リスク管理の全体像

SOC 2やISO 27001などの多くのフレームワークは、継続的なリスク管理の一部として、リスクアセスメントを行うことを求めています。Drataのリスク管理では、組織に影響しうるリスクを洗い出し、評価し、対応を決めて追跡するまでを1つの画面で進められます。このページでは、Drataのリスク管理の全体像として、リスク登録簿、Risk Library、リスクの設定の関係と、ISO 27001とSOC 2で求められるリスクアセスメントにどう使うかを説明します。

Drataのリスク管理でできること

リスクアセスメントは、起こりうるリスクを洗い出して評価する作業です。リスク管理は継続的な取り組みですが、多くの組織は、技術、事業、脅威の変化を反映するために、決まった周期でリスクを見直しています。Drataでは、次の流れをリスク管理の画面で進めます。

段階	行うこと	Drataでの扱い
洗い出し	組織に影響しうるリスクを、リスクのシナリオとして書き出す	リスク登録簿にリスクを登録する。Risk Libraryから加えるか、自社のリスクを作る
分析	リスクごとに影響度と起こりやすさを評価する	2つの値を掛けて、固有リスクのスコアを計算する
対応	リスクへの対応を、低減、受容、回避、移転から選ぶ	リスクごとにリスク対応を選び、対応の内容、期限、レビュー担当者を記録する
計画と追跡	対応の計画を立て、対応の後に残るリスクを評価する	残留リスクのスコアを記録し、コントロールとの対応付けやタスクで追跡する
報告	結果を報告書にまとめ、監査の証跡にする	リスクアセスメントの報告書をダウンロードし、Risk Insightsでグラフを書き出す

リスク管理は、Risk Management StandardかRisk Management Proのプランで使えます。設定の一部はRisk Management Proで使えます。プランごとの違いは、このページの後半で説明します。

リスク登録簿にあらかじめマッピングされるコントロールは、契約しているフレームワークのコントロールだけです。

リスク管理のページ

リスク管理のページは、ナビゲーションのRiskの区分にあります。

ページ	開き方	内容
リスク登録簿	Risk → Risk Management	Registerタブにリスクの一覧と評価の状況、LibraryタブにRisk Libraryが表示される
リスク登録簿の一覧	Risk → Registers	複数のリスク登録簿（Risk Management Pro）の一覧（All registers）。登録簿を選ぶと、その登録簿のRegisterタブとLibraryタブが開く
リスクの一覧	Risk → All risks	リスクを選んで詳細を開く。Risk Insightsのグラフで区分やカテゴリーを選ぶと、絞り込んだ状態で開く
Risk Insights	Risk → Risk Insights	リスクの状況をグラフで見て、報告用に書き出す
リスクの設定	Risk → Risk settings	スコアの尺度と区分、リスクのカテゴリーを管理する
資産	Risk → Assets	監査の対象になる資産の一覧
脆弱性	Risk → Vulnerabilities	連携した脆弱性スキャンの製品から取り込んだ脆弱性

表示される内容は、ロールと権限によって変わりますが、主な機能は同じです。

リスク登録簿、Risk Library、リスクの設定の関係

リスク管理は、3つの要素で組み立てられています。

要素	役割	使い方
リスク登録簿	組織のリスクを登録し、評価、対応、オーナーを管理する中心の一覧	リスクを登録し、評価して、対応を記録する。詳しくはリスク登録簿の作り方
Risk Library	NIST SP 800-30、ISO 27005、OCR SRAなどの業界の基準をもとにした、200件を超える既定のリスク	自社に当てはまるリスクを選んで登録簿に加える。詳しくはRisk Libraryを使う
リスクの設定	全ての登録簿に共通の、スコアの尺度、区分、カテゴリー	評価の基準を自社に合わせる。詳しくはリスクアセスメントとスコア

Risk Libraryのリスクは読み取り専用で、登録簿に加えてから自社に合わせて編集します。リスクの設定は、登録簿が複数ある場合も全ての登録簿に共通に効きます。

Registerタブの見方

リスク登録簿のRegisterタブの上部には、評価の状況を示す2つのグラフが並びます。

Registerタブ。評価の済んだリスクの割合と、スコアの区分ごとのリスクの件数が表示される

表示	内容
Assessment progress	有効なリスクのうち、固有リスクのスコアが付いたリスクの割合。固有リスクのスコアが付くと、評価が済んだリスクとして数えられる
Risk posture	スコアの区分ごとのリスクの件数。固有リスクと残留リスクのどちらのスコアで見るか、内部と外部のどちらのリスクを見るかを切り替えられる。区分を選ぶと、下の一覧がその区分のリスクに絞り込まれる

外部のリスク（Drataに登録したベンダーに結び付いたリスク）は、Risk Management Proで扱えます。

StandardとProの違い

Risk Management StandardとRisk Management Proでは、使える機能が次のように異なります。

機能	Standard	Pro
質問に答えてリスク登録簿を作る機能	使える	使えない
影響度と起こりやすさの尺度	1〜5に固定	3〜10の範囲で決められる
スコアの区分（しきい値）の名前と範囲の変更	できない	できる
リスクのカテゴリーの作成と削除	できない	できる
リスクへのファイルの添付	できない	できる（1件のリスクに10ファイルまで）
複数のリスク登録簿	使えない	使える（100件まで）
リスクのワークフロー	使えない	使える

リスクの値を使ったカスタムの数式（財務上の影響の見積もりなど）は、Drata Enterpriseのプランで使えます。契約のプランで使える機能は、正規販売代理店（デジタルアクセルズ）にご相談ください。

リスク管理を担うロール

リスク管理は、主に次のロールが担います。ロール全体の考え方は、ロールと権限の設計で説明しています。

ロール	リスク管理での役割
Admin	リスク登録簿の作成と削除、リスクの設定の管理を含め、全ての操作ができる
Risk Manager	リスクアセスメント、リスク対応などのリスク管理を担う。リスク登録簿の作成と削除、リスクの設定の管理もできる
Risk Register Owner	オーナーになったリスク登録簿を管理する（複数のリスク登録簿を使う場合）
Workspace Manager	リスクの作成、編集、削除ができる。担当のワークスペースに結び付いた登録簿を見られる

【注意】 1人のユーザーにAdminとRisk Managerの両方のロールを割り当てると、権限が食い違うことがあります。Adminのユーザーからは、Risk Managerのロールを外してください。

ISO 27001とSOC 2のリスクアセスメントにどう使うか

ISO 27001とSOC 2は、どちらもリスクアセスメントを定期的に行い、その結果に基づいて対応することを求めています。

フレームワーク	求められること
ISO 27001	正式で、繰り返し行えるリスクアセスメントの手順。洗い出したリスクを低減するために、どの管理策（附属書A）が必要かを決める根拠になる
SOC 2	特定の形式は決められていないが、トラストサービス規準（セキュリティー、可用性、機密保持など）に関わるリスクを洗い出して評価する、文書化された手順が求められる

Drataでは、リスクアセスメントの結果を、次の2つのコントロールの証跡として使います。

コントロール	名前	使う記録
DCF-16	Periodic Risk Assessment	リスクの洗い出し、分析、評価を含むリスクアセスメントの記録。少なくとも年に1回見直す
DCF-17	Risk Treatment Plan	洗い出したリスクへの対応の計画。リスクアセスメントと別に作った場合は、その写しをDCF-17の証跡として登録する

リスク登録簿のDownloadから、リスクアセスメントの報告書（Risk Assessment Report）をダウンロードできます。報告書には、リスクの評価の結果と、リスク対応の計画の表が含まれます。会社固有の情報を入れる箇所（<info>の印がある箇所）を埋めてから、Compliance → Evidenceに証跡として登録してください。証跡の登録とコントロールへのマッピングは、証跡とコントロールのマッピングで説明しています。

【運用のポイント】 リスクアセスメントは、少なくとも年に1回、または新しいシステム、ベンダー、拠点を加えたときなどの大きな変化があったときに行います。IT、業務、法務、経営層など、組織の各部門の意見を集め、セキュリティーのインシデントやヒヤリハットからも新しいリスクを拾うようにします。