぶ

進め方	内容	向いている場合
Drataの提携先のサービスで、要員が新しくチェックを始める	要員がMy Drataの入社時の作業で、提携先のサービスのチェックを始める	提携先のサービスを使う。My Drataで米国のチェックを始めてもらいたい
完了したチェックを、Personnelページで要員ごとにアップロードするか、連携で取り込む	チェックはDrataの外で行い、結果をDrataに記録する	採用の前にチェックを済ませる。Drataの外でチェックを行う

設定は、実際の採用の手順に合わせます。設定と実際の手順が合わないと、監査で問題になります。

連携できるサービス

サービス	特徴
Checkr	記録が自動で同期される。米国と米国外のチェックに対応し、地域ごとにMy Drataで要員が始めるパッケージを選べる。My Drataで選ばなくても、見つかったチェックは同期される
Certn	Drataからチェックを始め、結果の概要を保存する。米国、カナダ、米国外のチェックに対応。EUの顧客は使えない。ヘルプセンターでは、米国外のチェックの連携として主にCertnを挙げている
KarmaCheck	新しく入社する人が、Drataの入社時の作業でチェックを行う。Drataには結果の概要だけが渡る
Vetty	Drataからチェックを送り、結果がWebhookで自動で返る
HireRight	HireRightで行ったチェックの記録を、CSVファイルでDrataにアップロードする

連携の作業は、Admin、Workspace Manager、DevOps Engineerのロールのユーザーが行えます。連携した後に、Human ResourcesタブのBackground checksの欄で、そのサービスを使う設定を選びます。CheckrとKarmaCheckで米国外のチェックを行った場合は、証跡を手作業でアップロードすることが勧められています。

取り込んだ記録を要員に対応付ける

Drataは、連携したサービスから毎晩（米国太平洋時間）記録を取り込みます。記録の主な識別子は、チェックに使ったメールアドレスで、多くは本人の個人のメールアドレスです。Drataは、このアドレスを、人事システムの個人のメールアドレス、仕事のメールアドレス、姓名の順に照らして、要員に自動で対応付けます。

【注意】 Factorial、HR Partner、Insperity Premier、OysterHR、TriNetの人事システムは、個人のメールアドレスをDrataに渡さないため、仕事のメールアドレスと姓名だけで照合されます。対応付かない記録は、ConnectionsのManage accountsのBackground Checksのページで、要員を選んで対応付けます。チェックに使うメールアドレスを、人事システムに登録した個人か仕事のメールアドレスとそろえておくと、対応付けのずれを防げます。

外部で行ったチェックの証跡を付ける

Drataと連携していないサービスでチェックを行った場合は、要員ごとに証跡を付けます。証跡の文書は、Google Drive、Dropbox、社内の保管場所などに置き、DrataからはURLで参照するか、ファイルをアップロードします。この操作は、AdminかInformation Security Leadのロールのユーザーが行えます。

1. Governance → Personnelで、要員を開きます。
2. Background checkの行の…のメニューで、Upload evidenceを選びます。
3. Add background checkの画面で、証跡のURL（またはファイル）と、チェックが済んだ日を入れます。
4. Saveを選びます。

要員の詳細の画面。Background checkの行のメニューからUpload evidenceを選ぶ

証跡には、チェックのサービスの報告書、証明書、画面などで、チェックが済んだこと、済んだ日、サービスの名前や方法が分かるものを使います。

【注意】 URLの参照先は、Drataの管理者が開けるようにし、要員本人には法律で求められる場合にだけ開けるようにします。社会保障番号、生年月日、必要のない正式な氏名など、不要な個人情報を含む文書を参照しないでください。

記録を一括インポートする

完了したチェックの記録を自社で保管している場合は、複数の要員の分をまとめて取り込めます。各行はメールアドレスで要員に対応付けられ、対応する要員がいない行は受け付けられません。

1. Governance → Personnelで、一覧の…のメニューからBulk import → Background checksを選びます。
2. CSVファイルをアップロードするか、画面の表に貼り付けるか入力します。
3. ファイルの列を、Drataの項目に対応付けます。必要に応じて値も対応付けます。
4. 検証の結果を確かめ、赤のセルの誤りを直すか、その行を除きます。
5. 内容の確認の画面で確定します。

Personnelページの…のメニュー。Bulk importからBackground checksを選ぶ

項目	必須	規則
Personnel email address	必須	Drataにいる在籍中か退職済みの従業員か業務委託者のメールアドレス。入社予定者と対象外の要員は受け付けられない
Background check completion date	必須	今日以前の日付
Background check location	必須	報告書のURL。Drataは形式だけを確かめ、ファイルがあるかや開けるかは確かめない

取り込んだ記録は、まとめて1回で書き込まれ、送信の時点で問題があると取り込まれません。

要員の状況	取り込んだ結果
手作業の証跡がない	証跡が加わり、バックグラウンドチェックが済んだ扱いになる
Background checkの確認項目を除外している	証跡は加わるが、除外の扱いのまま
既に手作業の証跡がある	手作業の記録は1人1件だけのため、その行は検証で止められる

【運用のポイント】 一括インポートで保存されるのは報告書へのリンクで、ファイルそのものではありません。報告書は、自社の保管場所に置き続けてください。Checkrなどの連携の記録は、一括インポートとは別に扱われます。