ポリシー管理の全体像

Drataでは、監査への準備と継続的なコンプライアンスに必要なポリシーを、Policiesページでまとめて管理します。ポリシーの作成から編集、承認、公開、社員の同意、見直しまでを1カ所で扱えるため、ほかの文書管理と分けて状況を追う必要がありません。このページでは、Drataでのポリシー管理の全体像として、Policiesページの見方、テンプレートから作る方法と既存の規程を取り込む方法、ポリシーの状態と準備状況への影響を説明します。

Policiesページでできること

Policiesページは、Governance → Policiesで開きます。ヘルプセンターの記事では「Policy Center」と書かれていることがありますが、同じページです。

できること	内容
ポリシーの作成と取り込み	Drataのテンプレートから始める、自社のファイルをアップロードする、つないだクラウドストレージから既存の文書を取り込む
内容の編集	ポリシーの文面、添付、版の情報を更新する
承認者の設定と公開	段階を分けた承認の流れを設定し、必要な承認が全て済んだら公開する
版と状態の把握	ポリシーごとに、下書き、承認、公開の版を1カ所で確かめる
書き出しとアーカイブ	ポリシーをPDFでダウンロードする。不要になったポリシーは、監査の履歴を残したままアーカイブする
ポリシーの更新	内容を直し、変更を重要な変更と軽微な変更に分け、社員の同意を管理する

ページには、有効なポリシーを並べるActiveタブと、アーカイブしたポリシーやほかのポリシーに置き換えたポリシーを並べるArchived or replacedタブがあります。Archived or replacedタブでは、アーカイブしたポリシーを元に戻したり、置き換えた版を確かめたり、以前の版をダウンロードしたりできます。

Policiesページを開けるのは、Admin、Information Security Lead、Workspace Manager、Policy Managerのロールのユーザーです。ほかのロールのユーザーや、ロールを持たない社員には、ナビゲーションにPoliciesページが表示されません。社員は、My Drataで自分に割り当てられたポリシーを読んで同意します。

ポリシーの詳細の画面

一覧でポリシーの名前を選ぶと、ポリシーの詳細の画面が開きます。上部に版の番号、状態、作成日、承認日、公開日がまとめて表示され、その下のタブで内容を確かめます。

タブ	内容
Overview	名前、オーナー、更新期限、対象の要員などの詳細、承認の設定、マッピングされたコントロールとフレームワーク
Policy	今のポリシーの内容。Drataのエディターで書いたポリシーは、ここで編集する
Controls	ポリシーにマッピングされたコントロール。Map Controlsでマッピングを加える
Version History	以前の版。版ごとの作成日、承認日、公開日、変更の説明

ポリシーの詳細のOverviewタブ。Detailsにポリシーの名前、更新期限、説明、対象の要員が並び、右にApprovalとOwnerの欄がある

承認日の欄は、承認が必要なかった版では「No approval required」、承認を待っている間は「—」と表示されます。

ポリシーを用意する2つの方法

ポリシーは、Drataのテンプレートを自社に合わせて編集するか、自社で作ったポリシーを取り込んで用意します。どちらで作ったポリシーも、同じ流れで承認、公開、同意を進めます。

方法	内容	向いている場面
テンプレートから作る	Drataが用意したポリシーテンプレートを、Drataのエディターで自社に合わせて編集する。テンプレートは、関係するコントロールとテストにあらかじめマッピングされている	規程がまだ整っていない、またはテンプレートを土台に作り直したい
既存の規程を取り込む	自社のポリシーのファイルをアップロードするか、Drataのエディターに書き写して、カスタムポリシーとして作る。Drataのテンプレートを置き換えると、テンプレートのマッピングを引き継げる	既に自社の規程があり、その内容と体裁を使い続けたい

テンプレートの使い方と置き換えの考え方は、ポリシーテンプレートを自社の規程に合わせるで説明します。

カスタムポリシーを作る

ポリシーを作れるのは、Admin、Information Security Lead、Workspace Managerのロールのユーザーです。

1. Governance → Policiesを開き、Create policyを選びます。
2. ポリシーの内容をどこから用意するかを選びます。
   • Upload policy：パソコンからファイルをアップロードする（25MBまで）か、つないだクラウドストレージ（Google Drive、SharePoint、OneDrive、Box、Dropbox）からファイルを取り込みます。
   • Author policy in Drata：Drataのエディターでポリシーを書きます。
3. ポリシーの名前、説明、更新期限、オーナー（ポリシーオーナー）を入れます。社員が同意する前に表示する注意書き（Disclaimer）は任意です。承認の設定は、作成の後に行います。
4. ポリシーに同意する要員を選びます。全ての要員、特定のグループ、要員の同意が不要なポリシーの3つから選びます。選び方は、社員への割り当てと同意で説明します。
5. 必要に応じて、置き換えるDrataのテンプレートを選びます。

アップロードできるファイルの形式は、PDF、DOCX、ODT、XLSX、ODS、PPTX、ODPです。Drataのエディターで作った場合は、作成の後にPolicyタブで内容を書き、書き終えたら下書きを確定して承認に進めます。

【注意】 ConfluenceやBambooHRなどの外部のポリシー管理ツールをつないでいると、Drataでポリシーを作ったり、テンプレートを置き換えたりできません。この場合は、作成の代わりにImport external policyが表示されます。外部のツールで管理する場合の扱いは、外部の文書管理ツールとの連携で説明します。

ポリシーの状態

ポリシーは、次の状態を順に進みます。

状態	意味
Draft	作成中、または編集中
Needs approval	必要な承認を待っている
Ready to publish	承認が全て済み、公開できる
Published	公開済みで、有効なポリシー
Archived	有効ではないが、監査のために残している

状態によって、誰が編集できるかが決まります。

状態	編集できる人	編集したときの動き
Draft	Policiesページを使えるユーザー（読み取り専用の権限が有効な場合を除く）	確定するまで自由に編集できる
Needs approval	誰も編集できない	承認の間はロックされる。承認者は承認するか、変更を依頼する
Ready to publish	ポリシーオーナーだけ	新しい版ができる。変更が重要か軽微かを選ぶ
Published	ポリシーを書き込める権限のあるユーザー	新しい下書きができる。公開中の版は、置き換わるまで有効なまま

公開中のポリシーを直すときは、変更を重要な変更（Material changes）と軽微な変更（Non-material changes）のどちらかに分けます。重要な変更は承認をやり直し、公開すると大きい版の番号が上がり（v1.0→v2.0）、要員にもう一度同意を求めます。軽微な変更は、ポリシーオーナーがすぐに公開でき、小さい版の番号が上がります（v1.0→v1.1）。承認と公開の流れはポリシーの承認と公開、版の管理はポリシーの見直しと版の管理で説明します。

準備状況への影響

コントロールにマッピングしたポリシーは、公開された版があれば有効、なければ無効として扱われ、コントロールの準備状況に効きます。ポリシーを作っても、承認と公開を済ませるまでは準備状況を上げません。

状況	準備状況への影響
マッピングしたポリシーが公開されている	準備状況を下げない
ポリシーが公開されていない	コントロールが準備未完了（Not Ready）になる
テンプレートを、まだ公開していないカスタムポリシーで置き換えた	置き換えはすぐに効くため、公開するまで関係するコントロールがNot Readyになることがある
ポリシーがどのコントロールにもマッピングされていない	ポリシーが準備完了と扱われない

ポリシーのコントロールへのマッピングは、証跡とコントロールのマッピングで説明しています。準備状況の考え方は、コントロールの準備状況で説明しています。

【運用のポイント】 ポリシーを公開しても、それだけで監査のコントロールの要件を満たすわけではありません。ポリシーは期待される行動を定めるもので、監査人は、その通りに運用されている証拠を求めます。例えばシステムのアクセス制御のポリシーであれば、アクセスの申請と承認の記録、入社と退職のチェックリスト、チケットやログなど、実際の運用を示す証跡もコントロールにマッピングします。

ポリシーに関わる役割

役割	できること
ポリシーオーナー	ポリシーの作成、編集、公開。承認の取り消し。オーナーだけが公開できる
承認者	割り当てられたポリシーの承認と、変更の依頼
Policy Managerのロール	Policiesページでのポリシーの閲覧、ダウンロード、作成、編集。Tasksページでのポリシーの更新のタスク

ポリシーオーナーには、担当のポリシーが割り当てられたときや、ほかの人に更新されたときなどにメールが届きます。通知の設定は、通知の設定で説明しています。ロールの全体像は、ロールと権限の設計で説明しています。