DrataのDCFのコントロールは出発点として用意されたもので、自社の体制や運用に合わせて変えることを前提にしています。DCFの文面を自社の実態に合わせて書き換えたり、DCFにない取り組みをカスタムコントロールとして加えたりできます。このページでは、コントロールを自社に合わせて変える方法として、説明文の編集、カスタムコントロールの作成、Drataの最新のテンプレートに戻す操作、編集の記録を監査で示す方法を説明します。
編集と作成ができるロール
コントロールの作成、編集、注記ができるのは、AdminとInformation Security Leadのロールのユーザーです。Drataの最新のテンプレートに戻す操作は、このほかWorkspace Managerのロールのユーザーも行えます。
コントロールの説明を編集する
DCFのコントロールも、カスタムコントロールも、名前や説明を編集できます。
Compliance→Controlsを開きます。- 編集するコントロールを選び、詳細の画面を開きます。
OverviewタブのInfoの欄で、Editを選びます。- 項目を書き換えます。
Saveを選びます。
編集できる項目は、次の通りです。
| 項目 | 必須 | 内容 |
|---|---|---|
Name | 必須 | コントロールの名前 |
Code | 必須 | コントロールのコード。変えられるのはカスタムコントロールだけで、DCFのコントロールのコード（DCF-xx）は変えられない |
Description | 必須 | コントロールの説明。何をどのように実施するかを書く |
Question | 任意 | コントロールが実施されているかを確かめる問いの形の文 |
Activities | 任意 | コントロールを実施するための活動 |
説明は、社内のチームにも監査人にも、そのコントロールが何を対象にしているかを伝えるものです。Drataの文面のままでは自社の実態と合わない箇所（体制の名前、実施の頻度、使っているツールなど）があれば、実態に合わせて書き換えてください。
自社の体制に合わせて書き換える例
ヘルプセンターでは、取締役会を置いていない組織に向けて、取締役会を前提にしたコントロールを書き換える例を示しています。例えば、取締役会への報告を求めるDCF-143（Board Oversight Briefings Conducted）は、監督の責任を経営陣が担っている場合、名前を「Management Oversight Briefings Conducted」に、説明を「経営陣またはその指名を受けた者が、少なくとも年1回、サイバーセキュリティーとプライバシーのリスクの状況について報告を受け、必要に応じて指示を出す」という趣旨に変えることを勧めています。証跡には、経営陣が報告を受けたことを示す議事録などを使います。
このように、コントロールの目的（統制の環境を監督する人がいること）は保ったまま、自社の体制に合わせて主体や手段を書き換えるのが、編集の基本の考え方です。目的そのものが当てはまらないコントロールは、編集ではなく対象外にします。対象外の扱いは、対象と対象外の管理で説明します。
カスタムコントロールを作る
DCFにない取り組みや、社内の規程、取引先の要求に合わせた独自のコントロールは、カスタムコントロールとして作ります。
Compliance→Controlsを開きます。Create control→Create a single controlを選びます。- 必須の項目（
Name、Code、Description）を入れます。コードには、英字、数字、記号を使えます。 - コントロールを、1つ以上のフレームワークの要求事項にマッピングします。
- 必要に応じて、テスト、証跡、ポリシーもマッピングします。
Saveを選びます。
カスタムコントロールを作るときは、次の点に注意します。
| 注意点 | 内容 |
|---|---|
| 要求事項へのマッピング | コントロールは、少なくとも1つの要求事項にマッピングされている必要がある。対象の要求事項にマッピングされていないコントロールは、準備完了にならない |
| テストとポリシーのマッピング | DCFのコントロールと違い、カスタムコントロールにはテストやポリシーがあらかじめマッピングされていない。自分でマッピングする |
| DCFとの重複 | カスタムコントロールがDCFのコントロールを置き換える場合は、置き換えたDCFのコントロールを対象外にして、重複を避ける |
カスタムコントロールにマッピングする要求事項、テスト、ポリシー、証跡、リスクは、AIに提案させることもできます。多くのカスタムコントロールをまとめて作る場合は、一括インポートが便利です。どちらもコントロールの一括インポートで説明します。カスタムフレームワークの要求事項に対応するコントロールを作る流れは、カスタムフレームワークで説明しています。
コントロールは削除できない
New Experienceでは、コントロールを削除できません。監査では、過去のコンプライアンスの状態を示す完全な履歴が求められるため、コントロールを削除すると、過去の準拠を示すのに必要な記録が失われるおそれがあるためです。使わなくなったコントロールや、誤って作ったコントロールは、対象外にします。
【注意】 誤って作ったカスタムコントロールも削除できず、対象外にして残すことになります。コードや名前を付ける前に、社内の命名の規則（接頭辞で領域を分けるなど）を決めておくと、一覧が整理された状態を保てます。
Drataの最新のテンプレートに戻す
DCFのコントロールの文面は、自社で編集した場合や、DrataのGRCの専門家がコンプライアンスの基準の変化に合わせてテンプレートを更新した場合に、Drataの最新のテンプレートと食い違ってきます。最新のテンプレートと比べて、必要な項目だけを戻せます。
Controlsページで、DCFのコントロールを選びます。OverviewタブのInfoの欄で、Editを選びます。- 欄の一番下にある
View latest templateを選びます。 - 違いがなければ、違いが見つからなかったことを示すメッセージが表示されます。違いがあれば、左に今のコントロールの文面、右にDrataの最新のテンプレートが並びます。
- 項目ごとに、テンプレートを適用する（
Apply）か、適用しない（Reject）かを選びます。全ての項目をまとめてテンプレートに戻す場合は、Apply allを選びます。 Confirm selectionsを選びます。
Compare with Drata's templateの画面。左に今の文面、右にDrataのテンプレートが並び、項目ごとにApplyかRejectを選ぶ
テンプレートに戻すのが向いているのは、次のような場面です。
| 場面 | 内容 |
|---|---|
| 基準の改訂への追従 | 改訂されたコンプライアンスの基準に、コントロールの文面を合わせたい |
| 編集の取り消し | 手作業で加えた編集を取り消し、標準の文面に戻したい |
| 監査の前の整理 | 監査の前に、文面を標準の表現にそろえたい |
| 文面の見直し | 自社の文面と、Drataの勧める文面を比べたい |
【注意】
Apply allを選ぶと、自社の実態に合わせて意図的に書き換えた文面も、まとめてテンプレートに戻ります。自社の体制に合わせて書き換えた項目がある場合は、項目ごとに違いを確かめ、残したい項目ではRejectを選んでください。
コントロールと要求事項、テストのマッピングを既定の状態と比べる操作は、要求事項とコントロールの関係で説明しています。
編集の記録を監査で示す
コントロールへの更新は、全てEventsページに記録されます。コントロールの編集を保存した後にSee all updatesを選ぶと、Eventsページが開き、そのコントロールの更新の履歴を確かめられます。
Drataのテンプレートの文面を適用したときは、Drata's templated control language appliedのイベントが自動で記録されます。いつ標準の文面に戻したかを、後から示せます。
【運用のポイント】 監査人は、コントロールの文面が自社の実態を反映しているか、変更が管理された形で行われているかを確かめます。DCFの文面を大きく書き換えたときは、
Eventsページの記録に加えて、変えた理由をコントロールのメモ（ユーティリティーバーのNotes）に残しておくと、監査人に変更の経緯を説明しやすくなります。重要なコントロールの変更を担当者の判断だけにしたくない場合は、承認を必須にする設定を使います。設定の方法はコントロールオーナーと承認で説明します。
更新の記録の見方は、イベントの確認で説明します。