Drataのアクセスレビューは、レビュー期間を作り、アプリごとにレビュー担当者がアクセスを確かめ、全てのアプリのレビューを完了する流れで進めます。レビュー期間が完了すると、Drataが証跡をまとめてコントロールに付けます。このページでは、アクセスレビューを実施する手順として、レビュー期間の作成、アプリごとの確認と完了、警告が付いたアカウントへの対応、完了した記録の確認とダウンロードを説明します。
実施に必要なロール
アクセスレビューは、Admin、Access Reviewer、Workspace managerのロールのユーザーが実施できます。あらかじめ、OktaやMicrosoftなどのIDプロバイダーとの連携が正しく設定され、同期に成功していることを確かめておきます。対象とするアプリやレビュー担当者の決め方は、アクセスレビューの設計で説明しています。
レビュー期間を作る
実施中にできるレビュー期間は1つだけです。
Governance→Access Reviewsを開きます。Create review periodを選びます。- 開始日と終了日を選びます。
- レビュー期間に含めるアプリを選びます。
- アプリごとにレビュー担当者を割り当てます。レビュー担当者には、
Access ReviewerかAdminのロールが必要です。
【注意】 Drataは、レビュー期間の中のアクセスの情報をスナップショットとして残しません。表示されるのは、レビューを行う日の時点のアクセスです。レビュー期間を4月1日から6月30日にして7月5日にレビューを完了すると、7月5日の時点のアクセスを見ることになります。
アプリごとにアクセスを確かめる
レビュー期間が始まると、レビュー担当者は、アプリを1つずつ確かめます。
Governance→Access Reviewsを開きます。Active Reviewタブを選びます。- 対象のアプリを選びます。
アプリの画面では、次のことができます。
- 割り当てられたレビュー担当者を確かめる
- アクセスできる全てのユーザーの一覧をアップロードするか、確かめる
- アカウントごとのレビューの進み具合を追う
- 警告や、リスクになりそうなアカウントを見つける
手動で追加したアプリの利用者の一覧のアップロードは、連携していないアプリのレビューで説明します。
警告が付いたアカウントへの対応
レビューの途中で、アカウントに警告（Warnings）が付いていることがあります。警告は、セキュリティーのリスクや、データの抜けに気付くための目印です。Access Reviewsページで、レビューしているアプリを選ぶと確かめられます。
| 警告 | 対応 |
|---|---|
Former personnel with access | そのユーザーに、まだ連携先のアプリのアクセスが必要かを確かめる。既に退職している場合は、そのアプリで手作業でアクセスを削除する |
Missing MFA | そのユーザーに多要素認証（MFA）が必要かを判断する。必要なら、対応しているアプリでは、そのアプリでセキュリティーの設定を変える |
Unlinked users | Drataの要員に結び付いていないアカウント。Access ReviewページのStatusの列を確かめ、結び付いていなければLink Personnelを選んで、正しい要員に対応付ける |
Service accounts | 確認のための表示で、対応は不要。人のユーザーと、自動化や連携のためのアカウントを見分けるのに使う。分類が誤っているように見える場合だけ確かめる |
Admin | そのユーザーに管理者のアクセスが必要かを確かめる。役割に照らして不要になっていれば、連携先のアプリで権限を下げる |
アクセスの削除や権限の変更は、連携先のアプリで行います。アカウントと要員の対応付けは、アカウントと要員の対応付けで説明しています。
【運用のポイント】 ヘルプの手順の例では、最小権限の原則に沿わないアクセスが見つかったら、アクセスを変えるためのチケットを作り、変更をユーザーに知らせます。同じ問題が繰り返し起きる場合や重大な問題の場合は、原因を調べて再発を防ぎます。
アプリのレビューを完了する
アプリの全てのアカウントのレビューが済んだら、そのアプリのレビューを完了します。
Active Reviewのレビュー期間から、アプリを開きます。Complete reviewを選びます。- 必要に応じて、追加の証跡をアップロードします。
Submitを選びます。
完了した記録を証跡として残す
レビュー期間が完了すると、Drataは全てのアプリの証跡を1つのZIPファイルにまとめます。ZIPファイルの中は、レビューしたアプリごとのフォルダーに分かれます。このファイルは、コントロール「DCF-11: Annual Access Control Review」に自動で付き、証跡として保存されます。証跡の更新期限は、既定で完了日の1年後に設定されます。
ワークスペースを使っている場合、証跡が作られるのは主ワークスペースだけです。ほかのワークスペースでも必要な場合は、証跡を手作業でコピーします。証跡の更新期限の運用は、証跡のオーナーと更新期限の運用で説明しています。
完了したレビューを確かめる
完了したアクセスレビューの証跡は、いつでもダウンロードできます。
Governance→Access Reviewsを開きます。Completed Reviewsタブを選びます。- 対象のレビュー期間を選びます。
ここから、レビュー期間の全ての証跡をまとめたパッケージ（ZIPファイル）をダウンロードできます。アプリごとの証跡は、アプリを選んで、個々の証跡のファイルとレビューの詳細を開いてダウンロードします。
完了したレビュー期間に含まれるアプリの一覧。アプリごとにレビューの状態が表示される
完了したレビューの詳細には、次の情報が含まれます。
- 割り当てられたレビュー担当者
- 完了日
- レビューの間に追加したメモ
- アップロードした補足資料
完了したアプリのレビューの詳細。レビュー担当者、証跡、レビューの間に追加したメモが表示される
完了したレビューを開き直す
完了した後に直す必要が出てきた場合、Adminのロールのユーザーは、レビュー期間を開き直せます。
Governance→Access Reviewsを開きます。Completed Reviewsタブを開きます。Re-open reviewを選びます。
開き直したレビュー期間は実施中に戻り、アプリのレビューを直せるようになります。実施中にできるレビュー期間は1つだけのため、ほかに実施中のレビュー期間がない場合にだけ開き直せます。