多くのフレームワークは、ポリシーを定期的に見直すことや、社員が定期的に同意することを求めています。Drataでは、ポリシーごとの更新期限をもとに、見直しのタスクとモニタリングテストが動き、版を作るたびに変更の記録が残ります。このページでは、ポリシーを定期的に見直す運用として、見直しのタスクと期限、新しい版を作るときの変更の記録、改訂履歴の残し方、組織の名称が変わったときのポリシーへの反映を説明します。
更新期限の役割
全てのポリシーには、見直し、更新、再同意が必要になる時期を示す更新期限（Renewal date）があります。更新期限は、次のものに影響します。
| 影響するもの | 内容 |
|---|---|
| タスク | 更新期限をもとに、ポリシーの見直しや同意のタスクが自動で作られる |
| モニタリングテスト | ポリシーに関するテストが、更新期限をもとに判定される |
| 監査への準備 | 更新期限を過ぎたポリシーは、フレームワークの見直しの要件を満たさない |
フレームワークによって、求められることは異なります。見直しだけを求めるものもあれば、要員の同意まで求めるものもあり、Drataはどちらにも対応しています。
更新期限を確かめる
更新期限は、Policiesページの一覧の更新期限（Renewal date）の列か、ポリシーのOverviewタブで確かめます。
更新期限を過ぎたとき
更新期限を過ぎていて、公開済みでないポリシーは、更新期限を先の日付に直すまで、次の操作ができません。
- 下書きの確定
- ポリシーの承認
- 承認済みのポリシーへの変更の保存
- ポリシーの公開
更新期限は、次の手順で直します。
Governance→Policiesを開き、ポリシーを開きます。OverviewタブのDetailsの欄でEditを選びます。- 先の日付の更新期限を入れます。
Saveを選びます。
多くのフレームワークは、毎年の見直しや同意を求めています。更新期限は、見直し、承認、同意に必要な期間を見込んで、余裕を持って設定します。ヘルプセンターでは、見直しのたびに、更新期限を通常は1年後に設定するとしています。
見直しのタスクと期限
Drataは、ポリシーの更新期限をもとにタスクを自動で作ります。タスクはTasksページで確かめ、見直しや同意が期限内に済むように管理します。
Tasksページ。ポリシーの承認や更新などのタスクが種類ごとにまとまり、期限を過ぎたタスクの数が示される
Policy Managerのロールのユーザーは、Tasksページでポリシーの更新のタスクを扱えます。タスクの管理はタスクの管理、期限が近いタスクの通知は通知の設定で説明しています。
見直しの進め方
ヘルプセンターでは、ポリシーの見直しを次の流れで進めるとしています。
Policiesページで、各ポリシーが今も正確で最新かを確かめます。- 更新期限を、通常は1年後に直します。
- ポリシーオーナーを決め、承認の段階ごとの承認者を設定します。
- 説明や注意書きなど、必要な詳細を直します。
- 変更を保存し、承認に進めます。
- 承認者が確認して承認します。
見直しの2つの進め方
毎年の同意を求める
社員に定期的に（例えば毎年）ポリシーにもう一度同意してもらう場合は、次のように進めます。
- ポリシーが今も正確かを確かめます。
- 更新期限を、次の同意の期限に直します。
- ポリシーを公開し、要員に同意を求める知らせを送ります。
同意が必要になり、同意の状況はモニタリングテストで追われます。
【注意】 監査パッケージに表示される同意の状況は、ポリシーの最新の公開済みの版のものです。以前の版への同意の時期を監査で示す必要がある場合は、再同意を求めて更新する前に、今の版の同意の報告か監査パッケージを書き出し、監査の記録として残しておきます。同意の記録は、
PersonnelページのCompliance Overviewから確かめ、ダウンロードできます。
内容を変えずに更新する
ポリシーが今も有効で、内容を変える必要がなければ、内容を変えずに更新できます。使えるのは、ポリシーが公開済みで、下書きの版がなく、自分がポリシーオーナーの場合です。
Governance→Policiesで、公開済みのポリシーを開きます。- 画面上部の
Renew without updatesを選びます。 - 新しい更新期限を選びます。
- 要員の同意を求めるかを選びます。求める場合は、要員に知らせる画面が開きます。求めない場合は、以前の版に同意した要員は同意済みとして扱われます。
- 承認を求めるかを選びます。求める場合は承認待ちになり、求めない場合はすぐに公開されます。
Renewを選んで確定します。
更新すると、小さい版の番号が上がった新しい版ができ、公開日が更新を確定した日に変わります。承認と同意は、選んだ場合だけ行われます。
新しい版を作るときの変更の記録
内容を直すときは、公開済みのポリシーを編集して新しい下書きを作ります。公開中の版は、新しい版が公開されるまで有効なままです。
Governance→Policiesで、ポリシーの…からEdit policyを選ぶか、ポリシーを開いて編集します。- 内容を直します。Drataのエディターで直すか、ファイルをアップロードし直します（PDF、DOCX、ODT、XLSX、ODS、PPTX、ODP、25MBまで）。
Finalize draftを選び、変更が重要な変更か軽微な変更かを選びます。Explanation of changesに、何を変えたかを書きます。
| 変更の種類 | 版の番号 | 承認 | 同意 |
|---|---|---|---|
| 重要な変更（Material changes） | 公開したときに大きい番号が上がる（v1.0→v2.0）。下書きと承認の間は、今の番号のまま | やり直す | もう一度求める |
| 軽微な変更（Non-material changes） | 小さい番号が上がる（v1.0→v1.1） | 省ける | 求めるかを選べる |
承認の流れは、ポリシーの承認と公開で説明しています。
AIで版の違いを要約する
組織でAIの機能を有効にしている場合は、Version Historyタブで以前の公開済みの版を選び、Compare to Latestで最新の公開済みの版との違いをAIに要約させられます。定期的な見直しや監査で、版の間で何が変わったかを示すのに使えます。
改訂履歴の残し方
ポリシーの改訂履歴は、版ごとにDrataに残ります。
| 残る場所 | 内容 |
|---|---|
Version Historyタブ | 版の番号、変更の説明（Explanation of Changes）、ポリシーオーナー、作成日、承認日、公開日。版ごとのPDFのダウンロードと、承認の履歴の確認 |
| ダウンロードしたPDF | ポリシーの名前、説明、更新期限と、版の履歴（作成日、承認日、公開日、ポリシーオーナー、承認者の名前） |
Archived or replacedタブ | アーカイブしたポリシーと、カスタムポリシーに置き換えた版。以前の版をダウンロードできる |
変更の説明を書かなかった版には、「No explanation of changes was added.」と表示されます。改訂の理由を後から説明できるように、版を作るたびに変更の説明を書いておきます。
下書きを削除する
不要になった下書きは削除できます。削除できるのはDraftの状態の版だけで、承認待ち以降の状態の版は削除できません。
Governance→Policiesで、下書きの状態のポリシーの…からDelete draftを選びます。- 確認の画面で
Deleteを選びます。
| ポリシー | 版 | 削除の結果 |
|---|---|---|
| Drataのテンプレート | 最初の未公開の版（Version 0） | 削除できない |
| Drataのテンプレート | Version 1以降 | 下書きを削除でき、前の版に戻る |
| カスタムポリシー | 最初の未公開の版（Version 0） | 削除でき、ポリシーごと一覧から消える |
| カスタムポリシー | Version 1以降 | 下書きを削除でき、前の版に戻る |
| 承認待ちのポリシー | 全て | 削除できない。先に承認を取り消す |
| 下書き以外のポリシー | 全て | 削除できない。代わりにアーカイブする |
削除は元に戻せません。
ポリシーをアーカイブする
使わなくなったポリシーは、削除ではなくアーカイブします。アーカイブすると、ポリシーは有効でなくなり、マッピングしたコントロールの証跡として使われなくなり、マッピングしたモニタリングテストは無効になります。ポリシーは削除されず、監査の履歴として残ります。
Governance→PoliciesのActiveタブで、ポリシーの…からArchiveを選びます。- 確認の画面で
Archiveを選びます。
SLAに結び付いているポリシーや、自動のコンプライアンスの確認に必要なポリシー（Information Security Policy、System Access Control Policy、Vulnerability Management Policyなど）には、Archiveが表示されません。
アーカイブしたポリシーや、置き換えたポリシーは、Archived or replacedタブで、ポリシーの…からRestoreを選んで元に戻せます。戻すと、ポリシーは再び有効になり、以前マッピングしていたテストが再び有効になります。確認の画面に、有効に戻るテストが一覧で表示されます。
【運用のポイント】 公開済みのポリシーのPDFで、版の履歴の表が空になることがあります。この場合の対応は、ポリシーの承認と公開で説明しています。
組織の名称が変わったとき
ポリシーテンプレートの会社名には、SettingsのOrganization detailsに入力したCommon nameが差し込まれます。社名の変更などでCommon nameを変えても、作成済みのポリシーの会社名は自動では変わりません。新しい名称をポリシーに反映するには、次のどちらかを行います。
- 各ポリシーを手作業で直す
- Drataのサポートに、テンプレートへの反映を依頼する
ポリシーを手作業で直す場合は、名称の変更は、ポリシーの意図や範囲を変えない軽微な変更として扱えます。新しい版を作り、Explanation of changesに名称を変えたことを書いておくと、改訂履歴から変更の経緯をたどれます。Common nameの設定は、組織の情報と主要な担当者で説明しています。