ポリシーテンプレートを自社の規程に合わせる

Drataには、主なフレームワークで求められるポリシーのテンプレートが用意されています。テンプレートは関係するコントロールとテストにあらかじめマッピングされているため、自社に合わせて編集すれば、マッピングを一から作らずに済みます。一方で、既に自社の規程がある場合は、テンプレートと二重にならないように整理する必要があります。このページでは、Drataのポリシーテンプレートを自社の規程に合わせる方法として、テンプレートの一覧、編集で残すべき記述、自社の既存の規程と重複させない考え方を説明します。

ポリシーテンプレートの一覧

ヘルプセンターの記事「Policies to Framework Summary」には、テンプレートごとに、説明、対応するフレームワーク、関係するDCFのコントロールが一覧になっています。多くのフレームワークに共通する主なテンプレートは、次の通りです。

テンプレート	内容の例
Information Security Policy	情報セキュリティーの基本方針。ほかのセキュリティーのポリシーをまとめる上位のポリシー
Acceptable Use Policy	端末や技術の利用の決まり
Code of Conduct	行動規範
Asset Management Policy	資産の管理
Backup Policy	バックアップ
Business Continuity Plan、Disaster Recovery Plan	事業継続と災害からの復旧
Change Management Policy	変更管理
Data Classification Policy、Data Retention Policy、Data Protection Policy	データの分類、保持、保護
Encryption Policy、Password Policy	暗号化とパスワード
Incident Response Plan	インシデントへの対応
Physical Security Policy	物理的なセキュリティー
Risk Assessment Policy	リスクアセスメント
Software Development Life Cycle Policy	ソフトウェアの開発のライフサイクル
System Access Control Policy	システムのアクセス制御
Vendor Management Policy	ベンダー（委託先）の管理
Vulnerability Management Policy	脆弱性の管理

このほか、HIPAA向けのBusiness Associate Policy、Breach Notification Policy、Privacy, Use, and Disclosure Policyや、ISO 27001向けのInformation Security Management System (ISMS) Planなど、特定のフレームワーク向けのテンプレートもあります。

使えるテンプレートは、契約して有効にしたフレームワークに対応するものだけです。必要なフレームワークのテンプレートが表示されない場合は、正規販売代理店（デジタルアクセルズ）にご相談ください。

AIの利用に関するテンプレート

General AI Policyは、会社全体でのAIの利用を管理するための簡易なテンプレートです。承認された利用、扱ってはいけないデータ、人による確認、ベンダーの審査、報告などを扱います。

項目	内容
表示される条件	契約したフレームワーク（Drataのものかカスタムフレームワーク）が1つ以上あること
マッピング	既定では、どのフレームワークにもコントロールにもマッピングされていない。必要に応じて自分でマッピングする
同意	既定では要員に割り当てられていない。同意を求める場合は自分で割り当てる

AIのガバナンスに特化したAI Governance Policyは、AIUC-1、ISO 42001:2023、Microsoft SSPA v11、NIST AI RMFなどのフレームワークが有効な場合だけ表示されます。

テンプレートを編集する前に

会社名を確定させる

テンプレートの会社名には、SettingsのOrganization detailsに入力したCommon nameが差し込まれます。後からCommon nameを変えても、作成済みのポリシーの会社名は自動では変わりません。テンプレートの編集を始める前に、Common nameを確定させておきます。詳しくは、組織の情報と主要な担当者で説明しています。

今の運用に合わせるか、これからの運用に合わせるか

ポリシーには、実際に行っている運用を書きます。監査に向けて運用を変える予定がある場合、ヘルプセンターでは次のように考えるよう勧めています。

運用の変更の時期	ポリシーの書き方
すぐに（1週間から1カ月ほどで）変えられる	変更後の運用をポリシーに書き、社員に変更を知らせる
変えるまでに時間がかかる	今の運用でポリシーを書き、運用を変えた時点で新しい版を作って承認し、社員にもう一度同意してもらう

編集で残すべき記述

テンプレートは、Drataのエディターで直接編集します。Governance → Policiesでテンプレートを開き、Policyタブで内容を直してから、下書きを確定して承認に進めます。編集の流れは、ポリシーの承認と公開で説明します。

ガイダンスの記事を確かめる

ヘルプセンターの「Policy Guidance」のコレクションには、主なテンプレートごとに、よく質問を受ける箇所の意味を説明したガイダンスの記事があります。記事の中では、ポリシーの文面の下に、角括弧で囲んだガイダンスが書かれています。例えば次のようなことが分かります。

• [COMPANY NAME]など、自社の情報に書き換える箇所
• 完全に在宅勤務の会社なら、事業所に関する記述を削っていい、など、自社の事情に合わせて削っていい箇所
• Acceptable Use Policyの適用範囲（Scope）の節は、SOC 2では任意だが、CCMなどほかのフレームワークでは必要になることがある、など、フレームワークによって必要かどうかが変わる箇所
• Information Security Policyの背景（Background）の節にあるポリシーの一覧は、カスタムポリシーを加えたり、テンプレートを置き換えたりしたら更新する、など、ほかのポリシーの構成に合わせて直す箇所

複数のフレームワークを使う場合は、あるフレームワークで任意の節でも、ほかのフレームワークでは必要なことがあります。節を削る前に、ガイダンスの記事で、使っているフレームワークに必要かどうかを確かめます。

ポリシーを書くときに押さえる要素として、ヘルプセンターでは、目的と適用範囲、規則と期待（今の運用を現在形で書く）、役割と責任、例外、見直しと承認（見直しの頻度と承認者）を挙げています。

SLAの設定を残す

一部のテンプレートには、Drataが監視するSLA（対応の期限）が含まれています。

テンプレート	SLAで決めること
Information Security Policy	新しい要員が入社時の作業を済ませるまでの猶予。ここで設定した猶予は、全てのポリシーの同意にも使われる
System Access Control Policy	退職した要員のアクセスを外すまでの期限
Vulnerability Management Policy	脆弱性を是正するまでの期限

SLAは、ポリシーのOverviewタブのDetailsの欄でEditを選び、Service level agreementsの欄で設定します。SLAを監視しているポリシーは、一覧のSLAの列にMonitored by Drataと表示されます。SLAの値は、関係するモニタリングテストの判定と、Vulnerabilitiesページの対応の期限に使われるため、テンプレートを編集するときも、自社の運用に合った期限を入れておきます。

【注意】 SLAを監視しているポリシーや、自動のコンプライアンスの確認に必要なポリシー（Information Security Policy、System Access Control Policy、Vulnerability Management Policyなど）は、アーカイブできないことがあります。必要なテンプレートを、置き換えずにアーカイブすると、そのポリシーを使うテストが失敗します。

既存の規程と重複させない

自社に既存の規程がある場合は、テンプレートとは別のポリシーとして並べるのではなく、既存の規程でテンプレートを置き換えます。テンプレートと既存の規程の両方が残ると、同じ内容のポリシーが二重に承認や同意の対象になり、監査の範囲にも重複したポリシーが入ります。

テンプレートを置き換えたときの動き

カスタムポリシーを作るときの最後の手順（置き換えるテンプレートの選択）で、Drataのテンプレートを置き換えられます。置き換えると、次のようになります。

項目	動き
マッピング	テンプレートにマッピングされていたコントロールとモニタリングテストが、カスタムポリシーに移る
SLA	テンプレートに設定されていたSLAが移る
元のテンプレート	アーカイブされ、有効ではなくなる
効く時期	カスタムポリシーが公開されていなくても、すぐに効く。公開するまで、関係するコントロールがNot Readyになることがある

カスタムポリシーの作成の最後の手順。Drataのテンプレートを置き換えるかを選び、置き換えるとマッピングとSLAが移り、テンプレートはアーカイブされる

置き換えられるのは、Drataのテンプレートだけです。アーカイブしたポリシーは、置き換えに使えません。置き換えたテンプレートは、Archived or replacedタブで確かめたり、元に戻したりできます。

複数のポリシーを1つの文書にまとめる

複数のポリシーを1つの文書にまとめることはできますが、それぞれのポリシーの内容が明確で、抜けがなく、参照しやすい状態に保ちます。

BambooHRでポリシーを管理している場合は、社員向けのハンドブックのようなBambooHRの1つの文書で、当てはまるDrataのテンプレートを全て置き換える手順があります。外部の文書管理ツールとの連携で説明しています。

【運用のポイント】 既存の規程とテンプレートの対応を決めるときは、テンプレートごとに、既存の規程のどれが同じ役割を果たすかを表にしておくと、置き換えの漏れや重複を防げます。どのテンプレートがどのコントロールとフレームワークにつながっているかは、「Policies to Framework Summary」で確かめられます。

Drataによるテンプレートの更新

Drataは、テンプレートをときどき更新し、関係するフレームワークに大きな変更があったときは、コントロールとポリシーを更新します。ただし、自社のポリシーを、自社の関与なしに書き換えることはなく、テンプレートを更新するときは事前に知らせるとしています。最新のテンプレートを使いたい場合は、いつでも使えます。フレームワークの改訂への対応は、自社でも追いかけておく必要があります。