Drataでは、取り組むフレームワークを有効にすると、そのフレームワークの要求事項と、要求事項に対応するコントロール、テストを使えるようになります。どのフレームワークを使えるかは契約によって決まり、有効にした後はFrameworksページで要求事項ごとの準備状況を確かめながら作業を進めます。このページでは、Drataが対応するフレームワークと有効化の手順として、対応するフレームワークの一覧、フレームワークの有効化の流れ、有効化したときに追加されるコントロールとテストを説明します。
フレームワーク、要求事項、コントロールの関係
Drataでは、フレームワーク、要求事項、コントロールが次のような階層になっています。
| 階層 | 内容 |
|---|---|
| フレームワーク | SOC 2やISO/IEC 27001などの規格、基準、法令。複数の要求事項で構成される |
| 要求事項 | フレームワークが求める個々の項目。何を達成すべきかを示す |
| コントロール | 要求事項を満たすために実施する取り組み。Drataが用意するDrata Control Framework（DCF）のコントロールと、自社で作るカスタムコントロールがある |
要求事項とコントロールの対応の考え方は、要求事項とコントロールの関係で説明します。
対応するフレームワークの一覧
Drataが用意するフレームワークは、要求事項とコントロールの対応のさせ方によって2種類に分かれます。
| 種類 | 画面の表示 | 内容 |
|---|---|---|
| 事前にマッピングされたフレームワーク | Pre-mapped | 要求事項が、あらかじめDCFのコントロールにマッピングされている |
| 要求事項だけのフレームワーク | Requirements Only | 要求事項だけが用意されている。既存のDCFのコントロールやカスタムコントロールに、自分でマッピングする |
ヘルプセンターでは、Drataが対応するフレームワークとして次のものを挙げています。
| フレームワーク | 種類 | 補足 |
|---|---|---|
| CCM | 事前にマッピング | Cloud Security AllianceのCloud Controls Matrix（CSA CCM） |
| CCPA | 事前にマッピング | カリフォルニア州消費者プライバシー法 |
| CIS 8.1 | 事前にマッピング | |
| CMMC 2.0 | 事前にマッピング | |
| COBIT | 要求事項だけ | |
| Cyber Essentials、Cyber Essentials v3.2、UK Cyber Essentials | 事前にマッピング | 英国の制度 |
| DORA | 事前にマッピング | EUのデジタル・オペレーショナル・レジリエンス法 |
| Drata Essentials | 事前にマッピング | |
| FedRAMP | 事前にマッピング | |
| FFIEC | 要求事項だけ | |
| GDPR | 事前にマッピング | EU一般データ保護規則 |
| HIPAA | 事前にマッピング | 米国の医療情報の法律 |
| ISO 27001:2013、ISO 27001:2022 | 事前にマッピング | |
| ISO 27017、ISO 27017:2015 | 事前にマッピング | ISO 27001に追加する規格で、ISO 27001の審査の一部として審査を受けられる |
| ISO 27018 | 事前にマッピング | ISO 27001に追加する規格で、ISO 27001の審査の一部として審査を受けられる |
| ISO 27701:2019 | 事前にマッピング | |
| ISO 42001:2023 | 事前にマッピング | AIマネージメントシステムの規格 |
| Microsoft SSPA | 要求事項だけ | |
| NIS 2 | 事前にマッピング | EUのNIS 2指令 |
| NIST AI RMF | 事前にマッピング | |
| NIST CSF 2.0 | 事前にマッピング | NISTサイバーセキュリティーフレームワーク（CSF） |
| NIST SP 800-171 Rev 2、NIST SP 800-171 Rev 3 | 事前にマッピング | |
| NIST SP 800-53 | 事前にマッピング | |
| PCI DSS v3.2.1、PCI DSS v4.0 | 事前にマッピング | |
| SOC 2 | 事前にマッピング | |
| SOX ITGC | 要求事項だけ |
一覧にないフレームワークや、社内の規程、取引先から求められた独自の要求事項は、カスタムフレームワークとして自分で作れます。作り方はカスタムフレームワークで説明します。
【注意】 使えるフレームワークは、契約の内容によって決まります。一覧にあるフレームワークでも、契約に含まれていなければ使えません。フレームワークを追加したい場合は、正規販売代理店（デジタルアクセルズ）にご相談ください。
Frameworksページの見方
フレームワークの状況は、Compliance → Frameworksで確かめます。
Frameworksページ。Current frameworksタブに、フレームワークごとの準備状況、要求事項の数、準備ができたコントロールの数がカードで並ぶ
| 画面の要素 | 内容 |
|---|---|
Current frameworksタブ | 使っているフレームワークがカードで並ぶ。カードには、準備状況の割合、要求事項の数、準備ができたコントロールの数と全体の数が表示される |
Available for your companyタブ | Current frameworksタブの横に並ぶタブ |
Calculate readiness by | 準備状況を、コントロール（Controls）と要求事項（Requirements）のどちらで計算するかの切り替え |
Open framework | フレームワークの詳細の画面を開く |
Create new custom framework | カスタムフレームワークを作る |
準備状況の計算の切り替えは、操作したユーザー自身の表示にだけ反映され、ほかのユーザーの表示は変わりません。
| 計算の方法 | 準備状況の割合の考え方 |
|---|---|
Controls（既定） | 対象（In Scope）のコントロールのうち、準備ができた（Ready）コントロールの割合 |
Requirements | 対象の要求事項のうち、準備ができた要求事項の割合 |
要求事項は、マッピングされた全てのコントロールの準備ができて、初めて準備ができた状態になります。1つでも準備ができていないコントロールがあるか、コントロールが1つもマッピングされていない要求事項は、準備ができていない（Not Ready）状態です。そのため、Requirementsで計算すると、Controlsで計算した場合より割合が大幅に低く出ることがあります。特にSOC 2では差が出やすいため、両方の表示を見比べて、どこに作業が残っているかを確かめてください。
フレームワークの詳細の画面
カードのOpen frameworkを選ぶと、フレームワークの詳細の画面が開きます。
フレームワークの詳細の画面。上部に準備状況の概要が並び、左側のフィルターで、要求事項を対象かどうかや準備状況で絞り込める
| 画面の要素 | 内容 |
|---|---|
| 上部の概要 | フレームワークの準備状況の割合、準備ができた要求事項の数、準備ができたコントロールの数、フレームワークの説明 |
| 要求事項の一覧 | 要求事項ごとに、準備状況（Status）、コード（Code）、名前、マッピングされたコントロールの数（Controls）、対象かどうか（Scope）が並ぶ |
| フィルター | 対象かどうか（Scope）、準備状況（Readiness）、フレームワークの分類（SOC 2のトラストサービス規準、HIPAAの規則など）で絞り込む |
Download | 要求事項とコントロールの対応をCSVファイルで書き出す |
要求事項を選ぶと、要求事項の説明を確かめたり、DCFのコントロールやカスタムコントロールをマッピングしたり、マッピングを外したりできます。マッピングされたコントロールのうち、準備ができていないものが上に表示されます。
一覧のControlsの数に入るのは、対象の要求事項にマッピングされたコントロールです。例えば、あるコントロールが同じフレームワークの3つの要求事項にマッピングされていて、そのうち1つだけが対象であれば、そのコントロールは対象として数えられます。マッピングされた要求事項が全て対象外になると、そのコントロールも対象外になり、数が減ります。
Frameworksページを開けるのは、AdminとInformation Security Leadのロールのユーザーです。要求事項の詳細は、Workspace Managerのロールのユーザーも扱えます。
フレームワークを有効化する流れ
フレームワークは、次の流れで使えるようになります。
- 契約に含まれるフレームワークが、Drata側でアカウントに対して有効にされます。フレームワークは、
Frameworksページからではなく、ワークスペースごとに有効にします。アカウントで有効になっていないフレームワークは、ワークスペースでも有効にできません。 - ワークスペースを使っている場合は、ワークスペースごとにフレームワークを有効にします。
Settings→Organization→Workspacesでワークスペースを選び、Frameworksの欄でEditを選んで、フレームワークを加えてSaveを選びます。この操作はAdminロールのユーザーが行います。 - 有効にしたフレームワークは、そのワークスペースの
Frameworksページで開けるようになります。 - 段階のある要求事項を持つフレームワークでは、最初にフレームワークの画面を開いたときに、自社に当てはまる段階を選びます（下の「段階を選ぶフレームワーク」の通り）。
- 要求事項の一覧を見て、自社の環境に当てはまらない要求事項を対象外にします。
ワークスペースへのフレームワークの割り当ては、ワークスペースの設計で説明しています。契約したはずのフレームワークが一覧に表示されない場合は、アカウントで有効になっていない可能性があります。正規販売代理店（デジタルアクセルズ）にご相談ください。
要求事項を対象外にする手順と、そのときのコントロールへの影響は、対象と対象外の管理で説明します。SOC 2では、新しく有効にしたときに、セキュリティーのカテゴリーの要求事項だけが対象になっています。詳しくはSOC 2を進めるで説明します。
段階を選ぶフレームワーク
CMMC、FFIEC、NIST SP 800-53は、要求事項が段階（レベル）に分かれています。最初にフレームワークの画面を開いたときに段階を選ぶと、選んだ段階に関係しない要求事項が自動で対象外になります。段階を選べるのは、AdminとInformation Security Leadのロールのユーザーです。
| フレームワーク | 段階の区分 | 選べる段階 |
|---|---|---|
| CMMC | Level | Level 1、Level 2 |
| NIST SP 800-53 | Control Baseline | Security - Low、Security - Moderate、Security - High。選んだ段階と重なるプライバシーの要求事項を全て含めることもできる |
| FFIEC | Maturity Level | Baseline、Evolving、Intermediate、Advanced、Innovative |
段階は後から変えられます。要求事項の一覧の右上にある歯車のアイコンを選んで段階を選び直すと、新しい段階に合わせて、要求事項が対象と対象外に設定し直されます。
有効化したときに追加されるもの
フレームワークを有効にすると、そのフレームワークに必要なものが加わります。ワークスペースを使っている場合、フレームワークを変えると、そのワークスペースで必要なコントロール、テスト、証跡が変わります。
| 追加されるもの | 内容 |
|---|---|
| 要求事項 | フレームワークの要求事項が、要求事項の一覧に入る。段階を選ぶフレームワークでは、選んだ段階に関係しない要求事項が対象外になる |
| コントロール | 事前にマッピングされたフレームワークでは、要求事項にDCFのコントロールがマッピングされた状態で加わる。要求事項だけのフレームワークでは、既存のDCFのコントロールやカスタムコントロールに自分でマッピングする |
| テスト | フレームワークの有効化に合わせて、モニタリングテストが自動で用意される。あとから、Test Libraryからテストを追加することもできる |
| 証跡 | SOC 2またはISO 27001:2022を使っていて、2024年8月27日より後にDrataを使い始めた場合は、Evidenceページに、コントロールにマッピングされた証跡があらかじめ用意されている |
DCFのコントロールは、複数のフレームワークの似た要求事項に対応しています。そのため、2つ目以降のフレームワークを有効にしたときは、既に使っているコントロールが新しいフレームワークの要求事項にもマッピングされ、既に整えた作業を生かせます。複数のフレームワークの進め方は、複数のフレームワークを併用するで説明します。
【注意】 フレームワークを追加したり、Drataがフレームワークを更新したりして、新しいコントロールが加わると、準備状況の割合が下がることがあります。加わったコントロールは、使わないのであれば対象外にできますが、まずコントロールの内容とマッピングを確かめてから判断してください。DCFの更新があったときの扱いは、要求事項とコントロールの関係で説明します。
自動で用意されたテストの見方と、Test Libraryからテストを追加する方法は、モニタリングテストの仕組みとTest Libraryからテストを追加するで説明します。