証跡のオーナーと更新期限の運用

証跡は、一度登録すれば終わりではありません。更新期限を過ぎた証跡は古いものとして扱われ、マッピングしたコントロールが監査を受けられる状態でなくなることがあります。このページでは、証跡を最新に保つ運用として、証跡のオーナーの決め方、更新期限の設定、期限が近い証跡の把握、期限切れを防ぐためのタスクと通知の組み合わせ方を説明します。

証跡のオーナーとコントロールオーナー

証跡には、マッピングしたコントロールのコントロールオーナーとは別に、証跡のオーナー（Evidence owner）を割り当てます。2つを分けているのは、証跡を集めて維持する人と、コントロールに責任を持つ人が異なることがあるためです。

オーナー	割り当てる単位	責任
コントロールオーナー	コントロールごと	コントロール全体
証跡のオーナー	証跡ごと	その証跡のアーティファクトのアップロードと維持

規模の大きい組織や、部署ごとに作業を分担している組織では、2つのオーナーを別の人にすることがよくあります。2つを分けると、コントロールの責任は全体に責任を持つ人に、証跡を集めて維持する作業は適切な担当者に任せられます。担当者は、自分が受け持つ証跡だけを管理すれば済みます。コントロールオーナーの決め方は、コントロールオーナーと承認で説明しています。

証跡のオーナーにできるのは、Drataの有効な要員で、Admin、Information Security Lead、Workspace Manager、Control Managerのいずれかのロールを持つ人です。

証跡のオーナーが担うこと

証跡のオーナーは、次の作業を担います。

• 受け持つコントロール、ポリシー、リスクの証跡のアーティファクトをアップロードし、維持する
• 証跡を最新に保ち、抜けがなく、正しくマッピングされた状態にする。自動で確かめられないコントロールの証跡は特に重要
• 証跡の更新のタスクと、監査人からの依頼に期限内に対応する

自動で確かめられない重要なコントロールについては、証跡のオーナーがコントロールオーナーと次の点を話し合っておきます。

• 確実に手に入る、手作業の証跡の出どころ
• 証跡の形式（PDF、スクリーンショット、システムから書き出したデータなど）
• 適切な更新の頻度

証跡のオーナーを割り当てる

証跡のオーナーは、証跡を作るときに入れられます。既存の証跡のオーナーは、Evidenceページでまとめて割り当てたり変えたりできます。

1. Compliance → Evidenceを開きます。
2. チェックボックスで、オーナーを割り当てる証跡を選びます。
3. 画面の下の操作のバーでAssign evidence ownerを選び、オーナーを選びます。

証跡を割り当てられた人には、個人の通知の設定に応じて、新しく割り当てられたことが通知されます。

更新期限の考え方

更新期限は、マッピングしたコントロールが準備完了（Ready）のままでいられるかを決めます。

更新期限との関係	証跡の状態	準備状況への影響
期限まで2カ月より先	Ready	上げる
期限まで2カ月以内	Upcoming renewal	上げる
期限を過ぎている	Needs renewal	下げることがある

更新期限を変えるか、アーティファクトを新しいものに差し替えると、証跡は再び有効になります。更新期限は手作業の証跡（ファイル、URL、チケット）に使います。テストの証跡は、更新期限ではなく、テストの結果で管理されます。

更新期限は、アーティファクトごとではなく、証跡ごとに設定します。証跡を更新すると、今のアーティファクトがまとめて過去のアーティファクトに移り、新しくアップロードしたものに置き換わります。アーティファクトの版の残り方は、アーティファクトの登録と更新で説明しています。

更新期限は、次の考え方で設定します。

• 証跡を実際にどのくらいの頻度で新しくするのが現実的かに合わせて、更新期限を決める
• 内容が変わった場合は、更新期限を延ばすのではなく、古いアーティファクトを新しいものに差し替える
• 更新期限を定期的に見直す。特に監査の前には必ず見直す

一括インポートでは、更新の周期（Renewal Schedule）を1 Month、2 Months、3 Months、6 Months、1 Year、Custom - One Time、Noneから選べます。決まった周期を選ぶと、次の更新期限は自動で計算されます。

更新期限を設定・変更する

更新期限の確認と管理は、Admin、Information Security Lead、Workspace Manager、Control Manager、DevOps Engineerのロールのユーザーが行えます。

Evidenceページから変える

1. Compliance → Evidenceを開きます。
2. 証跡を選びます。
3. Current artifactで、作成日か更新期限を変えます。今のアーティファクトの確認や、新しいアーティファクトの追加も、ここで行えます。
4. 変更を保存します。

コントロールから変える

コントロールの作業の途中で、そのコントロールの証跡の更新期限を変えることもできます。

1. Controlsを開き、コントロールを選びます。
2. Evidenceタブを開きます。
3. 証跡を選びます。
4. Artifactの欄を開き、更新期限（Renewal date）を変えます。
5. Saveを選びます。

変えた更新期限は、すぐにコントロールに反映され、準備状況に効きます。コントロールのEvidenceタブのAdd evidence → Miscellaneous evidenceでその他の証跡を追加するときも、作成日（Creation date）と更新期限（Renewal date）を入れます。

期限が近い証跡を把握する

Evidenceページの絞り込みを使うと、対応が必要な証跡を前もって探せます。

探すもの	絞り込み
期限まで2カ月以内の証跡	StatusのUpcoming renewal
期限を過ぎた証跡	StatusのNeeds renewal
自分が受け持つ証跡	Evidence ownerで自分の名前を選ぶ
特定のフレームワークの証跡	Framework

証跡のオーナーは、Evidence ownerで自分を選んだうえで、更新期限が近い証跡を確かめ、これからの作業を把握します。Statusの絞り込みと組み合わせると、すぐに対応が必要なものに絞れます。

タスクと通知で期限切れを防ぐ

更新期限を把握するには、タスク、個人の通知、ワークフローを組み合わせます。

手段	内容	届く相手
タスク	証跡が更新期限や見直しの日に達すると、Drataが証跡のタスクを自動で作る。期限までに済まないタスクはPast dueになる	タスクを割り当てられた人
個人の通知	7日以内に期限が来るタスクや、期限を過ぎたタスクを知らせる	タスクを割り当てられた人
ワークフロー	更新期限の何日前か、期限を過ぎたときなどを起点に、メール、Slack、Microsoft Teamsで知らせる	証跡のオーナーや、指定したユーザー、チャンネル

タスクと個人の通知

証跡のタスクは、Tasksページの月ごとの一覧に並びます。証跡のオーナーは、証跡の更新のタスクを確かめ、システムの担当者と証跡を集める時期を決めておきます。

期限が近いタスクや期限を過ぎたタスクを見逃さないように、Settings → Personal → Notificationsで、タスクの通知を有効にしておきます。タスクの管理はタスクの管理、個人の通知は通知の設定で説明しています。

ワークフロー

証跡のワークフローを使うと、更新期限に合わせて、関係者に自動で知らせられます。ワークフローを作れるのは、AdminとWorkspace Managerのロールのユーザーで、Settings → Workflowsで作ります。

ワークフローの対象にする証跡は、次のどれかで選びます。

対象	内容
全ての手作業の証跡	取得元がファイル、URL、チケットの、今と今後の全ての証跡
取得元	選んだ取得元の、今と今後の全ての証跡
フレームワーク	選んだフレームワークにつながる、今と今後の全ての証跡
個別の証跡	選んだ証跡

ワークフローを動かす起点（トリガー）には、次のものがあります。

トリガー	動くとき
Upcoming renewal	更新期限の、指定した日数前
Renewal past due	更新期限を過ぎたとき
New artifact uploaded	新しいアーティファクトがアップロードされたとき
Evidence linked to a control	証跡がコントロールにマッピングされたとき
Evidence unlinked from a control	証跡のマッピングがコントロールから外されたとき

起点が来たときの操作として、メール、Slack、Microsoft Teamsでの通知と、Webhookの送信を設定できます。SlackとMicrosoft Teamsは、それぞれの連携をつないでいる場合に選べます。通知の件名と本文には、証跡の名前（{{evidence_name}}）、オーナー（{{evidence_owner}}）、更新期限（{{evidence_renewal_date}}）などの変数を入れられ、通知には証跡へのリンクが含まれます。

ワークフローの操作のうち、タスクの作成はコントロールとリスクのワークフローだけで使え、証跡のワークフローでは使えません。証跡の更新のタスクは、先に説明した自動のタスクで管理します。

【運用のポイント】 更新期限の前に知らせるUpcoming renewalと、期限を過ぎたときに知らせるRenewal past dueを組み合わせると、事前の準備と、期限切れの把握の両方に対応できます。何日前に知らせるかは、証跡を集めるのにかかる期間に合わせて決めます。ワークフローの作り方は、ワークフローで作業を自動化するで説明しています。