社員への割り当てと同意

多くのフレームワークでは、社員がポリシーを読んで同意したことを、入社時と定期的に示す必要があります。Drataでは、ポリシーごとに同意を求める要員を決め、社員はMy Drataで同意し、同意の状況はモニタリングテストで自動で確かめられます。このページでは、ポリシーを社員に割り当てて同意を集める方法として、グループ単位の割り当て、My Drataでの同意の操作、未同意の社員の把握と催促、新しい版を公開したときの再同意を説明します。

同意を求める要員を決める

ポリシーごとに、同意を求める要員（Applicable personnel）を次の3つから選びます。ポリシーを作るときに選び、後からも変えられます。

選択肢	同意を求める要員	モニタリングテストへの影響
All personnel	全ての従業員と業務委託者。既存のDrataのポリシーの既定	対象の要員が1人でも同意していないと、テストが失敗する
Specific groups	選んだIDプロバイダーのグループのメンバーだけ	テストは割り当てたグループのメンバーだけを評価する
Policy doesn't apply to personnel	誰にも求めない。保管と管理だけが必要なポリシー向け	同意をもとにしたテストがあると、失敗する

ポリシーの作成の画面。全ての要員、特定のグループ、要員に適用しないの3つから選び、特定のグループでは対象のグループを選ぶ

【注意】 Policy doesn't apply to personnelを選ぶと、そのポリシーに同意をもとにしたモニタリングテストがある場合、次の夜間の自動実行（Autopilot）の後にテストが失敗します。設定を変えた後に、関係するテストを無効にしてください。ポリシーオーナー以外の人がこの設定を選ぶと、ポリシーオーナーに通知が届きます。

既存のポリシーの割り当てを変える

同意を求める要員を変えられるのは、Admin、Information Security Lead、Workspace Manager、Policy Managerのロールのユーザーです（読み取り専用の権限が有効な場合を除く）。

1. Governance → Policiesを開き、ポリシーを開きます。
2. OverviewタブのDetailsの欄でEditを選びます。
3. Applicable personnelの選択肢を変えます。
4. 変更を保存します。

今の割り当ては、OverviewタブのAssigned toの欄で確かめられます。

グループ単位で割り当てる

全ての社員に全てのポリシーへの同意を求める代わりに、IDプロバイダーのグループごとにポリシーを割り当てると、不要な同意を減らせます。

使える条件

項目	内容
IDプロバイダー	Google Workspace、Microsoft 365、Oktaのどれかと連携していること。Google Workspaceと既に連携している場合は、グループ（Google Groups）と組織部門（Google Organizational Units）を読み取る2つの権限の範囲が有効になっている必要がある
グループ	IDプロバイダーで作り、管理するもの。人事システムのグループや、Drataでのグループの作成には対応していない
複数のドメイン	複数のドメインへの対応を有効にしていない場合、同期されるのは主なドメインのグループだけ

IDプロバイダーとの連携は、IDプロバイダーとの連携で説明しています。

グループの同期

Drataは、IDプロバイダーからグループとそのメンバーを取り込みます。

• グループとメンバーの変更は、夜間の自動実行（Autopilot）の後、1日1回同期される
• 新しいグループは、次の同期の後に自動で表示される
• IDプロバイダーで削除したグループは、Drataからも削除され、ポリシーへの割り当てから外れる
• IDプロバイダーとの連携が切れても、つながり直すまで、既存のグループと割り当てはそのまま残る

グループが取り込まれているかは、PersonnelページのGroupsの絞り込みで確かめます。絞り込みが表示されない場合は、グループが同期されていないか、IDプロバイダーにグループがありません。

メンバーが変わったとき

変化	動き
グループにメンバーが加わった	次の同期の後に、ポリシーが割り当てられる。加わったメンバーに自動で知らせる設定もできる
グループからメンバーが外れた	そのポリシーへの同意を求められなくなる
割り当てたグループのメンバーが全員いなくなった	ポリシーオーナーに通知が届く

どのポリシーを誰に割り当てるか

ヘルプセンターの記事「Policy Acknowledge Grouping」では、Drataのテンプレートごとに、同意を求める要員の推奨を示しています。例えば次の通りです。

推奨される対象	ポリシーの例
全員	Acceptable Use Policy、Code of Conduct、Data Classification Policy、Data Protection Policy、Information Security Policy、Password Policy、Physical Security Policy
エンジニアリング、IT、セキュリティー	Asset Management Policy、Backup Policy、Change Management Policy、Encryption Policy、System Access Control Policy、Vulnerability Management Policy
経営層とエンジニアリング、IT、セキュリティー	Business Continuity Policy、Disaster Recovery Plan、Incident Response Plan
担当者だけ	Risk Assessment Policy（経営層とリスクアセスメントの担当者）、Vendor Management Policy（ベンダーの管理の担当者）
求めない	Information Security Management System (ISMS) Plan

ただし、全ての社員に全てのポリシーへの同意を求めることを好む組織や、それをベストプラクティスと考える組織も多くあります。何が必要かは最終的に監査人が判断するため、グループで分ける場合は、監査人とも確認してください。

My Drataで同意する

社員は、My Drataで自分に割り当てられたポリシーを読み、同意します。

1. 画面右上の自分の名前を選び、My Drataを選びます。My Drataだけを使える社員は、サインインするとそのままMy Drataが開きます。
2. Policy Reviewの欄を開き、同意するポリシーのViewを選びます。
3. ポリシーを読み、Acknowledge Policyを選びます。
4. Nextを選んで、次のポリシーに進みます。

全てのポリシーに同意するまで、3と4を繰り返します。

My DrataのPolicy Reviewの欄。割り当てられたポリシーが並び、Viewを選んで内容を読み、同意する

ポリシーに注意書き（Disclaimer）を設定している場合は、社員が同意するときにMy Drataで表示されます。My Drataの使い方は、My Drataで社員が行うことで説明します。

特定のポリシーへのリンクを社員に伝える

社内のポータルなどから特定のポリシーにリンクする場合は、…/employee/policy/{policyId}で終わるURLを使います。My Drataで対象のポリシーを開き、ブラウザーのアドレスバーからURLをコピーすると簡単です。

Policiesページで開いたポリシーのURL（…/governance/policies/builder/{id}/policyなど）は共有しないでください。このURLはロールの権限が必要なため、ほとんどの社員にはエラーや空白のページが表示されます。

未同意の社員を把握して催促する

Monitoringページから探す

1. Compliance → Monitoringを開き、分類（Category）をPolicy、結果（Result）をFailedで絞り込みます。
2. 失敗したテストを開き、Latest resultの欄で、失敗の原因が要員の同意の不足であることを確かめます。
3. Findingsタブを開くと、同意していない要員が並びます。
4. Fix nowを選ぶと、対象の要員に絞り込んだPersonnelページが開きます。

グループで割り当てたポリシーでは、テストはそのポリシーの対象の要員だけを評価します。テストの結果の読み方は、テストの結果を読み解くで説明しています。

Personnelページで絞り込んで催促する

Personnelページでは、Complianceの絞り込みでPolicies non-compliantを選ぶと、ポリシーに同意していない要員に絞れます。雇用状態（従業員か業務委託者かなど）でさらに絞ると、催促する相手を正しく選べます。

催促のメールは、Personnelページで送ります。

• 一覧で、済んでいない作業がある要員を1人以上選び、Send reminder emailを選ぶ
• 要員の詳細の画面を開き、Send reminder emailを選ぶ

催促のメールを送れるのは、必要な作業が済んでいない要員だけです。

同意の記録を書き出す

Personnelページからは、各要員がどのポリシーに同意したかを示す報告（Policy Acknowledgement）と、要員のコンプライアンスの状況の全体（Compliance Overview）を書き出せます。監査への提出や、社内での状況の報告に使えます。

同意の猶予

新しく入社した要員が、入社直後からテストを失敗させないように、Information Security PolicyのSLAで同意の猶予を設定できます。ここで設定した猶予は、要員に割り当てる全ての公開済みのポリシーの同意に使われます。設定の仕方は、ポリシーテンプレートを自社の規程に合わせるで説明しています。

Drataの外で集めた同意を取り込む

ほかのツールや紙で集めた同意の記録は、一括インポートで取り込めます。Governance → PoliciesのImport policy acknowledgmentsか、Personnelページの…からBulk import → Policy acknowledgmentsで始めます。

項目	内容
取り込む列	User Email、Policy Name、Acknowledgment Date（YYYY-MM-DDの形式）の3つ。全て必須
対象のポリシー	有効で、公開済みの版が同意を求める設定になっているもの
対象の要員	Drataに要員の記録があり、ポリシーの割り当ての対象に含まれる人
既に同意がある場合	警告が表示されるが取り込める。既存の同意の日付が上書きされる
取り込みの後	新しい同意が1件でもあれば、従業員と業務委託者のポリシーへの同意を確かめるテスト（Test 38、Test 190）が再実行される

一括インポートを使えるのは、既定ではAdmin、Policy Manager、Information Security Leadなどのロールのユーザーです。乗り換えのときのデータの取り込みは、他のツールからDrataへの乗り換えで説明しています。

新しい版を公開したときの再同意

ポリシーを直して新しい版を公開したときに、もう一度同意を求めるかは、変更の種類で決まります。

公開の仕方	再同意
重要な変更（Material changes）で新しい版を公開した	必要。公開するとすぐに、対象の社員のMy Drataで新しい版が同意待ちになり、社員に知らせが届く
軽微な変更（Non-material changes）で新しい版を公開した	既定では求めない。公開のときに求めるかを選べる
内容を変えずに更新した（Renew without updates）	更新のときに求めるかを選ぶ。求めない場合は、以前の版に同意した要員は同意済みとして扱われる

【運用のポイント】 ヘルプセンターでは、大きな変更がなくても、社員に毎年ポリシーへの同意を求めることを勧めています。毎年の同意が必要ないと考える場合は、監査で問題にならないよう、監査人に確認してください。毎年の同意の進め方は、ポリシーの見直しと版の管理で説明します。