Drataが用意していないフレームワークや、社内の規程、取引先から求められた独自の要求事項も、カスタムフレームワークとしてDrataで管理できます。作ったカスタムフレームワークは、Drataが用意するフレームワークと同じように、準備状況の確認や要求事項の範囲の管理に使えます。このページでは、Drataにないフレームワークを自分で作る方法として、要求事項の取り込み、Framework Mapping Agentによる対応付けの提案、社内の規程や取引先の要求を管理する使い方を説明します。
カスタムフレームワークを使う場面
カスタムフレームワークは、次のような場面で使います。
| 場面 | 例 |
|---|---|
| Drataが用意していないフレームワークに取り組む | 地域の規制、業界固有の基準 |
| 取引先や監査人から、独自の要求への準拠を示すよう求められた | 取引先が定めたセキュリティーの要求事項 |
| 社内で独自に定めた要求事項を管理する | 社内の規程から作った独自のフレームワーク |
| 標準のフレームワークとは別の、自社に合わせたコントロールの構成が必要 | 特定の事業のための独自の管理項目 |
カスタムフレームワークを使うには、追加の機能（Custom Framework）の契約が必要です。使いたい場合は、正規販売代理店（デジタルアクセルズ）にご相談ください。
【注意】 SOC 2に取り組む場合は、カスタムフレームワークを作らず、Drataが用意するSOC 2のフレームワークを使ってください。Drataが用意するSOC 2のフレームワークは、削除できないため監査の履歴と進み具合が守られ、要求事項にコントロールがあらかじめマッピングされていて設定の手間が少なく、SOC 2の要求の変化に合わせてDrataが更新します。
Drataが用意するフレームワークの一覧は、対応フレームワークと有効化で説明しています。
カスタムフレームワークを作る
Compliance→Frameworksを開き、右上のCreate new custom frameworkを選びます。- フレームワークの情報を入力します。
| 項目 | 内容 |
|---|---|
Name | Frameworksページに表示される名前 |
Short name | Controlsページのフィルターに使われる短い名前 |
Description | フレームワークの画面の上部に表示される説明 |
- 必要に応じて、要求事項をアップロードします。要求事項は後からでも加えられます。アップロードする場合は、ひな形をダウンロードし、ひな形のデータを自社の要求事項に置き換えます（下の「要求事項の取り込み」の通り）。
- CSVファイルを保存してアップロードし、
Nextを選びます。 - 取り込まれる要求事項の数と、取り込まれずに飛ばされた要求事項を確かめます。飛ばされた要求事項があれば、ファイルの書式を直します。
Saveを選びます。
これで、カスタムフレームワークを使えるようになります。続けて、コントロールのマッピングや要求事項の追加を進めます。
要求事項の取り込み
要求事項は、作成のときに提供されるひな形のCSVファイルで取り込みます。コントロールのマッピングは任意で、要求事項だけを取り込むこともできます。
要求事項を取り込むひな形の例。左側が要求事項の情報の列、右端がマッピングするコントロールの列
| 列 | 必須か | 内容 |
|---|---|---|
Code | 必須 | 要求事項のコード。ファイルの中でも、Drataにある既存の要求事項と比べても、重複してはいけない。重複するコードの行は飛ばされる |
Name | 必須 | 要求事項の名前 |
Category (Optional) | 任意 | 要求事項の分類。1つの要求事項に1つだけ |
Description (Optional) | 任意 | 要求事項の説明 |
Additional Info (Optional) | 任意 | 補足の情報 |
Control Mapping (Optional) | 任意 | マッピングするコントロールのコードを、カンマで区切って並べる（例：DCF-1, DCF-2, DCF-3） |
ファイルを作るときは、次の点を守ります。
- 列の見出しは、ひな形と全く同じにします。綴り、スペース、大文字と小文字も一致させます。
<、>、\の文字は、ファイルのどこにも使えません。
Control Mappingの列に書くコントロールは、取り込みの前に、次の条件を全て満たしている必要があります。
| 条件 | 内容 |
|---|---|
| Drataにある | コントロールがDrataに存在する |
| 有効になっている | コントロールが有効になっている。見つからない場合は、Drataのサポートに問い合わせる |
| 対象になっている | コントロールが対象（In Scope）になっている |
【注意】
Control Mappingの列のコントロールが1つでも条件を満たしていないと、その要求事項の行が丸ごと飛ばされます。要求事項は作られず、その行のどのコントロールもマッピングされません。取り込んだ後の確認の画面で、飛ばされた行がないかを必ず確かめてください。
後から要求事項を加える
- カスタムフレームワークの画面を開きます。
Add Requirementsを選び、1件ずつ加える（Add requirement）か、まとめて加える、更新する（Add/update in bulk）かを選びます。- まとめて加える場合は、ひな形をダウンロードし、自社の要求事項に置き換えてアップロードします。
- 取り込まれる要求事項の数と、飛ばされた要求事項を確かめて、
Saveを選びます。
ファイルを再びアップロードしても、加わるのはDrataにまだない要求事項だけです。既存の要求事項を変えるときは、Drataの画面で編集します。
Framework Mapping Agentによる対応付けの提案
Framework Mapping Agentは、カスタムフレームワークの要求事項に対応するコントロールを、AIで提案する機能です。全ての要求事項を読んで、1つずつコントロールと照らし合わせる代わりに、要求事項を取り込むと、Agentがマッピングの候補を挙げます。
| 項目 | 内容 |
|---|---|
| 必要な契約 | 追加の機能（Custom Framework）。Agentの提案を使うための追加の費用はかからない |
| 使えるロール | Admin、Information Security Lead |
| ワークスペース | ワークスペースごとに動く |
提案の作られ方
カスタムフレームワークの作成の流れで要求事項のCSVファイルをアップロードすると、フレームワークができた後に、要求事項ごとのマッピングの提案が自動で作られます。提案の候補は、次の3つから選ばれます。
- ワークスペースで既に使っているDCFのコントロール
- 自社で作ったカスタムコントロール
- アカウントに用意されているものに限らない、DCFのコントロールの一覧全体
提案があると、フレームワークの画面にNew mapping opportunitiesの案内が表示されます。View recommendationsを選ぶと、提案を確かめる画面が開きます。要求事項を選んで、一覧の下に表示されるRecommend objectsから提案を求めることもできます。
カスタムフレームワークの画面。上部にNew mapping opportunitiesの案内が表示され、View recommendationsから提案を確かめる
提案を確かめる
提案を確かめる画面には、判断を待っている要求事項が並びます。要求事項ごとに、提案されたコントロールと、提案の確信度（Confidence）が表示されます。
提案を確かめる画面。要求事項ごとに提案されたコントロールと確信度が並び、Mapでマッピングし、Dismissで退ける
| 操作 | 内容 |
|---|---|
Map | 提案されたコントロールを、要求事項にマッピングする |
Dismiss | 合わない提案を退ける |
Map all | 1つの要求事項に対する複数の提案を、まとめてマッピングする |
Review | 要求事項の詳細と提案を確かめる |
一覧はフィルターで絞り込めるため、残っている要求事項に集中できます。進み具合は保存されるため、途中でやめても、続きから再開できます。
確信度が低い、または中程度の提案や、提案のない要求事項もあります。Agentは無理に候補を挙げず、こうした要求事項を確信度が低いものや一致なしとして示します。これらは、既存のコントロールを自分で探すか、新しいカスタムコントロールを作って、自分でマッピングします。カスタムコントロールの作り方は、コントロールの編集と追加で説明します。
【運用のポイント】 提案は、承認して初めてコンプライアンスの取り組みに反映され、利用者に代わって自動で承認されることはありません。確信度は、確認の手間をかける順番を決める目安として使います。確信度が高く、既存のコントロールと明らかに一致する提案は手早く進め、確信度の低い提案や一致のない要求事項に時間をかけてください。提案が自社のコントロールの実態に合わない場合は、退けて自分でマッピングします。
要求事項とフレームワークの管理
要求事項を編集する
- カスタムフレームワークの画面で、編集する要求事項を選びます。
- 編集のボタンを選び、要求事項の情報を変えます。
Saveを選びます。
複数の要求事項をまとめて変える
要求事項のチェックボックスを選ぶと、一覧の下に操作が表示されます。
| 操作 | 内容 |
|---|---|
Mark out of scope | 選んだ要求事項を対象外にする |
Change category | 選んだ要求事項の分類を変える。1つの要求事項に分類は1つだけのため、選んだ全ての要求事項の分類が置き換わる |
Delete requirements | 選んだ要求事項を削除する |
1つの要求事項だけを操作する場合は、要求事項の横の...を選び、Mark out of scope、Delete、Change categoryのいずれかを選びます。対象外にする場合は、業務上の理由を入力してSubmitを選びます。
フレームワークの情報を変える
カスタムフレームワークの画面で、右上の歯車のアイコンを選び、Edit detailsを選びます。情報を変えて、Saveを選びます。
カスタムフレームワークを削除する
- カスタムフレームワークの画面で、右上の歯車のアイコンを選び、
Edit detailsを選びます。 - フレームワークの情報の欄で、
⋮（More options）を選びます。 Delete frameworkを選び、削除を確定します。
【注意】 カスタムフレームワークの削除は元に戻せません。削除したカスタムフレームワークと、それに結び付いた監査の履歴、監査人のコメント、マッピングした要求事項は、Drataでも復元できません。削除の前に、要求事項とマッピングしたコントロールを書き出し、フレームワークに関係する監査人のコメントや証跡を保存し、チームでフレームワークが不要になったことを確かめてください。監査人、マッピングしたコントロール、要求事項が結び付いているフレームワークは、削除できません。
社内の規程や取引先の要求を管理する
社内の規程や、取引先から求められた要求事項をカスタムフレームワークで管理する場合は、次の流れで進めます。
- 規程や取引先の要求を、要求事項の単位に分け、コードと名前を付けてひな形に書き込みます。分類を付けておくと、フレームワークの画面で絞り込めます。
- 対応するコントロールが分かっている要求事項は、
Control Mappingの列にコントロールのコードを書いておきます。 - カスタムフレームワークを作って、要求事項を取り込みます。
- Framework Mapping Agentの提案を確かめて、残りの要求事項をマッピングします。要求事項が数十件から数百件ある場合も、進み具合が保存されるため、何回かに分けて進められます。
- 自社に当てはまらない要求事項は、理由を添えて対象外にします。
- Drataが用意するフレームワークと同じように、
Frameworksページで準備状況を確かめます。
カスタムフレームワークの要求事項を既存のコントロールにマッピングすると、そのコントロールのテスト、証跡、ポリシーを、Drataが用意するフレームワークと共通にできます。複数のフレームワークの併用の考え方は、複数のフレームワークを併用するで説明します。