コントロールの準備状況

Drataでは、コントロールごとに、監査を受けられる状態になっているかを準備完了（Ready）と準備未完了（Not Ready）で示します。コントロールの準備状況は、要求事項とフレームワークの準備状況のもとになるため、フレームワークの進み具合を上げるには、コントロールを1つずつ準備完了にしていくことになります。このページでは、コントロールが準備完了になる条件として、テストと証跡とポリシーがそれぞれ準備状況に与える影響、準備未完了の原因の探し方、準備状況の数字を社内に報告するときの注意を説明します。

準備完了になる条件

コントロールは、次の条件を全て満たすと準備完了になります。

条件	内容
承認	承認を必須にしている場合は、承認者の承認を得ている
証跡	マッピングされた証跡（テスト、ポリシー、証跡のアーティファクト）が全て有効で、無効なものが1つもない
範囲	対象（In Scope）の要求事項の少なくとも1つにマッピングされている

コントロールの準備状況は、要求事項とフレームワークの準備状況に積み上がります。要求事項は、マッピングされた全てのコントロールが準備完了のときに準備完了になります。積み上がり方は要求事項とコントロールの関係、フレームワークの準備状況の計算の方法は対応フレームワークと有効化で説明しています。

準備状況の画面

コントロールの詳細の画面のOverviewタブの上部に、準備状況がまとめて表示されます。

Overviewタブの準備状況。進み具合のバーの下に、Evidence、Monitoring、Policies、Approvalsのカードが並び、それぞれの項目の数が示される

要素	内容
進み具合のバー	コントロールが準備完了にどこまで近づいたかを示す。バーにカーソルを合わせると、証跡、テスト、ポリシー、承認ごとに、準備ができた項目の数が表示される
Evidenceのカード	マッピングされた証跡の状態
Monitoringのカード	マッピングされたテストの状態
Policiesのカード	マッピングされたポリシーの状態
Approvalsのカード	承認の状態

進み具合の割合は、「準備ができた項目の数÷（準備ができた項目の数＋準備ができていない項目の数）」で計算されます。準備状況の計算に入らない項目（Not factored）と対象外の項目は含まれません。詳細の画面の上部のProgressには、準備ができた項目の数と全体の項目の数が「4 of 5」のように表示されます。

各カードでは、項目が準備状況を上げているか、下げているか、計算に入らないかが分かります。準備状況の計算に入らない項目は、準備状況を上げも下げもしません。

テスト、証跡、ポリシーが与える影響

テスト

マッピングされたモニタリングテストは、結果によって次のように扱われます。テストのマッピングを外すと、そのテストは準備状況に影響しなくなります。

テストの状態	準備状況への影響
成功（Passing）	準備状況を上げる
失敗（Failing）	準備状況を下げる
無効（Inactive）、未実施または無効化（Not tested or disabled）、本番環境以外（Non-production）、エラー（Erroring）	準備状況の計算に入らない

証跡

証跡には、アーティファクトと更新期限によって状態が付きます。

証跡の状態	内容	準備状況への影響
Ready	有効なアーティファクトがある、または有効なテストの証跡がある	上げる
Upcoming renewal	アーティファクトがあり、更新期限まで2カ月以内	上げる
Needs renewal	アーティファクトがあるが、更新期限を過ぎている	下げる
Needs artifact	アーティファクトがない	下げる
Error	結び付いたテストがエラーになっている	影響しない

コントロールのEvidenceタブから直接追加したその他の証跡（ファイルやURL）も、更新期限を過ぎると無効になります。証跡の状態の詳しい説明は、Evidenceページと証跡の状態を参照してください。

ポリシー

マッピングされたポリシーは、公開された版があれば有効、公開された版がなければ無効です。ポリシーを作っても、承認と公開を済ませるまでは、コントロールの準備状況を下げます。ポリシーの承認と公開の流れは、ポリシーの承認と公開で説明します。

承認

承認を必須にしたコントロールは、ほかの条件を全て満たしていても、承認者が承認するまで準備完了になりません。承認の後に新しいポリシーをマッピングするなどの変更をすると、承認の段階が戻り、もう一度承認が必要になります。承認の段階は、コントロールオーナーと承認で説明します。

準備未完了の原因を探す

準備未完了のコントロールは、次の順で原因を絞り込みます。

1. Controlsページで、Readinessを準備未完了（Not ready）に絞り込みます。監査を控えたフレームワークがあれば、Frameworkでも絞り込みます。
2. コントロールを選んで詳細の画面を開き、Overviewタブの準備状況のカードで、どの要素が準備未完了になっているかを確かめます。タブ名の横の赤い数字も、問題のある項目の数を示します。
3. 準備未完了の要素のカードかタブを開き、原因の項目を特定して対応します。

原因ごとの主な対応は、次の通りです。

原因	対応	詳しい説明
テストが失敗	テストの結果を確かめ、設定や運用を直してテストをもう一度実行する。自社の環境に当てはまらない場合は、除外や無効化を検討する	失敗したテストの是正
証跡のアーティファクトがない、更新期限が過ぎている	アーティファクトを登録するか、新しいものに更新する	アーティファクトの登録と更新
ポリシーが公開されていない	ポリシーの承認と公開を済ませる	ポリシーの承認と公開
承認が済んでいない	承認者に承認を依頼する。承認者がいない場合は割り当てる	コントロールオーナーと承認
証跡が1つもマッピングされていない	証跡をマッピングするか、手作業で証跡をアップロードする	証跡とコントロールのマッピング
対象の要求事項にマッピングされていない	要求事項をマッピングする。使わないコントロールであれば対象外にする	対象と対象外の管理

【注意】 エラーになっているテストは、準備状況の計算に入りません。テストが実行できていないにもかかわらず、コントロールが準備完了のまま表示されることがあるため、Monitoringタブでエラーのテストがないかも確かめてください。エラーの多くは、連携の権限や設定の不足が原因です。

準備状況を社内に報告するときの注意

準備状況の割合は、経営層や関係する部署に進み具合を伝える材料として便利ですが、次の点を踏まえて報告します。

準備完了は監査人の期待を満たしたことを意味しない

準備状況は、マッピングされた証跡、テスト、ポリシーの状態から機械的に判断されます。ヘルプセンターでは、ポリシーをマッピングしただけで準備完了と表示されても、監査人の期待に応えるには追加の証跡が必要なDCFのコントロールとして、次のものを挙げています。

コード	名前	必要な証跡
DCF-16	Periodic Risk Assessment	実施したリスクアセスメントの最新の記録（リスク登録簿、リスク対応計画など）
DCF-17	Risk Treatment Plan	実施したリスクアセスメントの最新の記録（リスク登録簿、リスク対応計画など）
DCF-18	Vulnerability Scans	脆弱性スキャンを自動で確かめるテストの連携を設定していない場合は、スキャンの結果
DCF-19	Penetration Tests	直近のペネトレーションテストの記録（報告書、脆弱性の評価、是正の計画など）
DCF-21	Architectural Diagram	最新のアーキテクチャ図と、過去1年以内に更新や確認をした記録
DCF-22	Network Diagram	最新のネットワーク図と、過去1年以内に更新や確認をした記録
DCF-26	BCP/DR Tests	直近の事業継続、災害復旧の訓練の記録
DCF-154	Incident Response Test	直近のインシデント対応の訓練の記録

これらのコントロールは、準備完了と表示されていても、証跡がそろっているかを個別に確かめてから報告に含めてください。

計算の方法によって割合が変わる

フレームワークの準備状況は、コントロールの数で計算する方法と、要求事項の数で計算する方法を切り替えられます。要求事項の数で計算すると、マッピングされたコントロールが1つでも準備未完了の要求事項は準備未完了になるため、割合が大きく下がることがあります。SOC 2では特に差が出やすいとされています。この切り替えは、ユーザーごとの設定で、ほかのユーザーの表示には影響しません。報告する人と受け取る人が別の計算の方法で見ていると、数字が食い違います。報告では、どちらの計算の方法による数字かを明記してください。

範囲の変化や更新で割合が動く

準備状況の計算に入るのは、対象のコントロールと要求事項だけです。対象外にしたものは割合から除かれるため、報告では、どの範囲の数字かをあわせて示します。また、フレームワークの追加やDrataによるコントロールの更新で新しいコントロールが加わると、作業が後退していなくても割合が下がることがあります。前回の報告から割合が下がったときは、範囲やコントロールの数が変わっていないかを確かめてから原因を説明してください。

【運用のポイント】 社内への報告では、割合だけでなく、準備未完了のコントロールの数と主な原因（テストの失敗、証跡の更新期限切れ、ポリシーの未公開、承認待ちなど）を添えると、誰が何をすればいいかが伝わります。Controlsページの一覧はDownloadからCSVファイルに書き出せるため、報告の資料の作成にも使えます。