DrataのTasksページでは、監査への備えと日々のコンプライアンスの作業を、タスクとして追えます。ポリシーの見直し、コントロールの承認、証跡の確認、ベンダーの管理、リスクの是正などの作業が、月ごとに並びます。このページでは、Tasksページでの作業の管理として、自動的に作られるタスクの種類、定期的なタスクの作り方、担当者と期限の設定、タスクの通知、一括インポートでタスクをまとめて作る方法を説明します。
Tasksページの見方
Tasksページには、タスクが月と種類ごとにまとめられた、月ごとの一覧が表示されます。
- 期限を過ぎたタスクは目立つように表示される
- 月を選ぶと、その月のタスクの詳細な一覧が表示される
- 絞り込みで、オーナー、種類、期間ごとにタスクを整理できる
Tasksページ。左側で絞り込みと月を選び、右側に種類ごとにまとめられたタスクが並ぶ
期日までに完了しなかったタスクは、完了するまでPast dueとして扱われます。
タスクの種類
Drataのタスクは、Drataが自動で作るタスクと、ユーザーが作るカスタムタスクの2種類です。
自動で作られるタスク
自動で作られるタスクは、コンプライアンスの出来事が起きたときにDrataが作ります。ユーザーが手作業で作ることはできません。
| 種類 | 作られるとき |
|---|---|
| ポリシーの見直し | ポリシーを予定通りに見直すため。ポリシーオーナーに割り当てられる |
| コントロールの承認 | 監査への備えとして、コントロールに承認が必要なとき |
| 証跡 | 証跡が有効期限や見直しの日に達したとき |
| ベンダーのレビュー | ベンダーの評価や更新の時期が来たとき。オーナーが割り当てられていないこともある |
それぞれの仕組みは、ポリシーの見直しと版の管理、コントロールオーナーと承認、証跡のオーナーと更新期限の運用で説明しています。
カスタムタスク
カスタムタスクは、組織に固有の作業のために手作業で作るタスクです。作るときに、タスクのオーナー、期日、繰り返し（任意）を決めます。
| 種類 | 例 |
|---|---|
| 一般のタスク | 内部監査、研修の割り当て、コンプライアンスの見直しの会議 |
| リスクのタスク | リスクに直接結び付けた是正の作業 |
| コントロールのタスク | 特定のコントロールに結び付けた、後続の作業 |
リスクやコントロールに結び付けたタスクは、関係する項目から直接確かめられるため、作業の経緯を追いやすくなります。リスクに結び付けたタスクは、リスク管理の画面で確かめ、扱えるのはRisk Managerのロールのユーザーだけです。コントロールに結び付けたタスクは、コントロールの画面で確かめます。
結び付けたタスクは、次の2つの方法で作れます。
Tasksページでタスクを作るときに、リスクかコントロールに結び付ける- リスク管理やコントロールの詳細の画面で、その項目のタスクとして作る
カスタムタスクを作る
Tasksページを開きます。Create taskを選びます。- タイトルと説明を入れます。
- オーナーを割り当てます。
- 期日を設定します。
- 定期的に行う作業の場合は、繰り返しを有効にして、頻度を設定します。
作ったタスクは、後から次のように変えられます。
- 内容、オーナー、期日を変える
- 繰り返しの設定を変える
- リスクやコントロールに結び付ける
- 不要になったタスクを削除する
リスクのタスクを作る
リスクのタスクは、Tasksページからも、リスクの画面からも作れます。
| 作る場所 | 操作 |
|---|---|
Tasksページ | Create Taskを選び、設定の途中でMap to Riskから対象のリスクを選ぶ。オーナー、期日、任意の繰り返し（四半期ごとのリスクの見直しなど）を決める |
| リスクの画面 | Risk → All Risksでリスクを選び、行の右端の矢印のアイコンで詳細のパネルを開く。パネルのタスクのアイコンを選び、そのリスクに結び付けたタスクを作る |
リスクの詳細のパネルでは、タスクのほかに、社内向けのコメントを残したり、JiraやServiceNowなどと同期するチケットを作ったりして、ほかのチームと是正の進み具合を共有できます。チケットは、チケットの作成と連携で説明します。
タスクを完了する
Tasksページを開きます。- タスクを開いて、詳細を表示します。
- タスクの種類に応じて、完了の操作をします。
| 表示 | 操作 |
|---|---|
| チェックマーク | 選ぶと、タスクが完了になる |
Review | 選ぶと、関係する項目の詳細の画面が開く。そこで必要な作業をする |
リスクのタスクでは、Review in Risk Managementを選ぶとリスクの画面で関係するリスクが開き、Mark completeを選ぶとTasksページからそのまま完了にできます。
ワークスペースとタスク
ワークスペースを使っている場合、タスクの範囲は、どこで作ったかによって変わります。
| 区分 | 動き |
|---|---|
| ワークスペースごとのタスク | 1つのワークスペースで作ったタスクは、そのワークスペースの一覧にだけ表示される。証跡と報告書は、アップロードしたワークスペースに結び付く |
| 全社共通のタスク | ポリシーとベンダーは全社共通の項目のため、そのタスクは全てのワークスペースで共有される |
| リスクのタスク | 主ワークスペースでだけ作り、扱える |
Workspace Managerは、割り当てられたワークスペースの中で、タスクを見て、作り、絞り込めます。ワークスペースの考え方は、ワークスペースの設計で説明しています。
タスクの通知
タスクのメールは、タスクのオーナーに届きます。Adminのロールのユーザーにも、ほかのユーザーのタスクのメールは届きません。Adminは、期限が近いタスクや期限を過ぎたタスクをTasksページで確かめます。
担当が変わったときの通知
次のときは、メールが自動で届きます。この通知は止められません。
- タスクに割り当てられたとき（新しいタスクと、割り当て直されたタスク）
- 担当していたタスクから外れたとき
- 担当していたタスクが削除されたとき
リマインダー
| 通知 | 届く日 | 届く人 | 内容 |
|---|---|---|---|
Past due tasks | 毎週月曜日と木曜日 | 期限を過ぎたタスクがあるオーナー | 期限を過ぎたタスクの一覧と、Drataへのリンク |
Upcoming task reminders | 毎週月曜日 | 翌週に期限が来るタスクがあるオーナー | 翌週に期限が来るタスクの一覧と、Drataへのリンク |
期限が近いタスクのリマインダーは、7日以内に期限が来るタスクがない場合や、そのタスクが全て完了している場合には送られません。
通知を設定する
Settings→My Settings→Notificationsを開きます。Allow notificationsが有効になっていることを確かめます。Past due tasksとUpcoming task remindersを、それぞれ有効か無効にします。
組織全体の通知の設定は、通知の設定で説明しています。
タスクを一括インポートする
多くのカスタムタスクを一度に作るときは、一括インポートを使います。CSVファイルをアップロードするほか、スプレッドシートから貼り付けたり、画面に直接入れたりできます。入力の内容はその場で確かめられ、誤りは送信の前に直せます。
| 向く場面 | 内容 |
|---|---|
| 既存のタスクの一覧をまとめて移す | 既存のタスクの一覧を、1回でDrataに取り込む |
| 定期的な作業をまとめて設定する | 定期的な見直し、確認の節目、年に一度の作業などをまとめて作る |
| チームの多くの人に割り当てる | タスクごとに作成の画面を開かずに割り当てる |
一括インポートを使えるのは、ワークスペースでタスクを作れるAdmin、Control Manager、Information Security Lead、Risk Manager、Workspace Managerのロールのユーザーです。
一括インポートの手順
Tasksページの右上で、Create taskの横の下向きの矢印を選び、Create tasks in bulkを選びます。Upload fileでCSVファイルを選ぶか、Manually enter dataで画面に直接入れます。- ファイルをアップロードした場合は、ファイルの項目をDrataの項目に対応付け、
Continueを選びます。選択肢が決まっている項目（Task Type、Assignee Email、Control ID、Risk ID）は、値の対応付けもできます。 - 誤りを直します。赤のセルは誤りで、直すまで送信できません。黄色のセルは警告や情報で、そのままでも送信できます。
Submitを選びます。- 確認の画面で、タスクのオーナーにメールを送るかを選び、
Import tasksを選びます。
Tasksページの右上のCreate taskの横のメニューから、タスクの一括インポートを選ぶ
確認の画面のSend email notifications to the task ownersは、既定では選ばれていません。選ぶと、1回だけのタスクのオーナーに、割り当てのメールが送られます。繰り返しのタスクのオーナーには、この設定によらず、期日の7日前に期限が近いタスクのリマインダーが届きます。インポートする人自身に割り当てたタスクには、メールは送られません。
インポートする項目
| 項目 | 必須 | 内容 |
|---|---|---|
Title | 必須 | タスクの名前。191文字まで。既存のタスクとも、ファイルの中でも重複できない |
Description | 任意 | 説明。30,000文字まで |
Due Date | 必須 | 期日（YYYY-MM-DD）。繰り返しのタスクでは、繰り返しの開始日にもなる。今日以降の日付 |
Task Type | 任意 | General、Control、Riskのいずれか。空欄はGeneral |
Assignee Email | 必須 | 割り当てる人のメールアドレス。ワークスペースにアクセスできる現在の要員 |
Control ID | 条件付き | Task TypeがControlのときに必須。ワークスペースの対象のコントロール |
Risk ID | 条件付き | Task TypeがRiskのときに必須。ワークスペースのリスク |
Schedule Type | 任意 | Week、Month、Yearのいずれか。空欄は1回だけのタスク |
Repeat Every | 条件付き | Schedule Typeを入れたときに必須。1〜100の整数（1は毎回、2は1回おき） |
Days of Week | 条件付き | Schedule TypeがWeekのときに必須。MO、TU、WE、TH、FR、SA、SUをコンマでつなぐ |
Day of Month | 条件付き | Schedule TypeがMonthのときに必須。01〜31かLast day（月末） |
End Date | 任意 | 繰り返しの終了日。空欄はいつまでも繰り返す。Due Date以降の日付 |
【注意】 1つのタスクに結び付けられるのは、コントロールかリスクのどちらか一方です。
Control IDとRisk IDは、ワークスペースに既にあるものを指定します。日付は2000年から2100年までです。Yearの繰り返しは、Due Dateと同じ月日に毎年作られます。End Dateを空欄にすると、いつまでも繰り返すことを示す黄色の警告が表示されます。
【運用のポイント】 内部監査、コンプライアンスの見直しの会議、四半期ごとのリスクの見直しのように、時期の決まった作業は、オーナーと期日を決めた繰り返しのタスクにしておくと、
Tasksページで予定と遅れを確かめられ、オーナーには期限が近いタスクのリマインダーが届きます。多くの作業をまとめて登録するときは、一括インポートを使います。