既存の管理表でコントロールを管理してきた場合や、社内の規程や取引先の要求に合わせた多くのカスタムコントロールを用意する場合は、1つずつ画面で作るより、ファイルからまとめて取り込む方が効率的です。Drataでは、CSVファイルからカスタムコントロールをまとめて作成、更新できます。このページでは、コントロールを一括で取り込む方法として、インポート用のファイルの作り方、既存の管理表からの移し替え、取り込んだ後にマッピングとオーナーを確認する手順を説明します。
一括インポートでできること
一括インポートでは、次のことができます。
- 新しいカスタムコントロールを作る
- 既存のカスタムコントロールを更新する
- コントロールオーナーと承認者を割り当てる
- フレームワークの要求事項にマッピングする
- メモ（Internal notes）を加える
一括インポートは、Compliance → ControlsでCreate controlを選び、Create/Update in bulkを選んで始めます。取り込みの画面の基本の操作は、ほかのデータの一括インポートと共通です。共通の流れは、他のツールからDrataへの乗り換えで説明しています。
インポート用のファイルを作る
取り込むファイルは、CSVファイルです。列の名前は自由で、取り込むときにDrataの項目に対応付けます。Drataの項目と、値の検証の規則は次の通りです。
| Drataの項目 | 必須 | 検証の規則 |
|---|---|---|
Control Code | 必須 | ワークスペースの中で重複しない。空白を含まない。1〜20文字。空欄にできない（自動では付かない） |
Name | 必須 | ワークスペースの中で重複しない。191文字まで |
Description | 必須 | 30,000文字まで |
Question | 任意 | 30,000文字まで |
Activities | 任意 | 30,000文字まで |
<Framework> Requirement Ids | 任意 | フレームワークごとの要求事項のID。カンマで区切って複数書ける。そのワークスペースのDrataにある要求事項であること |
Control Owners | 任意 | コントロールオーナーのメールアドレス。カンマで区切って複数書ける。Drataにあるユーザーで、正しいメールアドレスの形式であること。承認を設定する場合は必須 |
Internal notes | 任意 | 30,000文字まで。メモは追加だけで、編集や削除はできない。追加しても通知は送られない |
Approvers | 任意 | 承認者のメールアドレス。カンマで区切って複数書ける。Drataにあるユーザーで、Admin、Workspace Manager、Information Security Lead、Control Managerのいずれかのロールを持つこと。Approval deadlineを入れた場合は空欄にできない。承認の設定は追加と更新はできるが、削除はできない |
Approval deadline | 任意 | 承認の期限。今日以降の日付。Approversを入れた場合は空欄にできない |
ファイルを作るときは、次の点を押さえます。
| 押さえること | 内容 |
|---|---|
| コードの付け方 | コードは自動で付かないため、全ての行に入れる。空白を含められず、20文字までなので、長い管理番号は短い体系に置き換える |
| 要求事項のID | 要求事項の列は、フレームワークごとに分かれる。マッピング先のフレームワークを、先にワークスペースで有効にしておく |
| オーナーと承認者 | メールアドレスで指定するため、先にDrataのユーザーとして登録しておく。承認者には、承認者になれるロールを割り当てておく |
| 承認の設定 | 承認者と承認の期限は、両方を入れるか、両方を空欄にする。承認を設定する行には、オーナーも入れる |
取り込む手順
1. ファイルをアップロードして項目を対応付ける
- コントロールの一覧の欄で、
Upload a fileを選びます。 - CSVファイルをアップロードします。
- ファイルの列（
Incoming fields）を、Drataの項目（Destination fields）に対応付けます。アスタリスク（*）の付いた項目は必須で、対応付けないと検証で誤りになります。 - データのプレビューを確かめます。
- 対応付けが済んだら、
Continueを選びます。
2. 値を対応付ける（必要な場合）
選択肢から選ぶ項目がファイルに含まれる場合は、ファイルの値（Incoming Values）とDrataの値（Destination Values）の対応を確かめ、食い違う値を直してからSubmitを選びます。Drataの値を空のセルに対応付けることもできます。必須の項目で検証の誤りを避けたいときに役立ちます。
3. 検証の結果を確かめて送信する
値の対応付けが済むと、Drataが行ごとに内容を検証します。
| 表示 | 意味 |
|---|---|
| 赤いセル | 誤り。直さないと送信できない |
| 黄色いセル | 警告や補足の情報 |
| 列の見出し | カーソルを合わせると、その列の検証の規則が表示される |
誤りのセルの数は、シートの中に表示されます。必須の項目の誤りを全て直すとSubmitを選べるようになり、選ぶとカスタムコントロールが作られます。
既存のコントロールを更新する
同じ手順で、既存のコントロールも更新できます。更新するときは、新しいコードの代わりに、既存のコントロールのコードを入れます。コードは、大文字と小文字の違いも含めて完全に一致している必要があります。検証の画面では、既存のコードが黄色で表示され、そのコントロールが更新されることが示されます。
【注意】 コードが既存のものと少しでも違うと、更新ではなく新しいコントロールが作られます。作ったコントロールは削除できず、対象外にして残すことになります。更新のつもりで取り込むときは、送信の前に、更新する行が全て黄色で表示されているかを確かめてください。
既存の管理表から移し替える
ほかのツールや表計算ソフトでコントロールを管理してきた場合は、次の流れで移し替えます。
- 既存のコントロールとDCFのコントロールを比べ、DCFで足りるもの、DCFを編集すれば足りるもの、カスタムコントロールとして取り込むものに分けます。
- カスタムコントロールとして取り込むものについて、既存の管理表の列を、コード、名前、説明、要求事項のID、オーナーなどのDrataの項目に合わせて整えます。既存のコードを残したい場合は、カスタムコントロールとして取り込みます（DCFのコントロールのコードは変えられません）。
- 一括インポートで取り込みます。
- カスタムコントロールで置き換えたDCFのコントロールを、重複しないように対象外にします。
既存のコントロールをDCFに移すか、独自のコントロールを使い続けるかの判断は、他のツールからDrataへの乗り換えで説明しています。対象外にする操作は、対象と対象外の管理で説明します。
取り込んだ後にマッピングとオーナーを確認する
取り込んだカスタムコントロールには、DCFのコントロールと違い、テストやポリシーがあらかじめマッピングされていません。取り込んだ後に、次の点を確かめます。
| 確かめること | 方法 |
|---|---|
| 要求事項のマッピング | 対象の要求事項に1つもマッピングされていないコントロールは、準備完了にならない。ControlsページでFrameworkで絞り込むか、コントロールのFrameworksタブで確かめる |
| テスト、ポリシー、証跡のマッピング | 各コントロールのMonitoring、Policies、Evidenceのタブでマッピングする。AIによる提案も使える（次の節） |
| オーナー | オーナーで絞り込み、全てのコントロールにオーナーがいるかを確かめる |
| 承認 | 承認を設定した場合は、承認者が割り当てられていないコントロール（No approvers assigned）がないかを確かめる |
| 準備状況 | Readinessで準備未完了に絞り込み、原因を確かめる |
AIにマッピングを提案させる
カスタムコントロールについては、AIが内容を分析し、マッピングすべき要求事項、テスト、ポリシー、証跡、リスクを提案します（Custom Control Mapping Agent）。使うには、組織でAIの機能が有効になっている必要があり、Admin、Workspace Manager、Information Security Lead、Control Managerのロールのユーザーが使えます。提案は、ワークスペースごとに扱われます。
提案は、次のいずれかの方法で作られます。
| 方法 | 内容 |
|---|---|
Controlsページから取り込む、作る | 一括インポートで取り込んだり、1つずつ作ったりしたカスタムコントロールについて、自動で提案が作られる |
Recommendationsページから取り込む | Recommendations → ControlsでImport controlsを選び、CSVファイルのアップロードか手入力でカスタムコントロールを作ると、自動で提案が作られる |
| 既存のコントロールを選ぶ | Controlsページで既存のカスタムコントロールを選び、操作のバーでRecommend objectsを選ぶ。DCFのコントロールは対象にならず、DCFとカスタムコントロールを混ぜて選んだ場合は、カスタムコントロールだけが分析される |
提案は、Recommendations → Controlsのページで確かめます。
Recommendations → Controlsのページ。コントロールごとに、要求事項、テスト、ポリシー、リスクの提案が並び、MapかDismissを選ぶ
Recommendations→Controlsを開きます。必要に応じて、提案の種類（テスト、ポリシー、要求事項、証跡、リスク）や確信度（High、Medium）で絞り込みます。- 提案を、コントロールの目的、範囲、期待する結果と照らし合わせます。詳しく確かめるときは、コントロールの
Reviewを選びます。 - 提案が正しければ
Map、合わなければDismissを選びます。コントロールの全ての提案が正しければ、Map allでまとめてマッピングできます。
ページの全てのコントロールの提案を一度にマッピングする操作はなく、コントロールごとに確かめて操作します。
【運用のポイント】 提案は確認の出発点で、判断を代わりに下すものではありません。
Mapを選んだときにだけマッピングされ、自動で承認されることはありません。確信度の高い提案は手早く確かめ、確信度の低い提案に時間をかけると、確認の手間を抑えられます。合わない提案はDismissで退け、必要なマッピングは自分で加えてください。