全ての要員が、全ての確認項目の対象になるとは限りません。監査の範囲に関係しない人や、人ではないアカウントは対象外にし、一部の確認項目だけが当てはまらない人は、その項目だけを除外します。どちらも理由が監査のために残ります。このページでは、要員を対象外にする方法とサービスアカウントの扱いとして、対象外にしていい場面、業務委託者を対象に含めるかの判断、人ではないアカウントをテストから外す方法を説明します。
範囲から外す仕組みの使い分け
要員を範囲から外す仕組みは、次の4つです。目的に合ったものを選びます。
| 仕組み | 外れるもの | 使う場面 |
|---|---|---|
| 対象外の雇用状態 | その要員の全ての確認項目。記録と履歴は残る | 監査の範囲に関係しない人、人ではないアカウント |
| 要員の除外 | 選んだ確認項目だけ。要員は監査の範囲に残る | 一般には当てはまる項目が、特定の人や役割には当てはまらない |
| ワークスペースの要員の範囲 | 別のワークスペースの要員 | ワークスペースごとに対象の要員が違う（要員のデータの取り込み） |
| アカウントの対象外 | 連携先の特定のアカウント | クラウド基盤やバージョン管理のサービスアカウント（アカウントと要員の対応付け） |
別のワークスペースに属するというだけの理由で、対象外の雇用状態にはしません。
要員を対象外にする
対象外にしていい場面
要員を対象外にするのは、その人が次の全てに当てはまる場合です。
- 顧客のデータにアクセスしない
- 顧客のデータを扱うシステムにアクセスしない
- 現在の監査の範囲で、コンプライアンスのテストに含めるべきではない
ヘルプセンターでは、顧客のデータにアクセスする人や、プラットフォームの開発、監視、構築、実装に責任を持つ人は、従業員でも業務委託者でも監査の範囲に入るとしています。本番環境、機微なデータ、顧客の情報にアクセスできるアカウントは、SOC 2などのフレームワークでは対象に残す必要があります。
【注意】 監査人は、対象外の要員がまれで、理由がはっきりしていることを期待します。対象外は慎重に使い、一部の確認項目だけが当てはまらない場合は、要員の除外を使ってください。
対象外にする手順
Governance→Personnelを開きます。- 対象の要員の
Personnel statusの列で、対象外の雇用状態を選びます。人の場合はOut of scope (ignore)、人ではないアカウントの場合はOut of scope (service account)を選びます。 - 求められたら、業務上の理由を入れて保存します。
対象外にした要員は、次のように扱われます。
| 項目 | 扱い |
|---|---|
| 確認項目とテスト | 自動のコンプライアンスの確認から外れる |
| 入社時の作業 | My Drataでの入社時の作業を求められない |
| サインイン | Drataにサインインできない（管理者のロールを持つ人を除く） |
| 記録 | 監査のために残る |
手作業で雇用状態を変えると、その要員のIDプロバイダーと人事システムとの同期が止まります。詳しくは雇用状態と入社・退職の管理で説明しています。
業務委託者を対象に含めるかの判断
業務委託者を監査の範囲に含めるかは、最終的に監査人が判断します。ヘルプセンターでは、監査人と話し合うときの考え方を、フレームワークごとに次のように示しています。
| フレームワーク | 範囲 | 判断の目安 |
|---|---|---|
| SOC 2 | 監査の対象のシステムと、関係する事業の目的や顧客への約束 | 顧客のデータに触れるか。対象のシステムを支えるか。触れなくても、事業の目的や顧客への約束に直接影響する仕事か |
| ISO 27001 | ISMS（情報セキュリティーマネージメントシステム）の適用範囲 | 適用範囲に含めた部門に属するか、支えるか。適用範囲の資産を支えるか、扱うか |
| HIPAA | 電子的な保護対象保健情報（ePHI） | ePHIにアクセスするか、アクセスできる可能性があるか |
| PCI DSS | カード会員データ環境（CDE） | カード会員データや取引のデータにアクセスするか。物理的な施設があるか |
例えば、SOC 2では、情報セキュリティーのポリシーやリスクアセスメントだけを担うセキュリティーのコンサルタントも、事業の目的に影響するため範囲に入りうる一方、ロゴのデザインだけを手伝う業務委託者は範囲に入らないことがあります。ISO 27001では、ISMSから営業部門を外していれば、営業の業務委託者は範囲に入らないことがあります。
人事システムをつないでいない場合、業務委託者かどうかは自動では推定されません。Current contractorの雇用状態は手作業で設定します。
一部の確認項目だけを除外する
要員の除外は、要員を監査の範囲に残したまま、特定の確認項目だけを外します。期間を決めることも、無期限にすることもでき、理由は監査の書き出しに含まれます。
例えば、社内のツールを支える業務委託者が、会社のシステムにアクセスするが顧客のデータには触れず、会社が管理しない私物の端末を使っている場合は、端末の管理の確認項目だけを除外します。その人は範囲に残り、ほかの確認項目は引き続き当てはまります。
除外を作る
Governance→Personnelで、Create exclusionを選びます。要員を選んでから、操作のバーのCreate exclusionを選ぶこともできます。
Personnelページ。右上のCreate exclusionか、要員を選んだときのバーから除外を作り始める
- 除外の当てはめ方（
Personnel grouping）を選びます。
| 当てはめ方 | 内容 |
|---|---|
Custom personnel | 選んだ要員に当てはめる。要員を選んでから始めると、この当てはめ方で選んだ要員が入る |
Status or group | 雇用状態かIDプロバイダーのグループで当てはめる。要員ごとに別の除外が作られ、その雇用状態やグループに出入りした要員に応じて自動で更新される |
All personnel – all time | 全ての要員に無期限で当てはめる |
- 除外する確認項目（
Compliance checks）を選びます。必要な例外が認められた項目だけを選びます。
| 区分 | 確認項目 |
|---|---|
| ポリシーと研修 | Acknowledged Policies、Security Training、HIPAA Training、AI Awareness Training |
| 採用と退職 | Background Check、Offboarding Evidence |
| IDプロバイダー | Identity MFA |
| 端末 | Antivirus、Auto Updates、Disk Encrypted、Lock Screen、Password Manager |
- 期間（
Duration）を、無期限のIndefiniteか、開始日と終了日を決めるCustomから選び、業務上の理由を入れます。
Create Personnel Exclusionの画面。当てはめ方、要員、除外する確認項目、期間を設定する
- 内容を確かめ、確認のチェックボックスを選んで、
Saveを選びます。
除外は、次のAutopilotの同期で反映されます。
【注意】 要員の除外は、主ワークスペースにだけ当てはまります。端末は1台ずつは除外できず、端末の確認項目を除外すると、その要員の全ての端末に当てはまります。理由は、その要員が監査のサンプルに選ばれたときに、監査の書き出しに含まれます。
除外を確かめる、変える、アーカイブする
有効な除外は、PersonnelページのActive exclusionsタブで確かめます。要員の詳細の画面でも、除外された確認項目を確かめられます。
PersonnelページのActive exclusionsタブ。除外ごとに、対象の要員、確認項目、期間が並ぶ
| 操作 | 手順 |
|---|---|
| 変える | Active exclusionsタブで除外を選び、確認項目、期間、理由を直して保存する。次のAutopilotの同期で反映される |
| 1つをアーカイブする | 除外を選び、Archiveを選ぶ |
| まとめてアーカイブする | 除外を選び、Actions → Archiveを選ぶ |
アーカイブは取り消せません。同じ除外が再び必要になったときは、新しく作ります。期間を決めた除外は、期間が終わると自動でアーカイブされます。アーカイブした除外は、Archivedに切り替えて確かめます。
除外は、対応するモニタリングテストにも表示されます。例えば、Identity MFAの除外はMFA on Identity Providerのテストに表示され、除外された要員と期間が並びます。テストの画面からは除外する要員を変えられず、Active exclusionsタブで変えます。テストの除外との違いは、除外と無効化の使い分けで説明しています。
グループでまとめて除外する
例えば、バックグラウンドチェックを求めない要員をIDプロバイダーのグループにまとめて同期しておくと、Personnelページでそのグループに絞り込み、まとめて除外を作れます。Status or groupで当てはめると、グループに加わった要員にも自動で当てはまります。
人ではないアカウントをテストから外す
人ではないアカウントは、どこに現れるかで外し方が違います。
| 現れる場所 | 外し方 |
|---|---|
IDプロバイダーから取り込まれ、Personnelページに要員として並ぶ | 雇用状態をOut of scope (service account)にする |
| 要員として残す必要があり、IDプロバイダーの多要素認証の方針の対象外になっている | 要員の除外でIdentity MFAだけを除外する（IDプロバイダーのアカウントがない業務委託者も同様） |
クラウド基盤やバージョン管理などのManage accountsのページに並ぶ | アカウントの…のメニューでMark out of scopeを選び、理由を書く |
Manage accountsのページでの操作は、アカウントと要員の対応付けで説明しています。