監査を作成して監査人を招待する

Drataで監査を受けるには、監査人を登録し、監査を作成して、その監査に監査人を割り当てます。監査人の登録だけでは、監査人は監査にアクセスできません。このページでは、監査を作成する手順として、監査人の登録とアクセスのレベル、対象のフレームワークと監査対象期間の設定、監査人の割り当て、Fieldguideで監査を進める場合の設定、監査人や認証機関を選ぶときに確認することを説明します。

監査を作る前に確かめること

監査を作る前に、次のことを確かめておきます。

確かめること	内容
監査人のメールアドレス	監査人は、仕事用のメールアドレスを使う必要がある
監査人の登録	監査人が、監査人の一覧（Auditorsタブ）に登録されている
監査対象期間	有効な日付の範囲を設定する

監査人への招待はメールアドレスごとに届き、招待のリンクはそのメールアドレスに結び付きます。無料のウェブメールなどの個人のメールアドレスや、自社のテナントのドメインと重なるメールアドレスで監査人を招待しないでください。監査対象期間の決め方は、監査対象期間とサンプリングで説明します。

監査人を登録する

監査人をAuditorsタブに加えると、監査人のプロフィールが作られます。ただし、それだけでは監査にアクセスできるようにはなりません。監査人が作業を始めるには、監査ごとに監査人を割り当てます。

1. 左側のナビゲーションのCompliance → Auditsを開きます。
2. ページの上部のAuditorsタブを選びます。
3. + Add auditorを選びます。
4. 監査人の名前と連絡先を入力します。
5. 監査人のアクセスのレベルを入力します。

アクセスのレベル	できること
Read Only	証跡とコントロールを見られる。変更はできない
Read Only with Downloads	証跡を見られ、ファイルを書き出したりダウンロードしたりできる

Auditorsタブで監査人を加える画面。監査人の名前、メールアドレス、監査法人の名前と、アクセスのレベルを入力する

誤って加えた監査人や、関わらなくなった監査人は、Auditorsタブから削除できます。

【注意】 招待した後に監査人の姓名を変える必要がある場合は、監査人自身に変えてもらいます。監査人がDrataにサインインした後、監査の画面に入る前に、右上のアバターのアイコンからSettingsを開くと、名前、監査法人の名前、使う言語を変えられます。同じメールアドレスで監査人を削除して招待し直しても、名前は変わりません。監査人が別のメールアドレスを使う場合は、そのメールアドレスで招待し直します。

監査を作成する

1. Compliance → Auditsを開きます。
2. Create Auditを選びます。
3. 監査の進め方を選びます。
4. 監査の詳細として、FrameworkとAudit periodを入力します。
5. 一覧から登録済みの監査人を選ぶか、新しい監査人を加えて、監査人を割り当てます。
6. 監査を保存します。

監査の作成の画面の監査の詳細。フレームワーク、監査対象期間、監査前の証跡パッケージを含めるかどうかを設定する

監査の作成の途中では、監査人に前もって渡す監査前の証跡パッケージを含めるかどうかと、含める情報のカテゴリーも選びます。監査の作成時にパッケージを含める設定にすると、後から含めない設定には戻せません。パッケージの設定は、監査前の証跡パッケージで説明します。

監査の監査人を変える

作成済みの監査に監査人を加えたり、外したりできます。

1. Compliance → Auditsを開きます。
2. 対象の監査を開きます。
3. Assigned auditorsの編集のアイコンを選びます。
4. 監査人を加えるか、外します。
5. 変更を確定します。

割り当てられた監査人には、監査にアクセスするための招待のメールが届きます。監査人が招待を受けてサインインするまでの流れは、監査人が見る画面で説明します。

Fieldguideで監査を進める場合

監査法人がFieldguideという監査のツールを使っている場合は、Drataと連携させて、監査人はFieldguideで、自社はDrataで、同じ監査を進められます。連携した監査では、依頼事項の作成と状態の管理はFieldguideが、証跡の管理はDrataが受け持ちます。

段階	行う人	内容
1	監査人	Fieldguideに自社を顧客として加え、この監査の案件（エンゲージメント）を作る。自社の担当者をFieldguideに招待する
2	自社	Fieldguideにサインインし、ヘルプの記事に載っている必要な権限の範囲（スコープ）を全て選んで、APIトークンを作る
3	自社	DrataのSettings → Connectionsで、Fieldguideとの連携を作る。Audit Firm Name、Auditor Domain、API Key（作ったAPIトークン）を入力し、保存して接続を確かめる
4	自社	監査を作り、連携の相手のFieldguideの案件を選ぶ

Audit Firm Nameには、後で見分けやすいように、監査人や監査法人の名前を入れます。Fieldguideを使う監査法人が複数ある場合は、監査法人ごとに連携を作ります。連携を作ると、連携の状態がConnected、Disconnected、Errorなどで表示されます。APIトークンは認証情報として、安全に保管し、共有します。

連携した監査は、次の手順で作ります。

1. Compliance → Audits → Create auditを開き、監査の種類にExternal Auditを選びます。
2. Conduct Auditで、Connected Audit Toolを選びます。
3. Configure connected audit toolの欄で、Toolに作ったFieldguideとの連携を選び、監査法人がFieldguideで作った案件を選びます。案件の一覧はすぐに表示されないことがあるため、読み込まれるのを待ちます。
4. 残りの設定を進めます。最後の確認の画面で、連携先のツールと選んだ案件を確かめてから、監査を作ります。

監査の作成の画面。Connected audit toolを選び、連携先のツールとFieldguideの案件を選ぶ

連携した監査では、通常の監査人の割り当ての手順は飛ばされ、監査人はFieldguideの案件から同期されます。監査対象期間もFieldguideから取り込まれ、Drataでは変えられません。作成した監査には、連携先のツールとしてFieldguideが表示され、監査の上部に、連携している案件と連携の状態が表示されます。

【注意】 作成済みの監査を、後からFieldguideと連携させることはできません。連携させる必要がある場合は、新しく監査を作り、作成の途中で連携を選びます。Connected Audit Toolが表示されない場合は、Settings → ConnectionsにFieldguideとの連携があるかを確かめます。

連携した監査での証跡の受け渡しは、監査人からの依頼への対応で説明します。

監査人や認証機関を選ぶときに確認すること

監査人や認証機関を選ぶときは、Drataを使った監査の進め方を含めて確認します。SOC 2の監査人を選ぶときに確認することは、SOC 2を進めるで説明しています。ISO 27001の認証機関を選ぶときは、次のようなことを確認します。

項目	確認すること
認定	どの認定機関の認定を受けているか
範囲	自社の場合、附属書Aの管理策のうち、範囲の外や適用外になりそうなものはどれか
作業の分担	Drataのダッシュボードの作業のほかに、何を済ませる必要があるか。どのくらいのコントロールをDrataで確かめられ、どのくらいの証跡を手作業で集める必要があるか
進め方と期間	計画から報告書と認証書の発行までの流れと、通常かかる期間。第1段階審査から第2段階審査までの通常の間隔
やり取り	審査の間に、どのくらいのやり取りが想定されるか。不適合が見つかったときにどう知らされるか。最終の報告書と認証書の前に結果を話し合う機会があるか
現地での審査	現地に来る必要があるか。全ての事業所に行く必要があるか
技術の構成	自社の技術の構成をどう審査するか。例えば、S3で最も重要なコントロールは何か、Kubernetesにはどのコントロールが必要か

ISO 27001の認証の流れは、ISO 27001を進めるで説明しています。