証跡をコントロールにマッピングすると、コントロールがどう実施され、維持されているかを監査人に示せます。特に、モニタリングテストで自動的に確かめられず、ポリシー、スクリーンショット、報告書、チケットなどの手作業の証跡が必要なコントロールでは、マッピングが欠かせません。このページでは、証跡とポリシーをコントロールにマッピングする方法として、あらかじめマッピングされた証跡の扱い、1つの証跡を複数のコントロールに使う方法、マッピング漏れの見つけ方を説明します。
マッピングと準備状況の関係
コントロールはフレームワークの要求事項を、ポリシーはコントロールを守るための規則を、証跡はコントロールが実施され有効であることを示します。コントロールが監査を受けられる状態になるには、公開済みのポリシーと、有効な証跡の両方がマッピングされている必要があります。
コントロールが準備完了（Ready）になるのは、次の条件を全て満たす場合です。
- マッピングされた証跡が全て有効である
- 無効な証跡がマッピングされていない
マッピングされたものが有効かどうかは、次の通りに判断されます。
| マッピングされたもの | 有効 | 無効 |
|---|---|---|
| テスト | 成功（Passed）している | 失敗（Failed）している |
| ポリシー | 公開済みの版がある | 公開されていない |
Evidenceページの証跡 | 更新期限を過ぎていない | 更新期限を過ぎている |
| その他の証跡（ファイルかURL） | 更新期限を過ぎていない | 更新期限を過ぎている |
証跡が1つもマッピングされていないコントロールは、準備完了になりません。準備状況の見方は、コントロールの準備状況で説明しています。
証跡とポリシーのマッピングは、Admin、Information Security Lead、Workspace Manager、Control Manager、DevOps Engineerのロールのユーザーが行えます。
あらかじめマッピングされた証跡とポリシー
SOC 2かISO 27001:2022を使っていて、2024年8月27日より後にDrataの利用を始めた場合は、Evidenceページに、あらかじめコントロールにマッピングされた証跡が用意されています。また、Drataのテンプレートから作ったポリシーは、当てはまるコントロールに自動でマッピングされます。
あらかじめマッピングされた証跡やポリシーが自社に当てはまらない場合は、コントロールからマッピングを外します。ポリシーのマッピングは、いつでも外せます。証跡を削除すると、マッピングしていた全てのコントロールから外れ、履歴も失われるため、削除の前にEvidenceページと証跡の状態の確認事項を確かめてください。
Evidenceページの証跡とその他の証跡
コントロールに付ける証跡には、Evidenceページの証跡と、その他の証跡（Miscellaneous evidence）の2種類があります。
| 種類 | 付く範囲 | 向いている使い方 |
|---|---|---|
Evidenceページの証跡 | マッピングした全てのコントロール。複数のフレームワークで使い回せる | 複数のコントロールで使う書類。オーナーと更新期限を決めて管理する証跡 |
| その他の証跡 | 追加したコントロールだけ。Evidenceページの証跡にはならない | そのコントロールでしか使わない資料 |
複数のコントロールで使う書類は、Evidenceページの証跡としてマッピングしてください。
証跡からコントロールをマッピングする
Evidenceページの証跡を起点に、コントロールをマッピングします。
Compliance→Evidenceを開きます。- 証跡を選びます。
Controlタブを開きます。- マッピングするコントロールを選びます。
マッピングしたいコントロールがまだない場合は、この操作の中で新しいコントロールを作ってから、証跡にマッピングできます。
証跡を作るときにも、コントロールをマッピングできます。証跡の作り方は、アーティファクトの登録と更新で説明しています。
コントロールから証跡をマッピングする
コントロールの詳細の画面を起点に、証跡をマッピングします。
Controlsを開き、コントロールを選びます。Evidenceタブを開きます。Add evidenceを選びます。- 次のどれかを選びます。
Map from Evidence Library：Evidenceページにある証跡から選ぶCreate new evidence：Evidenceページに新しい証跡を作り、このコントロールにマッピングするMiscellaneous evidence：このコントロールだけに付けるファイルかURLを追加する
Saveを選びます。
その他の証跡を追加するときは、次の内容を入れます。
| 種類 | 入れるもの |
|---|---|
| ファイル | 名前と説明（省略するとファイル名が使われる）、作成日、更新期限、ファイル |
| URL | 名前（必須）、作成日、更新期限、説明（任意）、URL |
作成日と更新期限は、コントロールの準備状況に影響します。URLの証跡は、JiraやServiceNowなどのチケット、外部のダッシュボード、社内のツールや文書の置き場所など、資料がDrataの外にある場合に使います。
証跡をマッピングしたり外したりすると、コントロールオーナーに通知（Evidence updates on controls）が届きます。通知の設定は、通知の設定で説明しています。
ポリシーをコントロールにマッピングする
ポリシーは、コントロールに対する方針、統制、期待を文書にしたものです。ポリシーをコントロールにマッピングすると、つながりをたどりやすくなり、監査で説明しやすくなります。
Controlsを開き、コントロールを選びます。Policiesタブを開きます。Map policiesを選びます。- ポリシーを1つ以上選び、
Saveを選びます。
必要なポリシーがない場合は、ポリシーを選ぶ画面のCreate a new policyから作れます。ポリシーは、公開済みの版がないと準備状況に効きません。ポリシーの管理は、ポリシー管理の全体像で説明しています。
1つの証跡を複数のコントロールに使う
証跡とコントロールは多対多の関係です。1つの証跡を複数のコントロールにマッピングでき、1つのコントロールに複数の証跡をマッピングできます。例えば、SOC 2とISO 27001の両方で求められる書類は、1つの証跡として登録し、関係するコントロールに全てマッピングします。
1つの証跡を複数のコントロールに使うと、アーティファクトを更新したときに、マッピングした全てのコントロールに反映されます。同じ書類を集め直したり、何度も登録したりせずに済みます。一方で、その証跡の更新期限が切れると、マッピングした全てのコントロールの準備状況に影響します。
多くの証跡をまとめてマッピングする場合は、一括インポートのControlsの項目に、コントロールのコードか名前をコンマで区切って入れる方法もあります。一括インポートは、アーティファクトの登録と更新で説明しています。
ワークスペースの機能を使っている場合は、ワークスペースの間でマッピングしたコントロールに、1つの証跡をまとめてマッピングできます。証跡を更新すると、マッピングした全てのワークスペースの全てのコントロールに反映され、それらの準備状況が変わることがあります。手順は、ワークスペースの設計で説明しています。
マッピング漏れを見つける
準備完了でないコントロールと、使われていない証跡を探す
Controlsページでは、コントロールを準備完了かどうかで絞り込めます。準備完了でないコントロールを開き、Evidenceタブで証跡がマッピングされているか、有効かを確かめます。
Evidenceページでは、どのコントロールにもマッピングされていない証跡は、Controlsの列にNo controlsと表示されます。検索欄では、証跡をマッピングしたコントロールで探すこともできます。
ポリシーだけで準備完了に見えるコントロール
次のコントロールは、ポリシーをマッピングすると準備完了（Ready）と表示されることがありますが、監査人の期待に応えるには、手作業の証跡も必要です。
| コード | 名前 | 必要な手作業の証跡 |
|---|---|---|
| DCF-16 | Periodic Risk Assessment | 直近のリスクアセスメントの活動の記録（リスク登録簿、リスク対応計画など） |
| DCF-17 | Risk Treatment Plan | 直近のリスクアセスメントの活動の記録（リスク登録簿、リスク対応計画など） |
| DCF-18 | Vulnerability Scans | 脆弱性スキャンのテストを自動で実行する連携を設定していない場合は、脆弱性スキャンの結果 |
| DCF-19 | Penetration Tests | 直近のペネトレーションテストの記録（テストの報告書、脆弱性の評価、是正の計画など） |
| DCF-21 | Architectural Diagram | 今のアーキテクチャーの図と、過去1年以内に更新か見直しをした記録（担当者から正確さを確認したメールなど） |
| DCF-22 | Network Diagram | 今のネットワークの図と、過去1年以内に更新か見直しをした記録 |
| DCF-26 | BCP/DR Tests | 直近の事業継続か災害復旧の訓練の記録 |
| DCF-154 | Incident Response Test | 直近のインシデント対応の訓練の記録 |
【運用のポイント】 モニタリングテストで確かめていた内容を、テストの無効化などで自動で確かめられなくなった場合は、代わりの手作業の証跡をマッピングしておきます。例えば、DCF-18は、脆弱性スキャンの連携がなければ、スキャンの結果を手作業の証跡として登録します。テストの無効化については、除外と無効化の使い分けで説明しています。
準備完了にならないときの見直しの順序
コントロールが準備完了にならない場合は、次の順で見直します。
- マッピングしたポリシーが、見直しと承認を経て公開されているかを確かめます。
- 必要に応じて、手作業の証跡を追加します。
- マッピングした証跡が有効で、更新期限を過ぎていないかを確かめます。
- 証跡が1つもマッピングされていない場合は、証跡をマッピングするか、手作業の証跡をアップロードします。