Evidenceページと証跡の状態

Drataでは、コントロールを裏付ける証跡をEvidenceページでまとめて管理します。証跡は1つのものを複数のコントロールにマッピングでき、内容を更新しながら、複数のフレームワークで使い回せます。このページでは、Evidenceページの見方と証跡の状態として、Needs artifactやNeeds renewalなどの状態の意味、準備状況への影響、証跡の取得元の種類、一括での操作を説明します。

Evidenceページの役割

Evidenceページは、コントロールを裏付ける全ての証跡を管理する場所です。証跡の収集を効率よく進め、版の履歴を残し、監査に向けてコントロールの準備状況を保つために使います。証跡を最新に保ち、正しくマッピングしておくと、監査での抜け漏れが減り、準備状況が上がります。

コントロールが準備完了にならない理由を調べるときや、監査の準備をするときは、まずEvidenceページを確かめます。

SOC 2かISO 27001:2022を使っていて、2024年8月27日より後にDrataの利用を始めた場合は、あらかじめコントロールにマッピングされた証跡が用意されています。あらかじめマッピングされた証跡の扱いは、証跡とコントロールのマッピングで説明しています。

証跡には、利用者が用意する手作業の証跡と、モニタリングテストから自動で作られるテストの証跡があります。

種類	内容	更新期限
手作業の証跡	利用者がファイル、URL、チケットをアーティファクトとして登録する証跡	更新期限で準備状況への効き方が決まる
テストの証跡	モニタリングテストの実行から自動で作られる証跡。取得元はTestと表示される	更新期限ではなく、テストの結果で管理する

Evidenceページを開く

Evidenceページは、左側のナビゲーションのCompliance → Evidenceで開きます。ページには、選んでいるワークスペースの全ての証跡が並びます。

Evidenceページ。左側にStatus、Source、Evidence owner、Frameworkの絞り込みが並び、右上のCreate evidenceから証跡を作る

左側の絞り込みでは、次の条件で一覧を絞り込めます。検索欄では、証跡の名前か、マッピングしたコントロールで証跡を探せます。

絞り込み	選べる値
Status	Needs artifact、Needs renewal、Upcoming renewal、Ready、Error
Source	File、URL、Ticket、Test
Evidence owner	証跡のオーナーの名前で検索する
Framework	有効なフレームワーク

右上のCreate evidenceから、証跡を1つずつ作れます。CSVファイルからまとめて取り込むときは、Create evidenceのBulk importを使います。証跡の作り方は、アーティファクトの登録と更新で説明しています。

証跡の状態と準備状況への影響

証跡には、対応が必要かどうかと、コントロールの準備状況にどう効くかを示す状態が付きます。

状態	内容	準備状況への影響	対応
Needs artifact	アーティファクトが登録されていない	下げることがある	アーティファクトを登録する
Needs renewal	アーティファクトはあるが、更新期限を過ぎている	下げることがある	アーティファクトを更新する
Upcoming renewal	アーティファクトがあり、更新期限まで2カ月以内	上げる	近いうちに更新する予定を立てる
Ready	期限内のアーティファクトがある、または有効なテストの証跡がある	上げる	すぐの対応は不要
Error	結び付いたテストがエラーになっている	影響しない	関係するテストを確かめる

テストの結果の確かめ方は、テストの結果を読み解くで説明しています。

コントロールが準備完了になるのは、マッピングされた証跡が全て有効で、無効な証跡がマッピングされていない場合です。証跡が1つもマッピングされていないコントロールは、準備完了になりません。証跡、テスト、ポリシー、承認がそれぞれ準備状況にどう効くかは、コントロールの準備状況で説明しています。

【注意】 更新期限を過ぎた証跡は古いものとして扱われ、マッピングしたコントロールが監査を受けられる状態でなくなることがあります。Statusの絞り込みでUpcoming renewalとNeeds renewalの証跡を定期的に確かめ、期限が切れる前に更新してください。更新期限の運用は、証跡のオーナーと更新期限の運用で説明しています。

証跡の取得元

証跡には、アーティファクトがどこから来ているかを示す取得元（Source）が付きます。

取得元	内容
File	手元のコンピューターかクラウドストレージからアップロードしたファイル。1ファイルの上限は50MB。ZIPファイルは自動で解凍され、中身が確かめられる
URL	ウェブ上の資料や、Drataに置きたくない機密性の高い資料へのリンク
Ticket	連携したチケット管理のシステムのチケット
Test	モニタリングテストから自動で作られた証跡

1つの証跡に種類の異なる複数のアーティファクトを登録した場合は、一覧のSourceの列に、複数の取得元があることが示されます。取得元ごとの使い分けは、アーティファクトの登録と更新で説明しています。Jiraのチケットを証跡にする方法は、開発と課題管理のツールとの連携で説明しています。

証跡の詳細の画面

一覧で証跡を選ぶと、証跡の詳細が開きます。証跡には、名前、説明、実施の手引き（Implementation guidance）、証跡のオーナー（Evidence Owner）の情報があります。

箇所	内容
Current artifact	今の証跡として登録されているアーティファクト。アーティファクトの確認と追加、作成日と更新期限の変更、ダウンロードを行う
Past artifactsタブ	過去のアーティファクト（以前の版）
Controlタブ	証跡をマッピングしたコントロール。ここからコントロールをマッピングする

一括での操作

一覧のチェックボックスで複数の証跡を選ぶと、画面の下に操作のバーが表示されます。

複数の証跡を選んだときの操作のバー。証跡の削除、オーナーの割り当て、SafeBaseのTrust Libraryへの同期の操作が並ぶ

操作	内容
Delete evidence	選んだ証跡を削除する
Assign evidence owner	選んだ証跡のオーナーを割り当てる、または変える
SafeBaseへの同期	選んだ証跡をSafeBaseのTrust Libraryに同期する（SafeBaseとの同期を有効にしている場合）

証跡のオーナーの割り当ては、証跡のオーナーと更新期限の運用で説明しています。

SafeBaseへの同期には、次の条件があります。同期の対象にならない証跡を選んでも操作は進むため、Sourceの絞り込みでFileに絞ってから選びます。

条件	内容
ワークスペース	主ワークスペースの証跡だけが同期される
リージョン	Drataのテナントが北米（NA）リージョンにあること
アーティファクト	取得元がファイルで、SafeBaseが受け付ける形式のファイルであること

DrataとSafeBaseの連携は、DrataとSafeBaseの連携で説明しています。

証跡を削除する

手作業の証跡の削除は、元に戻せません。削除した証跡はEvidenceページから消え、マッピングしていた全てのコントロールから外れます。テストの証跡は削除できません。テストに証跡を作らせたくない場合は、テストを無効にするか、テストの問題を直します。

1. Compliance → Evidenceを開きます。
2. チェックボックスで、削除する証跡を選びます。
3. Delete evidenceを選びます。
4. 確認の画面でDeleteを選びます。

削除の前に、次の点を確かめてください。

確認すること	理由と代わりの方法
対象範囲のコントロールにマッピングされていないか	範囲内（In Scope）のコントロールの証跡を削除すると、そのコントロールが準備未完了（Not Ready）になることがある
複数のフレームワークで使っていないか	証跡はSOC 2とISO 27001などで使い回せるため、削除すると複数のフレームワークの準備状況に影響することがある。マッピングしたコントロールを確かめてから削除する
内容が古いだけで、証跡としてはまだ必要ではないか	新しいアーティファクトに差し替えるか、特定のコントロールからマッピングを外す。削除すると履歴とマッピングが全て失われる
監査の最中ではないか	監査の最中に削除すると抜け漏れが生じたり、監査人の質問を招いたりすることがある。監査人や社内のコンプライアンスの責任者の助言がない限り、監査の最中は削除しない

テストの無効化については、除外と無効化の使い分けで説明しています。