ほかのGRCツールやスプレッドシートで管理してきたコンプライアンスの取り組みをDrataに移すときは、全てのデータをそのまま持ち込むのではなく、何を残し、何をDrataで新しく集め直すかを決めてから進めます。Drataのヘルプセンターでは、移行の決まった手順はないとしたうえで、進め方のベストプラクティスを示しています。このページでは、その内容をもとに、乗り換えるときに確認することとして、持ち込めるデータの種類、移行の前に書き出すデータ、一括インポート、連携の付け直しを説明します。
乗り換えの全体の流れ
乗り換えを始める前に、現在の監査の周期のどこにいるか（監査の直前か、監査を終えたばかりか）と、乗り換えの目的を確かめます。そのうえで、保存しておく必要があるデータと、Drataで新しく集めるデータを分けます。
ヘルプセンターでは、乗り換えを次の流れで進めることを勧めています。
| 段階 | 主な作業 |
|---|---|
| 準備 | 現在のツールからデータと証跡を書き出す。関係者に、取り組みを管理する場所と方法が変わることを伝える |
| Drataの利用開始 | Drataにサインインし、対象のシステムとの連携をつなぐ |
| データの取り込み | 監査の周期、目的、日程に応じて、資産、コントロール、マッピング、研修、ポリシーへの同意、バックグラウンドチェックなどを取り込む |
| コントロールの整理 | Drata Control Framework（DCF）を確かめ、既存のコントロールをどう扱うかを決める |
| ポリシーの整理 | 既存のポリシーを、Drataで作成し直すか、ファイルとしてアップロードするかを決める |
| 監査人との調整 | 監査人がDrataを使えるように準備する。監査人が決まっていなければ探す |
移行の前に書き出すデータ
現在のツールの利用期限が、Drataで作業を始める前に切れる場合は、全てのデータと証跡を書き出しておきます。これらは自社のデータであり、後で参照したり、Drataにアップロードしたりする必要が出ることがあります。
| 書き出しておくもの | 後での使い道 |
|---|---|
| コントロールの一覧と、要求事項との対応 | DCFとの比較、カスタムコントロールとしての取り込み |
| ポリシーと過去の版 | Drataでの作成し直し、またはアップロード |
| 証跡とその取得日 | 監査人への説明、Drataへのアップロード |
| リスク登録簿 | リスクの一括インポート |
| 資産の一覧 | 連携で集められない資産の一括インポート |
| 研修の受講記録、ポリシーへの同意の記録、バックグラウンドチェックの記録 | 要員の記録の一括インポート |
あわせて、取り組みに関わる人に、乗り換えで何が変わるかを伝えます。例えば、ポリシーを承認する経営者や、ポリシーに同意する社員と業務委託者は、乗り換えの後はDrataで作業することになります。日々の作業に関わらない人も含め、主要な関係者には、Drataで業務がどう変わるかを理解してもらいます。進め方は、導入の流れと体制で説明しています。
最初に連携をつなぎ直す
Drataに初めてサインインすると、画面の案内に沿って初期設定を進められます。最初の作業は、対象のシステムとの連携をつなぐことです。
連携は、コントロールや証跡を設定する前に済ませておく必要があります。連携はDrataのモニタリングテストの土台で、連携をつなぐと、その日のうちにテストが実行され、設定の不備が分かります。テストはその後も毎日自動で実行されます。
前のツールで集めていた、システムの設定やアカウントの状況などの情報は、持ち込むのではなく、Drataの連携で集め直すことになります。データの取り込みは、連携をつないだ後に進めます。連携の全体像と最初につなぐ連携は、連携の全体像とQuick Startで初期設定を進めるで説明します。
【注意】 Drataが対応していないIDプロバイダーを使っている場合は、要員の情報をCSVファイルで取り込む連携（Manual Import）を使えます。この方法を選ぶと、CSVによる取り込みが唯一のIDプロバイダーの連携になり、Oktaなどの同期する連携と組み合わせられません。入社や退職などの変更のたびに、新しいCSVファイルをアップロードする必要があります。
持ち込めるデータと取り込み方
3つの取り込み方
Drataにデータを取り込む方法は、次の3つです。
| 方法 | 向いている場面 |
|---|---|
| 画面からの直接の登録 | 少量のデータを、頻繁に更新する |
| CSVのインポート用テンプレート | 大量のデータを一度に移す |
| 画面からの一括インポート（Bulk import） | 自分たちで速く取り込む |
CSVのインポート用テンプレートは、画面のチャットからDrataのテクニカルサポートに依頼して受け取ります。テンプレートの1行目は見出しの行、2行目は入力の説明と例の行です。2行目は削除するかデータで置き換えていいですが、1行目の見出しは取り込みの際に検証されるため、変更しないでください。記入したテンプレートを提出すると、Drataのチームが内容を確認してから取り込みます。取り込みまでには、通常5〜10営業日かかります。
持ち込めるデータの種類
| データ | 取り込み方 | 注意点 |
|---|---|---|
| コントロール | 一括インポート、テンプレート | 新しいカスタムコントロールを作る。既存のカスタムコントロールの更新、オーナーと承認者の割り当て、要求事項とのマッピングもできる |
| コントロールと要求事項のマッピング | テンプレート | Drataに既にあるコントロールと要求事項を対応付ける |
| コントロールのオーナー | テンプレート | 画面に組み込まれた、オーナーの一括の管理を使うことが強く勧められている。テンプレートを使う場合は、Drataに既にあるコントロールとユーザーを対応付ける |
| リスク | 一括インポート | 既存のリスク登録簿を取り込める |
| 資産 | 一括インポート、テンプレート | 連携で自動的に集まらない資産を取り込む。連携で同期された資産と同じ名前の行は取り込めない |
| 研修の受講記録 | 一括インポート、テンプレート | テンプレートでは、受講の証明のファイルを個別の文書として出す。複数のファイルは1つのZIPファイルにまとめる |
| バックグラウンドチェック | 一括インポート、テンプレート | 結果のファイルそのものは受け付けていない。自社の記録の保管先へのリンクを登録する |
| ポリシーへの同意 | 一括インポート、テンプレート | ポリシーが有効で、承認と公開が済み、同意を求める設定で対象の要員に割り当てられている必要がある |
| 証跡 | 一括インポート | 限定的に提供されている機能。証跡ごとに、ファイルかURLのアーティファクトが1つ以上必要 |
| タスク | 一括インポート | 既存のタスクの一覧や、定期的なタスクをまとめて作る |
この一覧にないデータは、Drataに管理の機能が組み込まれていて、利用開始後にDrataで管理するのが一般的です。取り込み方に迷う場合は、画面のチャットからテクニカルサポートに相談するか、正規販売代理店（デジタルアクセルズ）にご相談ください。
取り込む順序
一括インポートの多くは、取り込み先にほかのデータがそろっていることを前提にしています。
| 先にそろえておくもの | 後から取り込めるもの |
|---|---|
| 要員の情報（IDプロバイダーと人事システムの連携） | 研修の受講記録、バックグラウンドチェック、ポリシーへの同意、資産やタスクの担当者 |
| ポリシーの承認と公開 | ポリシーへの同意 |
| コントロール | コントロールにマッピングする証跡、コントロールに結び付けるタスク |
例えば、ポリシーへの同意を取り込めるのは、Drataに要員の記録がある人だけです。資産の担当者やタスクの担当者も、取り込む時点で在籍中の要員である必要があります。
一括インポートの手順
一括インポートは、取り込むデータの種類ごとに、そのページから始めます。
| データ | 始める場所 |
|---|---|
| コントロール | Compliance → Controlsで、Create controlからCreate/Update in bulkを選ぶ |
| リスク | Risk → Risk Managementのリスクの一覧で、一覧の上の…（その他の操作）からBulk importを選ぶ |
| 資産 | Risk → Assetsで、Create assetの横の矢印からCreate/update assets in bulkを選ぶ |
| 研修、バックグラウンドチェック、ポリシーへの同意 | Governance → Personnelで、一覧の上の…（その他の操作）からBulk importを選び、データの種類を選ぶ |
| ポリシーへの同意 | Governance → PoliciesのImport policy acknowledgments（Personnelからも始められる） |
| 証跡 | Compliance → Evidenceで、Create evidenceの横の矢印からBulk importを選ぶ |
| タスク | Tasksで、Create taskの横の矢印からCreate tasks in bulkを選ぶ |
Personnelページの一覧の上の「…」からBulk importを選ぶと、Trainings、Background checks、Policy acknowledgmentsを選べる
取り込みは、どのデータでもおおむね次の流れで進みます。
- 取り込むデータの種類のページで、一括インポートを始めます。
- CSVファイル（データの種類によってはExcelファイルも）をアップロードするか、画面のシートにデータを貼り付けたり入力したりします。
- ファイルの列（
Incoming fields）を、Drataの項目（Destination fields）に対応付けます。必須の項目は、全て対応付ける必要があります。 - 必要に応じて、ファイルの値をDrataの値に対応付けます。例えば、リスクの状態を独自のラベルで管理していた場合は、Drataの値に合わせます。
- 検証の結果を確かめ、誤りを直します。赤いセルは誤りで、直すか行を削除するまで送信できません。黄色いセルは警告で、そのまま送信できます。
- 全ての行が有効になったら、内容を確かめて送信します。
一括インポートの画面。ファイルをアップロードするか、Manually enter dataを選んで直接入力する
【運用のポイント】 一括インポートで送信したデータは、まとめて1回で書き込まれます。全ての行が取り込まれるか、1行も取り込まれないかのどちらかになるため、一部だけが取り込まれた状態にはなりません。既存のデータと同じ名前やIDの行は、新しく作られずに既存のデータの更新として扱われ、黄色い警告で示されます。意図しない上書きがないかを、送信の前に確かめてください。
一括インポートは、データの種類ごとに使えるロールが決まっています。メニューが表示されない場合は、Adminのロールを持つ人に、ロールと権限を確かめてもらってください。データの種類ごとの項目と手順は、コントロールの一括インポート、リスク登録簿の作り方、セキュリティー研修などの各ページで説明します。
既存のコントロールの扱い
Drataには、監査人やコンプライアンスの専門家と作ったコントロールの体系であるDCFがあり、画面で自社の要件に合わせて調整できます。独自のコントロールを使ってきた場合は、次のいずれかを選びます。
| 選び方 | 内容 |
|---|---|
| DCFに移る | Drataのコントロールを全て採用する |
| DCFと比べて差分を足す | 既存のコントロールとDCFを比べ、重なる部分と編集が必要な部分を見極める。足りないコントロールは、画面で追加するか、一括インポートで取り込む |
| 独自のコントロールだけを使う | DCFを無効にし、独自のコントロールだけを取り込む。コンプライアンスの自動化の効果が限られるため、勧められていない。この方法を使うには、Drataへの依頼が必要 |
選ぶときは、次の点を考慮します。
- DCFのコントロールは、ポリシーとテストにあらかじめマッピングされています。カスタムコントロールを取り込んだ場合は、ポリシーとテストを自分でマッピングする必要があります。
- カスタムコントロールを取り込むときは、それが置き換えるDCFのコントロールを特定し、重複しないように対象外（Out of Scope）にします。
- DCFのコントロールの項目は、コントロールのコード（DCF-46など）を除いて全て変更できます。既存のコントロールのコードを残したい場合は、カスタムコントロールとして取り込みます。
コントロールの編集とカスタムコントロールの作り方は、コントロールの編集と追加で説明します。
既存のポリシーの扱い
Drataには、業界のベストプラクティスに基づいたポリシーテンプレートがあり、自社に合わせて編集できます。既存のポリシーを使う場合は、次の2つの方法があります。
| 方法 | 内容 | 向いている場面 |
|---|---|---|
| Drataで作成する（推奨） | 空のテンプレートから始め、既存の内容を貼り付ける。Drataの画面で直接編集できるため、改訂のたびにアップロードし直す必要がない | 今後の改訂をDrataで進めたい |
| ファイルをアップロードする | 既存のポリシーをPDFで取り込む。Drataの画面では編集できないため、改訂のたびに新しいファイルをアップロードし直す | 自社のロゴや書式を残したい |
既存のポリシーが、Drataのテンプレートとタイトルや内容がおおむね同じ場合は、Replace Policyの機能を使います。元のテンプレートはアーカイブされ、テンプレートが持っていたコントロールとテストのマッピングが、アップロードしたポリシーに引き継がれます。
ポリシーの作り方は、ポリシー管理の全体像で説明します。
監査人との調整
Drataは、特定の監査人に依存しません。既に監査人と契約している場合は、Drataのチームが、監査人がDrataの監査人向けの画面を使えるように支援します。監査人がまだ決まっていない場合は、Drataのチームから助言や紹介を受けられるほか、Drataが公開している監査人の一覧から探すこともできます。
乗り換えの時期が監査の周期の途中に当たる場合は、どの証跡を前のツールから持ち込み、どの証跡をDrataで集め直すかを、監査人と相談して決めてください。監査の作成と監査人の招待は、監査を作成して監査人を招待するで説明します。