Drataでは、ポリシーは承認を経てから公開します。承認の流れを設定しておくと、適切な関係者が順にポリシーを確認し、その記録が版ごとに残るため、監査でポリシーの見直しと承認を示しやすくなります。このページでは、ポリシーを承認して公開する流れとして、下書きから承認待ち、承認済み、公開済みまでの状態、承認者の設定、Policy Managerの役割、承認の記録を監査で示す方法を説明します。
承認から公開までの流れ
ポリシーは、次の流れで公開まで進みます。
- ポリシーオーナーが下書き（
Draft）を書き、Finalize draftで確定します。 - 確定すると承認待ち（
Needs approval）になり、承認者に通知が届きます。この間、ポリシーは編集できません。 - 承認者が承認します。承認の段階を分けている場合は、段階の順に承認が進みます。
- 必要な承認が全て済むと、公開できる状態（
Ready to publish）になります。 - ポリシーオーナーが
Publishを選んで公開します（Published）。
承認の流れの中では、次の段階があります。
| 段階 | 内容 |
|---|---|
| 未開始（New、Not started） | 下書きがまだ確定されておらず、承認が始まっていない |
| 承認待ち（Needs Approval） | 下書きが確定され、承認者の承認を待っている |
| 承認済み（Approved） | 段階を分けている場合は、第1段階が承認すると第2段階に進む。必要な承認者が全て承認すると、公開できる |
| 変更の依頼（Changes Requested） | 承認者が変更を依頼した。ポリシーは承認待ちのまま。ポリシーオーナーが編集して承認をやり直すか、承認を上書きして先に進める |
役割と操作
| 操作 | できる人 |
|---|---|
| 承認する | 承認者 |
| 変更を依頼する | 承認者 |
| 承認を取り消す | ポリシーオーナー |
| 承認を上書きする | ポリシーオーナー、Admin |
| 公開する | ポリシーオーナー |
承認を始めるには、ポリシーにポリシーオーナーが設定され、下書きが確定されている必要があります。
ポリシーオーナーとPolicy Managerの違い
ポリシーオーナーは、ポリシーごとに割り当てる担当者です。公開と承認の取り消しは、そのポリシーのオーナーだけができます。Policy Managerは、Policiesページでポリシーを閲覧、ダウンロード、作成、編集するためのロールで、ポリシーの担当者に割り当てます。Policy Managerのロールを持っていても、オーナーでないポリシーは公開できません。
ポリシーを承認したのに公開のボタンが表示されない場合は、自分がそのポリシーのオーナーかを確かめます。オーナーでなければ、今のオーナーに公開を頼むか、オーナーを自分に移してもらいます。同じように、承認の取り消しが表示されず、上書きだけが表示される場合も、オーナーの権限がないことを示しています。オーナーが不在のときは、組織の管理者がオーナーを付け替えます。
承認者を設定する
承認の設定は、下書きを確定する前でも後でも変えられます。
Governance→Policiesを開き、ポリシーを選びます。Overviewタブを開きます。- 承認の欄で
Edit approval settingsを選びます。 - 承認者を加えます。
- 承認のルールを選びます（承認者全員の承認が必要か、1人の承認でいいか）。
- 必要に応じて、段階（Tier）を加え、承認の期限を設定します。
- 変更を保存します。
ポリシーのOverviewタブ。右の承認の欄にあるEdit approval settingsで、承認者と承認の段階を設定する
承認の設定を変えても、進行中の承認には影響せず、次の承認から使われます。
承認の段階（Tier）
段階は、承認の順番を決めるもので、1つのポリシーに6つまで作れます。複数の部署の確認が必要な場合に便利です。段階ごとに、次のことを設定します。
| 設定 | 内容 |
|---|---|
| 名前 | 「法務の確認」など |
| 承認者 | その段階で承認する人 |
| 承認の水準 | 承認者全員が必要か、1人でいいか |
| 承認の期限 | 承認までの日数 |
例えばリモートワークのポリシーなら、第1段階で人事が文面と社員への要求を、第2段階で法務がコンプライアンス上の懸念を、第3段階でITが技術とVPNの利用の指針を承認する、という分け方ができます。各段階が承認するまで、次の段階には通知されません。
下書きを確定する
- ポリシーを開き、内容を編集します。
Finalize draftを選びます。- 公開済みのポリシーを直した場合は、変更の種類（重要な変更か軽微な変更か）を選びます。
Explanation of changesの欄に、何を変えたかを書きます。
| 変更の種類 | 使う場面 | 動き |
|---|---|---|
| 重要な変更（Material changes） | ポリシーの意図や範囲に関わる変更 | 承認が必要。承認待ちになり、承認者に通知される。公開すると大きい版の番号が上がり、要員はもう一度同意する |
| 軽微な変更（Non-material changes） | 文言や書式の小さな直し | 承認を省ける。ポリシーオーナーがすぐに公開でき、要員の同意を求めるかを選べる。小さい版の番号が上がる |
Explanation of changesに書いた内容は、承認者への通知、要員へのメール（通知する場合）、ポリシーの版の履歴に表示されます。説明を分かりやすく書いておくと、監査や社内の確認に役立ちます。
下書きの間は、Policyタブで文面を選んでコメントを付けられます。コメントは、状態が変わっても残り、Policiesページの中だけで見え、My Drataの社員には表示されません。承認待ち以降はコメントを付けられません。
承認者が確認する
承認者には、自分の番になると通知が届きます。承認者はApproveかRequest changesを選び、意見を書きます。
変更が依頼されると、次のようになります。
- 同じ段階のほかの承認者は承認できなくなる
- ポリシーオーナーに通知が届く
- ポリシーオーナーは、ポリシーを編集して確定し直すか、承認を上書きする
変更の依頼を受けたポリシーを下書きに戻すには、ポリシーを編集し、確定し直して承認をやり直します。
AIで変更の要約を作る
組織でAIの機能を有効にしている場合は、承認待ちのポリシーと、今公開されている版を比べた変更の要約をAIに作らせられます。要約は、概要（Executive Summary）、詳しい変更の記録（Detailed Change Log）、リスクとコンプライアンスへの影響（Risk/Compliance Notes）の3つに分かれ、承認者は全文を読み比べずに変更の範囲をつかめます。要約を作れるのは、Admin、Information Security Lead、Policy Manager、Personnel Compliance Managerのロールのユーザーです。
承認の段階で作った要約は、確認のためのもので、社員には送られません。承認した後にポリシーを編集すると、作った要約は無効になり、確定と承認をやり直した後に作り直す必要があります。
承認を取り消す、上書きする
承認を取り消す
承認の途中で編集が必要になった場合は、ポリシーオーナーが承認を取り消します。
Policiesページで、対象のポリシーを開きます。- 画面右上の
…を選びます。 Cancel Approvalを選びます。
取り消すと、ポリシーは下書きに戻り、関係する承認のタスクは削除されます。変更が依頼された状態のポリシーは、取り消しではなく、編集して下書きに戻してから確定し直します。
承認を上書きする
やむを得ず承認を省く場合は、ポリシーオーナーかAdminが承認を上書きできます。上書きは、今の段階だけか、承認の流れ全体かを選べます。上書きすると、ポリシーは承認済みとして扱われ、残っていた承認のタスクは削除されます。上書きしたことは、承認の履歴と版の履歴に残ります。
公開する
公開できるのは、ポリシーオーナーだけです。必要な承認が全て済んだら、ポリシーを開いてPublishを選びます。
公開すると、ポリシーはMy Drataで同意の対象になり、ポリシーへの同意と状態が、モニタリングや監査に効くようになります。
公開の画面では、要員に通知するかを選べます。AIの機能を有効にしている場合は、公開の画面で変更の要約を作り、社員が同意するときにMy Drataで表示されるように加えることもできます。社員への割り当てと同意は、社員への割り当てと同意で説明します。
【注意】 更新期限を過ぎたポリシーは、更新期限を先の日付に直すまで、下書きの確定、承認、公開ができません。承認を始める前に、更新期限を確かめてください。更新期限の扱いは、ポリシーの見直しと版の管理で説明します。
承認の記録を監査で示す
ポリシーの見直しと承認は、版の履歴とPDFで示します。
Version Historyタブ
ポリシーの詳細の画面のVersion Historyタブには、過去と今の全ての版が並びます。
| 列 | 内容 |
|---|---|
Version | 版の番号 |
Explanation of Changes | 変更の説明。説明がない場合は「No explanation of changes was added.」 |
Policy Owners | その版のポリシーオーナー |
Creation Date | 版の作成日 |
Approval Date | 版の承認日 |
Published Date | 版の公開日 |
… | 版のPDFのダウンロードと、承認の履歴の確認 |
ポリシーをPDFでダウンロードする
ダウンロードしたPDFには、ポリシーの名前、説明、更新期限と、版の履歴（作成日、承認日、公開日、ポリシーオーナー、承認者の名前）が含まれます。Governance → PoliciesのActiveタブで、次のようにダウンロードします。
| ダウンロードするもの | 操作 |
|---|---|
| 公開済みの全てのポリシー | 一覧のDownload All。下書き、承認待ち、承認済みのポリシーは含まれない |
| 1つのポリシーの公開済みの版 | ポリシーの行の…からDownload published version PDF |
| 1つのポリシーの下書き | ポリシーの行の…からDownload draft version PDF。または、下書きを開いて…からPDF preview |
【運用のポイント】 公開済みのポリシーのPDFで、版の履歴の表が空になることがあります。この場合は、ポリシーを開いて
Edit policyを選び、内容を変えずに下書きを確定し、公開し直してからダウンロードし直します。確定のときに、重要な変更を選ぶと承認をやり直し、軽微な変更を選ぶと承認なしで新しい版を公開できます。