リスク登録簿は、組織のリスクを洗い出し、評価し、追跡するための中心の一覧です。リスクごとの深刻度と、低減のために必要な対応が一目で分かるようにしておくことで、継続的なリスク管理の土台になります。このページでは、リスク登録簿の作り方として、リスクの登録と一括インポート、リスクオーナーの割り当て、複数の登録簿を使い分ける場面、既存の管理表から移すときの項目の対応を説明します。
登録簿にリスクを入れる方法
リスク登録簿にリスクを入れる方法は、次の4つです。組み合わせて使えます。
| 方法 | 向いている場面 | 説明しているページ |
|---|---|---|
| 質問に答えて自動で作る | 初めてリスク登録簿を作る（Risk Management Standardの場合） | このページ |
| Risk Libraryから加える | 業界の基準に沿ったリスクを土台にする | Risk Libraryを使う |
| 1件ずつ作る | 自社に固有のリスクを加える | このページ |
| 一括インポートする | 既存のリスクの管理表をまとめて移す | このページ |
質問に答えて登録簿を作る
Risk Management Standardでは、リスク登録簿が空のときに、7つの質問に答えて、自社に合ったリスクを登録簿に自動で入れられます。この機能は、Risk Management Proには含まれません。
Risk→Risk Managementを開き、Registerタブを開きます。- 登録簿が空の場合に表示される
Help me build my registerを選びます。リスク管理の考え方を先に知りたい場合は、Teach me about Risk Managementを選びます。 - 事業に関わるシステム、環境、業務についての質問に答えます。
- 最後に、勧められたリスクを登録簿に入れるかどうかを決めます。
リスク登録簿が空のときの画面。Help me build my registerから質問に答えて登録簿を作れる
質問は、組織のリスクの元になりやすい次の7つの領域についてです。
| 領域 | 質問の内容 |
|---|---|
| AI | 自社のAIシステム、他社のAIシステム、またはその両方を使っているか |
| 物理的な拠点 | 賃借も含め、オフィスを所有または運営しているか |
| クラウドの環境 | AWS、Azure、GCPなどの基盤を使っているか |
| 法令や規格の要求 | GDPR、ISO 27001、HIPAAなどに従う必要があるか |
| ソフトウェアの開発 | 社内でソフトウェアを開発しているか |
| 安全でない場所での端末の利用 | 会社の端末を、カフェなどの安全でない場所で使うか |
| 端末の配送 | 端末を物理的に配送しているか |
入ったリスクは、そのまま登録簿に残って追跡の対象になります。答えを誤った場合は質問をやり直せますが、やり直すには登録簿の全てのリスクを削除する必要があります。定期的に全てのリスクを削除して質問をやり直すことは勧められていません。不足するリスクは、後からRisk Libraryや自社のリスクで加えます。
リスクを1件ずつ作る
自社に固有のリスクは、次の手順で作ります。
- リスク登録簿を開きます。
Addを選び、Create a single riskを選びます。- リスクの項目を入れ、
Saveを選びます。
リスクの名前（Title）と説明（Description）は必須です。説明には、リスクのシナリオ（起こりうる出来事、その背景、起こった場合の結果、起こる条件）を書いておくと、評価と対応を決めるときの判断がそろいます。
リスク登録簿の一覧には、主に次の項目が並びます。
| 項目 | 内容 |
|---|---|
Risk ID | リスクを識別するID。Risk Libraryから加えたリスクのIDは変えられない |
Name | リスクの名前 |
Description | リスクと、起こった場合の影響の説明 |
Controls | リスクにマッピングしたコントロール。緑は準備ができている、赤は準備ができていない、灰色は対象外のコントロール |
Treatment | リスク対応（Untreated、Accept、Transfer、Avoid、Mitigate） |
Inherent Impact、Inherent Likelihood、Inherent Score | 対応する前の影響度、起こりやすさ、スコア |
Residual Impact、Residual Likelihood、Residual Score | 対応した後の影響度、起こりやすさ、スコア |
Owner | リスクの管理に責任を持つ人。1件のリスクに複数のオーナーを設定できる |
Type | 内部のリスクか、外部のリスクか |
Status | リスクの状態 |
Categories | リスクのカテゴリー（Asset Management、Access Controlなど） |
Anticipated Completion Date、Completed Date | 対応の完了の予定日と、実際に完了した日 |
Reviewers | リスクと関係する情報をレビューする人 |
評価とスコアはリスクアセスメントとスコア、リスク対応はリスク対応と残留リスクで説明しています。
リスクオーナーを割り当てる
リスクオーナーは、リスクの評価と対応に責任を持つ人です。リスクごとにオーナーを割り当てておくと、誰が評価し、誰が対応を進めるのかがはっきりします。リスクの詳細のOwnerの欄で、1人でも複数でも割り当てられます。
複数のリスクにまとめて割り当てる場合は、一覧でリスクのチェックボックスを選び、表示される操作のバーで、リスクオーナーの追加を選びます。一覧の絞り込みでは、オーナーが割り当てられているかどうか（Risk Owners）と、特定のオーナー（Owners）で絞り込めるため、オーナーのいないリスクを見つけるのに使えます。
複数のリスクを選んだときの操作のバー。リスクオーナーの追加、カテゴリーの割り当て、状態の変更、削除をまとめて行える
【運用のポイント】 資産のオーナーと、リスクのオーナーは同じ人でも構いません。DrataのRisk Assessment Policyのテンプレートでも、リスクごとにオーナーを決め、オーナーが影響度と起こりやすさを評価する手順になっています。
リスクのカテゴリーを管理する
リスクのカテゴリーは、リスクに付けるラベルです。登録簿の一覧の絞り込みや、Risk Insightsのフィルターに使えます。Drataには既定のカテゴリー（Access Control、Asset Management、Software Development、Privacy - Data Protectionなど）があり、Risk Libraryから加えたリスクには既定のカテゴリーが付いています。
Risk Management Proでは、自社のカテゴリーを作れます。例えば、Exceptionというカテゴリーを作って、例外として扱っているリスクをダッシュボードで追う、といった使い方ができます。カテゴリーを管理できるのは、AdminとRisk Managerのロールのユーザーです。
Risk→SettingsのCategoriesタブで、自社のカテゴリーの作成、検索、削除ができます。- リスクを作るときに、リスクの
Categoriesの欄に新しいカテゴリーの名前を入れて選ぶと、カテゴリーが作られてリスクに付きます。
カテゴリーの設定は、全てのリスク登録簿に共通です。
リスクの状態と削除
リスクの状態は、次の3つです。
| 状態 | 使う場面 |
|---|---|
| 有効（active） | 管理、対応、低減に取り組んでいるリスク |
| 完了（closed） | 必要な対応を全て終えたリスク |
| アーカイブ（archived） | 当てはまらなくなった、または古くなったが、記録として残しておくリスク |
リスクの削除は元に戻せません。スコア、リスク対応の計画、メモ、マッピングしたコントロールも含めて消えます。記録を残したい場合は、削除せずに状態を完了かアーカイブに変えてください。状態の変更は元に戻せます。
一覧のDownloadからは、リスクアセスメントの報告書（Risk Assessment Report）のほか、リスク対応の情報（Risk Treatment）、全てのリスク（All Risks CSV）、絞り込んだ一覧（Filtered View CSV）をCSVでダウンロードできます。
既存の管理表から一括インポートする
スプレッドシートなどで管理してきたリスクは、CSVファイルで一括インポートできます。既存のRisk IDを入れた行は、そのリスクの更新として扱われるため、一括の更新にも使えます。
- リスク登録簿で
Addを選び、Create/update risks in bulkを選びます。 Upload a fileでCSVファイルをアップロードします。- ファイルの列（
Incoming fields）を、Drataの項目（Destination fields）に対応付け、Continueを選びます。*の付いた項目は必須です。 - 値の選択肢がある項目は、ファイルの値をDrataの値に対応付け、
Submitを選びます（任意）。 - 検証の結果を確かめます。規則に合わないセルは赤く、警告や情報のセルは黄色く表示されます。既にあるRisk IDのセルは黄色で、そのリスクが更新されることが示されます。
- 赤いセルを全て直すと、
Submitを選べるようになります。Submitを選ぶと、リスクが登録簿に加わります。
既存の管理表の列は、次のように対応付けます。
| 管理表の列の例 | Drataの項目 | 規則 |
|---|---|---|
| 管理番号 | Risk ID | 任意。同じファイルで重複させない。空欄なら自動で採番され、既にあるIDなら更新になる。PS-12のような「接頭辞-番号」の形が勧められている |
| リスク名 | Title | 必須。191文字まで |
| リスクの内容 | Description | 必須。30,000文字まで |
| 分類 | Categories | 任意。Drataの既定のカテゴリーから選ぶ。Risk Management Proでは、ファイルに新しいカテゴリーを書くと作られる |
| 対応方針 | Treatment option | 任意。Untreated、Accept、Transfer、Avoid、Mitigateのどれかに対応付ける |
| 対応策 | Treatment plan | 任意。未対応以外の場合だけ。30,000文字まで |
| 対応の完了日 | Completed Date | 任意。未対応以外の場合だけ。yyyy-mm-ddの形 |
| 承認者 | Reviewers | 任意。未対応以外の場合だけ。Admin、Risk Managerなどのロールを持つユーザーのメールアドレス |
| 影響度、発生可能性 | Inherent impact、Inherent likelihood | 任意。リスクの設定で決めた尺度の範囲の値 |
| 対応後の影響度、発生可能性 | Residual impact、Residual likelihood | 任意。リスク対応がTransferかMitigateの場合だけ |
| 対応の予定日 | Anticipated completion date | 任意。リスク対応がTransferかMitigateの場合だけ |
| 特定した日 | Risk identified date | 任意 |
| 状態 | Risk status | 必須。active、closed、archivedのどれか |
| 担当者 | Owners | 任意。Admin、Risk Manager、Workspace Managerのロールを持つユーザーのメールアドレス。複数可 |
| 関係するコントロール | Controls | 任意。Drataにあるコントロールのコード。ワークスペースが複数ある場合は、主ワークスペースのコントロール |
| 備考 | Internal notes | 任意。768文字まで。新しいメモの追加だけで、既にあるメモは変えられない |
スコア（Inherent score、Residual score）は、影響度と起こりやすさから自動で計算されるため、ファイルに入れる必要はありません。対応方針や状態などの値が管理表と違う場合は、手順4で対応付けます。例えば、管理表の状態が「対応中」「保留」のような値なら、Drataの値のどれに当たるかを決めて対応付けます。
【注意】 内部のリスクか外部のリスクか（
Risk source）と、外部のリスクに結び付けるベンダー（Vendor）の項目は、Vendor Risk Management Proの場合に使えます。Risk Libraryから加えたリスクは、内部のリスクを外部のリスクに変えたり、ベンダーを設定したりできません。
補足資料を添付する
リスクに補足資料のファイルを添付する場合は、リスクをアップロードする前に、Upload supporting documentsの欄でファイルをアップロードしておきます。ファイルの大きさの上限は、通常のファイルが25MB、ZIPファイルが100MBです。使える形式は、.pdf、.docx、.odt、.ods、.pptx、.odp、.gif、.jpeg、.jpg、.png、.csv、.txt、.json、.zipです。既にリスクに添付されている補足資料は、一括インポートでは置き換えも削除もできません。
複数のリスク登録簿を使い分ける
Risk Management Proでは、1つのアカウントで100件までのリスク登録簿を作れます。地域、製品群、事業部門など、組織に合った単位でリスクを分けたい場合に使います。全てのリスクを1つの登録簿で管理していたところから、後で複数の登録簿に分けることもできます。
リスク登録簿の一覧（All registers）。登録簿ごとのオーナー、評価の進み具合、リスク対応ごとの件数が並ぶ
登録簿の作成、構成の変更、削除ができるのは、AdminとRisk Managerのロールのユーザーです。
Risk→Registersを開きます。Create registerを選びます。- 登録簿の名前（
Title）を入れます。説明（Description）と登録簿のオーナー（Register owners）は任意です。 - ワークスペースを使っている場合は、
Associate controls to risks in this registerを選び、結び付けるワークスペースを選びます。結び付けたワークスペースのコントロールを、登録簿のリスクにマッピングできるようになります。 Save registerを選びます。
登録簿のオーナーには、Risk Register Ownerのロールを持つユーザーだけを割り当てられます。ロールはSettings → Role administrationで付けます。ワークスペースごとに登録簿を作る必要はなく、1つの登録簿を全てのワークスペースに結び付けることもできます。
登録簿の構成は、一覧か登録簿の詳細のConfigure registerから、いつでも変えられます。ワークスペースの結び付きを外すと、その登録簿のリスクから、そのワークスペースのコントロールのマッピングが全て外れ、そのワークスペースのWorkspace Managerは登録簿を見られなくなります。
リスクを別の登録簿に移す
リスクは、データと履歴を保ったまま別の登録簿に移せます。移せるのは、Admin、Risk Managerと、2つ以上の登録簿にアクセスできるRisk Register Ownerです。
Risk→Registersで、移す元の登録簿を開きます。- 移すリスクのチェックボックスを選びます。
Move to Registerを選びます。- 移す先の登録簿（
Target register）を選び、Move risksを選びます。
移す先の登録簿に同じRisk IDのリスクがある場合、そのリスクは移されず、元の登録簿に残ります。移せなかったリスクの一覧はCSVファイルで出力されるため、新しいRisk IDを付けて移す先の登録簿にアップロードし、元の登録簿の同じリスクを削除して、重複を防ぎます。
登録簿を削除するには、先に全てのリスクを削除するか、別の登録簿に移しておく必要があります。その後、Configure registerを選び、Delete registerを選びます。
【運用のポイント】 スコアの尺度とカテゴリーなどのリスクの設定は、全ての登録簿に共通です。登録簿ごとに別の評価の基準は持てないため、登録簿を分けても評価の基準は1つに決めておきます。