コントロールオーナーと承認

Drataでは、コントロールごとに責任者としてコントロールオーナーを割り当てます。さらに、重要なコントロールには、準備完了（Ready）にする前に指定した人の承認を必須にする設定を加えられます。オーナーと承認者を決めておくと、誰がコントロールを整え、誰が確かめたかを監査人に示せます。このページでは、コントロールオーナーの割り当てと承認の流れとして、オーナーと証跡のオーナーの違い、承認を必須にする設定、オーナーが退職したときの影響と引き継ぎの手順を説明します。

コントロールオーナーの役割

コントロールオーナーは、担当するコントロールを監査に耐える状態に保つ責任者です。証跡がマッピングされていること、テストが成功していること、コントロールが準備完了であることを確かめ、監査の対応を支えます。1つのコントロールに、複数のオーナーを割り当てられます。

オーナーは、必ずしも事業の責任者である必要はありません。ポリシーの承認や証跡の収集を取りまとめる管理者や担当者をオーナーにしても構いません。オーナーに求められることは、導入の流れと体制で説明しています。

オーナーになれるロール

コントロールオーナーになれるのは、次のロールのユーザーです。

• Admin
• Information Security Lead
• Control Manager
• Workspace Manager

読み取り専用のWorkspace Managerは、コントロールオーナーになれません。オーナーには、職務を果たすのに必要な権限、背景の知識、アクセスを持つ人を選び、社内の統制や監査の要件に合った割り当てにします。担当するコントロールだけを扱わせたい場合は、範囲を制限したControl Managerのロールが使えます。ロールはロールと権限の設計で説明しています。

コントロールオーナーと証跡のオーナーの違い

Drataには、コントロールオーナーとは別に、証跡ごとに割り当てる証跡のオーナー（Evidence Owner）があります。

担当者	割り当てる単位	責任
コントロールオーナー	コントロール	コントロール全体に責任を持つ
証跡のオーナー	証跡（アーティファクト）	その証跡のアップロードと更新に責任を持つ

証跡を集めて更新する人と、コントロールに責任を持つ人は、異なることがよくあります。特に、規模の大きい組織や、部署ごとに作業を分担している組織では、2つのオーナーを別の人にすると、コントロールの責任と証跡の作業をそれぞれ適切な人に任せられます。証跡のオーナーの割り当て方は、証跡のオーナーと更新期限の運用で説明します。

コントロールオーナーを割り当てる

オーナーは、コントロールの詳細の画面か、Controlsページの一覧から割り当てます。

1つのコントロールに割り当てる

1. Compliance → Controlsを開き、コントロールを選びます。
2. OverviewタブのOwnersの欄で、Assignを選び、オーナーにする人を選びます。

オーナーを外すときは、Ownersの欄で、外す人の表示の「×」を選びます。

まとめて割り当てる、外す

1. Controlsページで、1つ以上のコントロールを選びます。
2. 画面の下の操作のバーで、Assign/remove control ownersを選びます。
3. 割り当てる場合は、選んだ全てのコントロールに加えるオーナーを選びます。外す場合は、外す人の表示の「×」を選びます。外す操作は、選んだコントロールのうち、その人がオーナーになっている全てのコントロールに効きます。
4. 確定して保存します。

Controlsページの一覧は、コントロールオーナーで絞り込めるため、特定の人が担当するコントロールをすぐに確かめられます。一覧をCSVファイルに書き出すと、オーナーはControl Ownersの列に入ります。

承認を必須にする

承認を必須にしたコントロールは、指定した承認者が確かめて承認するまで、準備完了になりません。コントロールが実施されているだけでなく、正式に確認されたことを示せるため、コントロールの統制がきちんと働いていることを監査人に示す証拠になります。

承認の設定を扱えるのは、Controlsページへの書き込みの権限を持つ、Admin、Information Security Lead、Workspace Manager、Control Managerのロールのユーザーです。承認したり、修正を求めたりできるのは、割り当てられた承認者だけです。コントロールオーナーと承認者は、同じ人でも構いません。読み取り専用の監査人は、承認の状況を見られますが、操作はできません。

承認の段階

承認を必須にしたコントロールは、次の段階を進みます。今の段階は、コントロールの詳細の画面のReview and approvalの欄に表示されます。

段階	意味	次にすること
Prepare for approvers（承認の準備中）	コントロールオーナーが承認に向けて準備している	証跡、ポリシー、テスト、マッピングを整え、準備ができたら承認者に送る。送ると承認者に通知され、確認のタスクが割り当てられる
Needs approval（承認待ち）	承認者の確認を待っている	承認者がコントロールを確かめ、承認するか修正を求める
Changes requested（修正依頼）	承認者が修正を求めた。依頼の内容はメモ（Internal notes）に記録され、Drataのタスクが作られる	コントロールオーナーが修正し、もう一度承認者に送る
Approved（承認済み）	承認された	承認の期限を管理する

コントロールの詳細の画面。Review and approvalの欄に、段階（Prepare for approvers）、承認の期限、承認者が表示され、Send to approversで承認者に送る

1つのコントロールに承認を設定する

1. Controlsページで、コントロールを選びます。
2. Review and approvalの欄で、Set upを選びます。
3. コントロールにオーナーが少なくとも1人いることを確かめます。オーナーがいない場合は、先に割り当てます。
4. 承認者を1人以上加えます。複数の承認者を加えた場合は、そのうち1人が承認すれば済みます。
5. 承認の期限を設定します。
6. Saveを選びます。
7. 準備ができたら、Send to approversを選んで確認を始めます。

まとめて承認を設定する

1. Controlsページで、1つ以上のコントロールを選びます。選ぶコントロールには、全てオーナーが割り当てられている必要があります。必要に応じて、Owners assignedとNo approvers assignedで絞り込みます。
2. 操作のバーで、Add approvalsを選びます。
3. 承認者を割り当て、承認の期限を設定します。
4. Saveを選びます。

選んだコントロールにオーナーのいないものがあると、エラーのメッセージでそのコントロールが示されます。オーナーを割り当ててからやり直してください。

Controlsページで、オーナーがいて承認者がいないコントロールに絞り込み、まとめて選んだところ。操作のバーにAssign/remove control ownersやAdd approvalsが並ぶ

承認の設定を削除する

承認が不要になったコントロールは、Review and approvalの欄のごみ箱のアイコンを選んで、承認の設定を削除します。複数のコントロールを選んで、操作のバーのDelete approvalsでまとめて削除することもできます。削除しても、メモ、イベント、承認の履歴は消えません。削除したコントロールは、承認を除いた通常の条件で準備状況が判断されます。承認の設定は、いつでも加え直せます。

承認の後に起きること

承認されたコントロールも、次の場合は段階が戻り、もう一度承認が必要になります。

起きること	段階の変化
承認の期限の14日前になった	Needs approvalに戻る
新しいポリシーをマッピングした	Prepare for approversに戻る
Controlsページから証跡を追加し、承認者に送ることを選んだ	Needs approvalに戻り、承認者に通知される
Controlsページから証跡を追加し、作業を続けることを選んだ	Prepare for approversに戻り、承認者には通知されない

段階の自動の更新に失敗した場合は、イベントが記録されます。承認に関する全ての操作は記録されるため、監査で経緯を示せます。

承認の段階が変わったときの通知は、承認者とコントロールオーナーがそれぞれ設定します。設定の方法は通知の設定で説明しています。

【運用のポイント】 承認の期限は、監査対象期間の中で定期的な確認を示せるように設定します。期限の14日前に承認待ちに戻るため、その間に承認者が確認できるよう、承認者の予定も考えて期限を決めてください。全てのコントロールに承認を必須にすると、承認者の負担が大きくなり、準備完了になるまでの時間も延びます。監査で重視されるコントロールや、変更の影響が大きいコントロールから始めるのが現実的です。

オーナーや承認者が退職したときの影響と引き継ぎ

退職したときの影響

コントロールオーナーは、オーナーになれるロールを持っている必要があります。ユーザーのロールが外されたり、元従業員・元委託先（Former Employee/Contractor）とされたりすると、その人はコントロールオーナーから外れます。また、ロールを変えると、そのユーザーが担当していたコントロールなどは、操作した管理者に割り当て直されます。

承認者が全て外れたり、組織を離れたりすると、コントロールに新しい承認者が必要なことを示すバナーが表示されます。承認者を割り当てるまで、そのコントロールは承認できません。承認を必須にしたコントロールは準備完了にならないため、放置するとフレームワークの準備状況に響きます。

引き継ぎの手順

担当者の退職や異動が決まったら、手続きの前に次の手順で引き継ぎます。

1. Controlsページで、退職する人のコントロールオーナーで絞り込み、担当していたコントロールの一覧を出します。
2. 一覧のコントロールを全て選び、Assign/remove control ownersで後任のオーナーを割り当てます。
3. 同じコントロールを選んだまま、退職する人をオーナーから外します。
4. 承認を必須にしたコントロールで、退職する人が承認者になっているものは、Review and approvalの欄のEditから、承認者を後任に変えます。
5. 退職の手続きの後、ControlsページのOwnersの列で、オーナーがいなくなったコントロールが残っていないかを確かめます。また、No approvers assignedで絞り込み、Required approvalsで承認の段階（Prepare for approvers、Needs approval、Changes requested、Approved）を選んで、承認者の抜けが残っていないかを確かめます。

【注意】 退職の手続きを先に済ませると、その人がオーナーから外れ、担当していたコントロールをオーナーの条件で探せなくなります。後任への割り当ては、退職の手続きの前に済ませてください。証跡のオーナーやポリシーのオーナーなど、ほかの担当も同時に引き継ぎます。管理者が退職する場合の引き継ぎは、管理者が交代するときの引き継ぎで説明します。要員の退職の手続きは、雇用状態と入社・退職の管理で説明します。