対象と対象外の管理

フレームワークの要求事項やDCFのコントロールの中には、自社の環境に当てはまらないものがあります。Drataでは、そうした要求事項やコントロールを対象外（Out of Scope）にして、準備状況の計算や監査の範囲から外せます。対象外の設定は、準備状況の数字と監査の範囲を自社の実態に合わせるためのものですが、外し方を誤ると、必要なコントロールまで範囲から落ちてしまいます。このページでは、コントロールと要求事項を対象外にする方法として、対象外にしていい場面と理由の書き方、要求事項を対象外にしたときのコントロールへの影響、監査人への説明の準備を説明します。

対象外にできるもの

Drataで対象外にできるものと、その影響は次の通りです。

対象外にするもの	影響の範囲	操作できるロール
要求事項	そのフレームワークの準備状況の計算から外れる。ほかのフレームワークには影響しない	Admin、Information Security Lead、Frameworksの書き込みの権限を持つWorkspace Manager
コントロール	コントロールがマッピングされた全てのフレームワークで、監査の範囲と準備状況の計算から外れる	Admin、Information Security Lead

コントロールの範囲は、全てのフレームワークに共通です。Controlsページでコントロールを対象外にすると、そのコントロールがマッピングされた全てのフレームワークで対象外になります。特定のフレームワークだけから外したい場合は、コントロールではなく、そのフレームワークの要求事項を対象外にします。

要員を対象外にする操作は別の仕組みです。対象外の要員とサービスアカウントで説明します。

対象外にしていい場面

対象外にするのは、要求事項やコントロールが自社の環境に当てはまらない場合です。ヘルプセンターやこのガイド記事のほかのページで取り上げている例には、次のものがあります。

場面	扱い
クラウドだけで運用していて、自社のデータセンターを持たない	データセンターに関する要求事項を対象外にする
取締役会を置いていない	取締役会そのものを前提にしたコントロール（DCF-41、DCF-145、DCF-146）を対象外にし、監督の責任を経営陣が担う形に書き換えられるコントロール（DCF-143、DCF-144）は編集する
ISO 27001の適用宣言書で管理策を除外した	除外した管理策の要求事項を対象外にする（ISO 27001を進める）
SOC 2でセキュリティー以外のカテゴリーを含めない	含めないカテゴリーの要求事項を対象外のままにする（SOC 2を進める）
カスタムコントロールでDCFのコントロールを置き換えた	置き換えたDCFのコントロールを、重複しないように対象外にする（他のツールからDrataへの乗り換え）
誤って作った、または使わなくなったコントロール	コントロールは削除できないため、対象外にする

逆に、次のような理由で対象外にしてはいけません。

• 準備未完了のコントロールを、準備状況の割合を上げるために外す。
• 証跡を集めるのが手間なコントロールを、実施していることにして外す。
• 適用範囲の判断が済んでいないコントロールを、とりあえず外す。

対象外にしたものは監査の範囲から外れるため、外したことの妥当性を監査人に説明できなければなりません。当てはまるかどうかの判断に迷う場合は、監査人と相談してから決めてください。フレームワークと適用範囲の決め方は、フレームワークと適用範囲の決め方で説明しています。

コントロールを対象外にする

1. Compliance → Controlsを開きます。
2. 対象外にするコントロールのチェックボックスを選びます。複数のコントロールを選べます。
3. 画面の下の操作のバーで、Mark out of scopeを選びます。

Controlsページで複数のコントロールを選び、操作のバーのMark out of scopeを選ぶところ

対象に戻すときは、同じようにコントロールを選び、対象（In Scope）にします。対象に戻したコントロールは、再び監査の準備と準備状況の計算に含まれます。

対象外にしたコントロールは、一覧から消えるわけではなく、Statusのフィルターで対象外（Out of scope）を選ぶと表示されます。

【注意】 ヘルプセンターでは、コントロールを対象外にしたときは、そのコントロールがマッピングされた要求事項も対象外にすべきかを確かめ、フレームワーク全体で扱いをそろえるよう勧めています。コントロールだけを外して、対応する要求事項を対象のまま残すと、その要求事項を満たすコントロールが足りない状態になることがあります。

要求事項を対象外にする

要求事項は、フレームワークの詳細の画面から対象外にします。

1. Compliance → Frameworksを開き、フレームワークを選びます。
2. 要求事項の一覧（Requirements）を表示し、Scopeで対象（In Scope）に絞り込みます。
3. 1つだけ対象外にする場合は、要求事項の横の「…」を選びます。複数を対象外にする場合は、要求事項のチェックボックスを選びます。見出しの行のチェックボックスを選ぶと、表示されている全ての要求事項を選べます。
4. Mark Out of Scopeを選びます。
5. 確認の画面で、対象外にする要求事項の数を確かめます。
6. 対象外にする理由（業務上の根拠）を入れます。理由は必須です。複数の要求事項を選んだ場合は、同じ理由が全てに付きます。
7. Confirmを選びます。

対象に戻すときは、Scopeで対象外（Out of Scope）に絞り込み、要求事項を選んでMark In Scopeを選び、確定します。

理由の書き方

要求事項を対象外にするときの理由は、後から監査人や後任の担当者が読んで、外した根拠が分かるように書きます。

書くこと	例
当てはまらない事実	自社のデータセンターを持たず、全てのシステムをクラウドで運用している
根拠になる文書や決定	ISO 27001の適用宣言書で除外した管理策である

複数の要求事項をまとめて対象外にすると、全てに同じ理由が付きます。外す根拠が異なる要求事項は、根拠ごとに分けて操作してください。

ヘルプセンターの取締役会の例では、対象外にするコントロールについて、取締役会を置いていないことなどの簡単な説明を残すよう勧めています。コントロールを対象外にした理由は、コントロールのメモ（ユーティリティーバーのNotes）などに残しておくと、後から確かめられます。

要求事項を対象外にしたときのコントロールへの影響

要求事項を対象外にすると、Drataはその要求事項にマッピングされたコントロールを評価し直します。

状況	コントロールの扱い
コントロールがマッピングされた要求事項が全て対象外になった	コントロールも自動で対象外になる
コントロールが、ほかに対象の要求事項にもマッピングされている	コントロールは対象のまま残る

コントロールが対象と見なされるのは、対象の要求事項の少なくとも1つにマッピングされている場合です。そのため、あるフレームワークで要求事項を対象外にしても、同じコントロールがほかのフレームワークの対象の要求事項にマッピングされていれば、そのコントロールは対象のまま残り、準備状況の作業も続きます。

フレームワークの準備状況に入るのは、対象の要求事項と、対象の要求事項にマッピングされた対象のコントロールだけです。要求事項を対象外にすると、フレームワークのControlsの数や準備状況の割合が変わります。フレームワークを併用しているときの注意は、複数のフレームワークを併用するで説明しています。

監査人への説明の準備

対象外にした要求事項とコントロールは、監査人から理由を問われることがあります。監査の前に、次の準備をしておきます。

準備	内容
対象外の一覧を出す	ControlsページのStatus、フレームワークの要求事項の一覧のScopeで、対象外のものに絞り込んで確かめる
理由を確かめる	要求事項に付けた理由と、コントロールのメモに残した理由が、今も実態に合っているかを確かめる
文書と照らし合わせる	ISO 27001の適用宣言書など、範囲を定めた文書とDrataの設定が一致しているかを確かめる
関係するテストを確かめる	対象外にしたコントロールに関係するモニタリングテストを、必要に応じて無効にする（ヘルプセンターの取締役会の例では、DCF-41を対象外にするときに、関係するテストも無効にするよう勧めている）

フレームワークの要求事項とコントロールの対応をCSVファイルに書き出すと、対象のコントロールだけが含まれ、対象外のコントロールは含まれません。監査人に対応の一覧を渡すときは、対象外にしたものを別に説明できるようにしておきます。書き出しの方法は、要求事項とコントロールの関係で説明しています。テストを無効にする判断は、除外と無効化の使い分けで説明します。

【運用のポイント】 範囲は一度決めたら終わりではありません。事業やシステムの構成が変わると、対象外にしていた要求事項が当てはまるようになることがあります。新しいサービスの開始、データセンターの利用、取締役会の設置などの変化があったときや、年に一度の監査の準備を始めるときに、対象外の一覧を見直してください。