取引先の要請が増えると、SOC 2とISO 27001のように、複数のフレームワークに同時に取り組む必要が出てきます。Drataでは、1つのコントロールを複数のフレームワークの要求事項にマッピングできるため、フレームワークごとに同じ作業を繰り返さずに済みます。このページでは、複数のフレームワークに同時に取り組む方法として、クロスマッピングで共通の作業をまとめる仕組み、追加のフレームワークを有効化する時期、重複する証跡を減らす考え方を説明します。
クロスマッピングで共通の作業をまとめる仕組み
DCFのコントロールは、特定のフレームワークに縛られず、できるだけ多くのフレームワークの似た要求事項に対応できるように作られています。1つのコントロールを複数のフレームワークの要求事項に対応させることを、クロスマッピングと呼びます。
例えば、DCF-10（システムのアクセス制御の方針）は、SOC 2、ISO 27001の2013年版と2022年版、HIPAA、CCPA、NIST SP 800-53、NIST CSF、NIST SP 800-171、FedRAMP、Cyber Essentials、ISO 27017、ISO 27018、PCI DSS v4.0など、多くのフレームワークの要求事項にマッピングされています。このコントロールを1回整えれば、それぞれのフレームワークの要求事項に反映されます。
コントロールには、テスト、証跡、ポリシーが結び付いています。そのため、コントロールを中心に作業を進めると、次のものをフレームワークの間で共通にできます。
| 共通にできるもの | 内容 |
|---|---|
| コントロールの実施 | 1つのコントロールの実施が、マッピングされた全てのフレームワークの要求事項に効く |
| テスト | コントロールにマッピングされたモニタリングテストの結果が、全てのフレームワークに反映される |
| 証跡 | 証跡は1つ以上のコントロールにマッピングでき、フレームワークをまたいで使い回せる |
| ポリシー | コントロールにマッピングしたポリシーが、全てのフレームワークに反映される |
要求事項とコントロールの対応の考え方は、要求事項とコントロールの関係で説明します。
併用したときの準備状況の見え方
Frameworksページでは、フレームワークごとに準備状況が表示されます。同じコントロールが複数のフレームワークの要求事項にマッピングされている場合、そのコントロールの準備ができれば、全てのフレームワークの準備状況に反映されます。
一方で、どの要求事項を対象（In Scope）にするかは、フレームワークごとに決めます。コントロールは、対象の要求事項の少なくとも1つにマッピングされていれば、対象として扱われます。
【注意】 あるフレームワークで要求事項を対象外にしても、同じコントロールがほかのフレームワークの対象の要求事項にマッピングされていれば、そのコントロールは対象のまま残ります。コントロールが対象外になるのは、マッピングされた要求事項が全て対象外になったときです。フレームワークを併用している場合は、対象外にする前に、そのコントロールがほかのフレームワークでも使われていないかを確かめてください。手順は対象と対象外の管理で説明します。
追加のフレームワークを有効化する時期
最初のフレームワークで整えたコントロールと証跡は、追加のフレームワークでも使えます。後から別のフレームワークを追加しても、作業をやり直す必要はありません。そのため、追加の時期は、Drataの都合ではなく、取引先からの要請と、監査や審査の日程から決めます。何を求められているか、いつまでに必要かは、フレームワークと適用範囲の決め方で説明した観点で確かめてください。
フレームワークの組み合わせによっては、次の関係も時期を決める材料になります。
| 組み合わせ | 関係 |
|---|---|
| ISO 27001とISO 27017、ISO 27018 | ISO 27017とISO 27018はISO 27001に追加する規格で、ISO 27001の審査の一部として審査を受けられる。ISO 27001の審査の計画に合わせて検討できる |
| ISO 27001とISO 42001 | ISO 42001はISO 27001と同じマネージメントシステムの規格で、ISO 27001やISO 27018と整合しているため、既存の仕組みにAIの管理を組み込みやすい |
| SOC 2、ISO 27001とCIS 8.1 | CIS 8.1は、SOC 2やISO 27001などと組み合わせて使われることが多い。認証やレポートはSOC 2やISO 27001で取得し、社内の対策を具体的に進める手引きとしてCIS 8.1を使う |
| ISO 27001の2013年版と2022年版 | 2013年版の要素は全て2022年版に含まれているため、2013年版で進めた作業を2022年版でも生かせる |
GDPRのように、外部の監査を必須としないフレームワークもあります。GDPRへの準拠は公的な機関が認証するものではなく、組織が自ら評価して記録します。
追加する前に確かめること
| 確かめること | 内容 |
|---|---|
| 契約 | 使えるフレームワークは契約によって決まる。追加したいフレームワークが契約に含まれていない場合は、正規販売代理店（デジタルアクセルズ）にご相談ください |
| フレームワークの種類 | 事前にマッピングされたフレームワークでは、要求事項にDCFのコントロールがマッピングされた状態で加わる。要求事項だけのフレームワークでは、既存のコントロールに自分でマッピングする必要があり、作業が増える |
| 準備状況への影響 | 追加したフレームワークの要求事項と、新しく加わるコントロールによって、準備状況の割合が変わる。新しいフレームワークでは、まだマッピングや証跡が足りない要求事項が残る |
| ワークスペース | ワークスペースを使っている場合は、ワークスペースごとにフレームワークを有効にする。フレームワークを変えると、そのワークスペースで必要なコントロール、テスト、証跡が変わる |
有効化の手順と、有効化したときに追加されるものは、対応フレームワークと有効化で説明します。
重複する証跡を減らす考え方
証跡はEvidenceページで管理する
Compliance → Evidenceの証跡は、1つ以上のコントロールにマッピングでき、フレームワークをまたいで使い回せます。同じ書類を、フレームワークやコントロールごとに別々に登録せず、Evidenceページの1つの証跡として登録し、必要なコントロールにマッピングします。
コントロールのEvidenceタブから証跡を加えるときは、追加の方法によって、証跡が付く範囲が異なります。その他の証跡（Miscellaneous evidence）は、そのコントロールだけに付きます。複数のコントロールで使う書類は、Evidenceページの証跡としてマッピングしてください。証跡のマッピングの方法は、証跡とコントロールのマッピングで説明します。
証跡には、コントロールオーナーとは別に、証跡のオーナー（Evidence Owner）を割り当てられます。複数のフレームワークにまたがる証跡は、更新を担う人を決めておくと、更新の漏れを防げます。証跡のオーナーと更新期限の運用は、証跡のオーナーと更新期限の運用で説明します。
【注意】 複数のコントロールにマッピングした証跡の更新期限が過ぎると、マッピングした全てのコントロールの準備状況に影響します。フレームワークを併用しているほど影響が広がるため、更新期限の管理を特に丁寧に行ってください。
コントロールを増やしすぎない
追加のフレームワークやカスタムフレームワークの要求事項は、まず既存のDCFのコントロールやカスタムコントロールにマッピングできないかを確かめます。同じ内容のコントロールを新しく作ると、証跡の登録やテストの管理が二重になります。カスタムフレームワークの要求事項を既存のコントロールにマッピングする方法は、カスタムフレームワークで説明します。
対応を一覧で確かめる
フレームワークの間でマッピングを確かめるときは、フレームワークの詳細の画面のDownloadから、Controls to requirementsの形式でCSVファイルに書き出します。コントロールごとに1行で、マッピングされた全ての要求事項が並ぶため、1つのコントロールがどの要求事項を支えているかを一覧で確かめられます。書き出しの形式は、要求事項とコントロールの関係で説明しています。
【運用のポイント】 ワークスペースの間のコントロールのマッピングは、ここで説明したフレームワークの間のクロスマッピングとは別の機能です。複数のワークスペースにある同じコードのコントロールの情報、ポリシー、証跡を1カ所で管理するためのもので、ワークスペースの設計で説明しています。