Risk Libraryは、Drataが用意している既定のリスクの一覧です。ゼロからリスクを書き出す代わりに、業界の基準に沿ったリスクを土台にして、短い時間でリスク登録簿を作れます。このページでは、Risk Libraryから自社のリスクを選ぶ方法として、収録されているリスクの出典、自社に当てはまるリスクの選び方、登録簿に加えたリスクを自社に合わせて編集する方法を説明します。
Risk Libraryに収録されているリスク
Risk Libraryには、NIST SP 800-30、ISO 27005、OCR SRAなどの業界の基準をもとにした、200件を超えるリスクが収録されています。リスクは、起こりうる出来事を書いたリスクのシナリオの形になっていて、DrataのGRCのチームが作成したものです。
Risk Libraryのリスクには、次の情報が付いています。
| 情報 | 内容 |
|---|---|
| 名前と説明 | リスクのシナリオの名前と、その内容 |
| コントロール | リスクにあらかじめマッピングされたコントロール。マッピングされるのは、契約しているフレームワークのコントロールだけ |
| カテゴリー | 既定のカテゴリー（Access Control、Asset Managementなど）。登録簿に加えた後に変えられる |
Risk Libraryのリスクは読み取り専用で、Risk Libraryの中では編集できません。登録簿に加えてから、自社の状況に合わせて内容を変えます。Drataの元の標準的な記述は、いつでもRisk Libraryで確かめられます。
リスク登録簿のLibraryタブ。リスクを選んでAdd to registerで登録簿に加えられる
自社に当てはまるリスクの選び方
Risk Libraryのリスクを全て加える必要はありません。自社に当てはまるリスクを、次の順で選びます。
| 順序 | 行うこと | 確かめる内容 |
|---|---|---|
| 1 | 範囲を決める | リスクアセスメントの対象にする組織の範囲。多くの場合、監査の範囲に合わせる。守るべきシステム、データ、業務と、それに誰がアクセスし、どこ（オフィス、クラウド、ベンダー）にあるか |
| 2 | 脅威と弱点を考える | 起こりうる悪いこと（フィッシング、ランサムウェア、内部の不正、サプライチェーンへの攻撃など）と、突かれうる弱点（弱いパスワード、パッチを当てていないシステム、誤ったアクセス権の設定など） |
| 3 | カテゴリーで絞り込む | 範囲に関係するカテゴリーのリスクを確かめる |
| 4 | 加えるリスクを選ぶ | 範囲と、洗い出した脅威と弱点に当てはまるリスクを選ぶ |
Libraryタブでは、カテゴリーで絞り込んだり、名前、説明、Risk IDで検索したりできます。既に登録簿に加えたリスクかどうかでも絞り込めるため、まだ加えていないリスクだけを見て選ぶこともできます。
脅威と弱点を洗い出すときは、主要なメンバーと話し合うほか、過去のインシデント、監査の指摘、脅威の情報の報告書も手がかりになります。
Risk Management Standardでリスク登録簿がまだ空の場合は、7つの質問に答えて、自社に合ったリスクを自動で入れる方法もあります（リスク登録簿の作り方）。足りないリスクは、後からRisk Libraryで加えられます。
Drataの既定のカテゴリー
Drataの既定のカテゴリーは、次の領域に分かれています。範囲に関係する領域から確かめていきます。
| 領域 | カテゴリーの例 |
|---|---|
| 評価と監査、アクセス制御、資産 | Assessments & Audits、Access Control、Asset Management |
| AI | Artificial Intelligence |
| ガバナンス | Governance - Awareness & Training、Governance - Compliance/Legal、Governance - Policiesなど |
| インシデント | Incidents - Breach, Compliance, UA Modification、Incidents - Environmental、Incidents - Recovery & Remediation |
| 物理 | Physical - Access、Physical - Site |
| 人 | People - Personnel、People - Third Party |
| プライバシー | Privacy - Data Protection、Privacy - Data Subject Rightsなど |
| 開発とシステム | Software Development、Systems - Configurations、Systems - Data Protection、Systems - Monitoring & Logging |
リスクを登録簿に加える
- リスク登録簿を開きます。複数のリスク登録簿を使っている場合は、加える先の登録簿を選びます。
Libraryタブを開きます。- 次のどちらかの方法で加えます。
- リスクの横の
…を選び、Add to registerを選ぶ。 - 1件以上のリスクのチェックボックスを選び、
Add to registerを選ぶ。
- リスクの横の
加えたリスクは登録簿の一部になり、ほかのリスクと同じように評価、割り当て、管理ができます。1つのリスクのテンプレートを同じ登録簿に加えられるのは1回だけです。
加えたリスクを自社に合わせて編集する
Risk Libraryのリスクは、どの組織にも当てはまる一般的な書き方になっています。登録簿に加えた後に、リスクの詳細を開いて、自社の状況に合わせて編集します。
| 項目 | 編集の考え方 |
|---|---|
名前（Title）と説明（Description） | 自社のシステム、データ、業務の名前を入れ、起こりうる出来事と結果を具体的に書く |
カテゴリー（Categories） | 社内の分類に合わせて付け替える。カテゴリーの作成と削除はRisk Management Proで使える |
オーナー（Owner） | リスクの評価と対応に責任を持つ人を割り当てる |
| マッピングされたコントロール | 自社で実際にリスクを低減しているコントロールに合わせて、付け外しする |
| 評価とリスク対応 | 自社の基準で影響度と起こりやすさを評価し、リスク対応を決める |
Risk Libraryから加えたリスクのRisk IDは変えられません。また、内部のリスクを外部のリスクに変えたり、ベンダーを設定したりもできません。
加えたリスクが多い場合は、一括インポートでまとめて更新できます。既にあるRisk IDを入れたファイルを取り込むと、そのリスクが更新されます。手順はリスク登録簿の作り方で説明しています。
評価のしかたはリスクアセスメントとスコア、リスク対応とコントロールのマッピングはリスク対応と残留リスクで説明しています。
当てはまらなくなったリスクの扱い
当てはまらなくなったリスクは、削除するより、状態をアーカイブか完了に変えて記録を残すことが勧められています。状態の変更は元に戻せますが、削除は元に戻せません。
| リスクの種類 | 削除した後 |
|---|---|
| Risk Libraryから加えたリスク | Libraryタブから再び加えられる。ただし、加わるのは元の編集前のテンプレートで、説明、スコア、オーナー、カテゴリー、メモなどの変更は戻らない |
| 自社で作ったリスク | Risk Libraryにはないため、再び加えることも元に戻すこともできない |
削除する場合は、リスクの横の…を選び、Deleteを選びます。
【注意】 削除すると、スコア、リスク対応の計画、メモ、マッピングしたコントロールなど、リスクに加えた全ての情報が消えます。監査で過去の評価を説明する必要があるリスクは、削除せずにアーカイブしてください。