要求事項とコントロールの関係

フレームワークの要求事項は、1つの文の中に、体制、手順、技術的な対策、監督など、いくつもの期待を含んでいることがよくあります。そのままでは、要求事項を満たせたかどうかを判断しにくいため、Drataは要求事項を小さく具体的なコントロールに分けて、Drata Control Framework（DCF）として管理しています。このページでは、DCFの考え方として、要求事項とコントロールの対応、1つのコントロールで複数の要求事項を満たす仕組み、DCFの更新があったときの扱いを説明します。

要求事項とコントロールの違い

要求事項は、規格、法令、フレームワークが定める、組織が満たすべき項目です。リスクの低減やデータの保護など、何を達成すべきかを示しますが、どのように達成するかまでは示しません。それを担うのがコントロールです。要求事項は目標、コントロールは目標を達成するための行動と考えると分かりやすくなります。

区分	内容	例
要求事項	フレームワークが定める、満たすべき目標	SOC 2のCC1.3（経営者が、取締役会の監督の下で、組織の構造、報告経路、権限と責任を定める）、ISO 27001:2022の箇条6.1.2（情報セキュリティーリスクアセスメント）、GDPRの第5条第1項（a）（個人データを適法、公正、透明に処理する）
コントロール	リスクを変える取り組み。手順、方針、機器、慣行など	アクセス制御の方針を定める、多要素認証（MFA）を有効にする、年1回のセキュリティー研修を行う、ベンダーのリスクを評価する手順を保つ

Drata Control Framework（DCF）とは

DCFは、Drataが独自に作ったコントロールの一覧です。特定のフレームワークに縛られず、できるだけ多くのフレームワークの似た要求事項に対応できるように作られています。

DCFのコントロールは、Drataの自動化の中心でもあります。1つ1つのコントロールに、次のものが結び付きます。

結び付くもの	内容
要求事項	コントロールが対応するフレームワークの要求事項
リスク	社内のリスク
ポリシー	会社のポリシー
テスト	自動で実行されるモニタリングテスト

DCFは出発点として用意されたもので、これに従わなければならないという規範でも、必要なコントロールを全て含む網羅的な一覧でもありません。自社の事業、技術の構成、リスクの許容度に照らして、どのコントロールを使うかを検討し、必要に応じて変えてください。コントロールの編集とカスタムコントロールの作成は、コントロールの編集と追加で説明します。

【運用のポイント】 DCFは、あくまでコントロールです。Drataが用意したものであっても、自社の情報システムを守り、コンプライアンスの目標を達成するために実際に実施する対策であることに変わりはありません。

1つの要求事項に複数のコントロールを対応させる

要求事項の中には、複数の要素で構成されるものがあります。そうした要求事項は、1つのコントロールで全てを満たそうとせず、要素ごとにコントロールを分けて対応させます。要求事項の全体は、1つのコントロール、または複数のコントロールの組み合わせで満たします。

例えば、SOC 2のCC1.1（誠実性と倫理的価値観への姿勢を示す）には、次のようなコントロールが対応します。

コントロール	内容
DCF-32	セキュリティーの方針
DCF-38	人事評価
DCF-39	バックグラウンドチェック
DCF-44	行動規範

ISO 27001:2022の箇条6.1.2（情報セキュリティーリスクアセスメント）には、次のようなコントロールが対応します。

コントロール	内容
DCF-15	リスクアセスメントの方針
DCF-16	定期的なリスクアセスメント
DCF-17	リスク対応計画
DCF-143	取締役会への報告

要求事項の異なる側面に対応する複数のコントロールを1つの要求事項にマッピングするのは、コンプライアンスで一般に受け入れられているやり方です。

1つのコントロールで複数の要求事項を満たす仕組み

DCFのコントロールは、特定のフレームワークに縛られないため、1つのコントロールを複数のフレームワークの要求事項にマッピングできます。これをクロスマッピングと呼びます。1つのコントロールを実施すれば、そのコントロールがマッピングされた全てのフレームワークの要求事項に効くため、フレームワークごとに同じ作業を繰り返さずに済みます。

コントロールと要求事項の準備状況は、次のように積み上がります。

対象	準備ができた（Ready）状態になる条件
コントロール	必要な承認を全て満たし、マッピングされた証跡が有効で、対象（In Scope）の要求事項の少なくとも1つにマッピングされている
要求事項	マッピングされた全てのコントロールの準備ができている
フレームワーク	計算の方法に応じて、対象のコントロールまたは要求事項の準備ができている

コントロールの準備状況の条件は、コントロールの準備状況で説明します。複数のフレームワークに同時に取り組むときの進め方は、複数のフレームワークを併用するで説明します。

要求事項とコントロールの対応を確かめる

要求事項とコントロールの対応は、次の場所で確かめます。

確かめたいこと	場所
ある要求事項に、どのコントロールがマッピングされているか	フレームワークの詳細の画面で、要求事項を選ぶ
あるコントロールが、どの要求事項にマッピングされているか	コントロールの詳細の画面のFrameworksタブ
フレームワーク全体の対応	フレームワークの詳細の画面のDownloadから、CSVファイルに書き出す

対応をCSVファイルに書き出す

監査人や社内のチームから、コントロールと要求事項の対応を示すよう求められることがよくあります。対応は、CSVファイルに書き出して渡せます。

1. Frameworksページで、フレームワークを開きます。
2. Downloadを選びます。
3. 全ての要求事項を書き出す（Download all requirements）か、フィルターで絞り込んだ要求事項だけを書き出す（Download filtered view）かを決め、その下の書き出しの形式を選びます。

フレームワークの詳細の画面でDownloadを選んだところ。全ての要求事項と、絞り込んだ要求事項のそれぞれについて、2つの形式を選べる

形式	起点	内容	向いている場面
Requirements to controls	要求事項	要求事項ごとに1行で、マッピングされたコントロールが並ぶ。複数の要求事項にマッピングされたコントロールは、何度も出てくる	監査人がフレームワークの側から網羅性を確かめたい場合
Controls to requirements	DCFのコントロール	コントロールごとに1行で、マッピングされた全ての要求事項が並ぶ	個々のコントロールがどの要求事項を支えているかを確かめたい場合

書き出されるのは対象のコントロールだけで、対象外（Out of Scope）のコントロールは含まれません。監査人からフレームワーク全体の対応を求められたときはDownload all requirementsを、対象外にした要求事項や特定の分類だけを共有したいときはDownload filtered viewを使います。

DCFの更新があったときの扱い

DCFは、DrataのGRCの専門家が継続的に見直しています。コントロールが追加されたり、内容が改訂されたり、廃止されたりするのは、主に次のような理由です。

理由	例
新しいフレームワークの追加	Drataが対応するフレームワークが増えた
フレームワークの改訂	規格や法令の新しい版、改訂が公表された
ほかの機能との整合	モニタリングテストやポリシーテンプレートとの対応を見直した
業界の動向	業界の標準や定義の変化、AIなどの新しい技術
保守	表現の統一、範囲の調整、重複の解消

更新の影響

Drataがフレームワークやコントロールを更新したときの影響は、更新の内容によって異なります。例えば、ヘルプセンターで公表されたSOC 2の更新（2024年5月7日）では、コントロールの追加、コントロールの詳細の更新、コントロールと要求事項のマッピングの見直しが行われましたが、フレームワークの準備状況には影響しないとされています。この更新を取り込まなくても、SOC 2の準拠を達成、維持できます。

一方で、新しいコントロールが加わる更新では、準備状況の割合が変わることがあります。加わったコントロールは、使わないのであれば対象外にできますが、Drataの専門家が作ったコントロールとマッピングの内容を、まず確かめてください。更新の内容は、ヘルプセンターのフレームワークごとの記事で公表されます。

更新を取り込む方法

更新されたコントロールの内容やマッピングを自分の環境に取り込むには、次の2つの方法があります。どちらも、変更を適用する前に、今の設定とDrataの最新の内容の違いを確かめられます。

方法	取り込むもの	操作
最新のテンプレートとの比較	コントロールの名前、説明などの文面	DCFのコントロールのOverviewタブでInfoの欄のEditを選び、View latest templateを選ぶ。違いがあれば、項目ごとに適用するか、全てをまとめて適用する
既定のマッピングとの比較	コントロールと要求事項、コントロールとテストのマッピング	DCFのコントロールのFrameworksタブ（要求事項）またはMonitoringタブ（テスト）でCompare to defaultsを選ぶ。違いを確かめて、今のマッピングを残す（Keep current configuration）か、既定のマッピングに戻す（Apply defaults）かを選ぶ

カスタムコントロール、カスタムの要求事項、カスタムテストは、既定のマッピングに戻す操作の影響を受けません。これらのマッピングは、常に利用者の管理の下にあります。

どちらの操作も、Admin、Workspace Manager、Information Security Leadのロールのユーザーが行えます（このほか、ゲストの管理者とService Group Userも行えます）。最新のテンプレートとの比較の詳しい手順は、コントロールの編集と追加で説明します。

【注意】 既定のマッピングに戻すと、コントロールにマッピングされる要求事項やテストが変わるため、準備状況が変わる可能性が高くなります。自社に合わせて意図的に変えた文面やマッピングがある場合は、全てをまとめて適用せず、違いを1つずつ確かめてから適用してください。

【運用のポイント】 最新のテンプレートや既定のマッピングを取り込む場面としては、改訂された基準にコントロールを合わせたいとき、大幅に手を入れた設定を元に戻したいとき、コントロールの対象範囲の想定外の動きを調べるとき、監査の前に文面とマッピングを標準の状態にそろえたいときなどがあります。テンプレートの文面を適用すると、Drata's templated control language appliedのイベントが自動で記録されるため、いつ標準の文面に戻したかを後から示せます。