Drataのモニタリングテストの多くは、フレームワークを有効にしたときに自動的に入ります。それ以外にも、Drataは多数のテストをTest Libraryに用意しており、必要なものを選んで自社の環境に追加できます。このページでは、Test Libraryからテストを追加する方法として、フレームワークの有効化で自動的に入るテストとの違い、AIで生成されたテストの扱い、追加したテストをコントロールに対応付ける手順を説明します。
自動的に入るテストとTest Libraryのテスト
テストが自社の環境に入る経路は、次の2つです（カスタムテストを除く）。
| 経路 | 入るテスト | 動き始める条件 |
|---|---|---|
| フレームワークの有効化 | 有効にしたフレームワークのコントロールにマッピングされた、Drataのテスト | テストに必要な連携があれば、すぐに動く。なければ動かないままで、連携をつなぐと自動的に動き始める |
| Test Libraryからの手動のインポート | 自分で選んだテスト | 必要な連携があることが、追加の前提になる |
Test Libraryは、Drataが対応するテストの全体のカタログです。Drataのテストの全てに加え、AIで生成された1,000件以上のインフラストラクチャーのテストが入っています。Test Libraryのテストは、フレームワークの有効化で入るもの以外は、自分で追加しない限り自社の環境に入りません。
Drataのテストのうち、既にフレームワークの有効化で入っているものでも、次の目的でTest Libraryから追加でインポートできます。
| 目的 | 内容 |
|---|---|
| 自由に変えられる複製を作る | インポートしたテストは、Monitoringページでロジックを自社の環境に合わせて変えられる |
| 有効にしていないフレームワークのテストを使う | 自社で有効にしていないフレームワークに関係するテストも追加できる |
| カスタムフレームワークで使う | インポートしたテストを、カスタムフレームワークのカスタムコントロールにマッピングする |
カスタムフレームワークについては、カスタムフレームワークで説明しています。
Test Libraryの画面
Test Libraryは、左側のナビゲーションのLibrary → Testsで開きます。使えるのは、Admin、Information Security Lead、DevOps Engineer、Control Managerなどのロールのユーザーです。Test Libraryはワークスペースの機能に対応しており、追加先のワークスペースを選んで使います。
画面の上部には、テストの総数（Total tests）、自社で使っているテストの数（In Use）、使っていないテストの数（Not in Use）が表示されます。一覧の行には、テストの名前、説明、分類、評価（Rating）、最後に更新された日が並び、どの列でも並べ替えられます。検索欄では、名前や説明でテストを探せます。
Test Libraryの一覧。上部にテストの数、左側に絞り込みの条件、右側にテストの名前、説明、分類、評価、更新日が並ぶ
左側の絞り込みでは、次の条件を指定できます。
| 絞り込み | 内容 |
|---|---|
Usage | 使っている（In Use）、使っていない（Not in Use）、新しい（New）テスト |
Rating | EssentialかRecommendedのテスト |
Categories | Agent、Identity、Infrastructureなどの分類 |
Frameworks | 特定のフレームワークや要求事項に関係するテスト |
Connections | 特定の連携に関係するテスト。つないでいる連携と、つないでいない連携が区別して表示される |
| リソース | インフラストラクチャーの連携（AWSなど）を選んだ後に、その提供元のリソースの種類（DBのインスタンスなど）で絞り込む |
テストの評価と新しいテストのラベルは、次の意味です。
| ラベル | 意味 |
|---|---|
Essential | 複数の監査パートナーの助言をもとに、SOC 2の基本の規準に重点を置く組織で通常求められる中核のテスト |
Recommended | Essentialに加えて実施が勧められるテスト |
New | 過去45日以内にTest Libraryに加わったテスト。自社の環境に追加して公開するまでは、コンプライアンスの状態に影響しない |
【運用のポイント】
Essentialのラベルは目安です。それぞれのテストの範囲が自社のコンプライアンスの取り組みに関係するかは、自社で確かめます。早い段階で監査人と相談すると、適切な範囲を決めやすくなります。
既に自社で使っているテストは、Usageで絞り込むか、行の先頭の「…」で確かめます。「…」のメニューが表示されるテストは、自社の環境で動いている複製があり、メニューからその複製を確かめて管理できます。テストを選ぶと詳細の画面が開き、テストの案内、コントロールとのマッピング、テストのロジック、自社で動いている複製を確かめられます。
テストを追加する
テストを追加できるのは、テストに必要な連携をつないでいる場合だけです。
複数のテストをまとめて追加する
- Test Libraryで、追加するテストのチェックボックスを1つ以上選びます。
Add to Programを選びます。Choose workspacesで、追加先のワークスペースを選びます。選んだテストに必要な連携があるワークスペースだけが表示されます。Select stateで、テストの状態を選びます。Addを選びます。
Add to Programの画面。追加先のワークスペースを選び、下書き（Draft）か公開（Published）かを選ぶ
| 状態 | 内容 |
|---|---|
Draft | テストは追加されるが、準備状況に影響しない |
Published | テストが自動的に実行され、コンプライアンスの状態に反映される |
一部のテストを追加できなかった場合（必要な連携がない、以前のAP1のテストであるなど）は、Addを選んだ後に、追加できなかったテストと理由が表示されます。
1つのテストを追加する
1つのテストを追加する場合は、追加する前にテストの名前や説明を変えられます。
- Test Libraryで、追加するテストを選びます。
Add to Programを選びます。- 追加の画面で、ワークスペースを選び、必要に応じてテストの名前と説明を変えます。
- テストの状態（
DraftかPublished）を選びます。 Addを選びます。
追加したテストはMonitoringページに表示され、以後はそこで管理します。テストのロジックを自社の環境に合わせて変える場合も、Monitoringページで行います。
追加できないテスト
以前からある一部のテスト（以前のAP1のテスト）は、Test Libraryに表示されても、Test Libraryからは追加できません。こうしたテストは、フレームワークの有効化で自動的に入っている場合があり、引き続き使えます。テストを選んで詳細を開くと、「This test cannot be managed in Drata Library.」と表示されるもので見分けられます。
AIで生成されたテスト
Test LibraryのAIで生成されたインフラストラクチャーのテストには、次の決まりがあります。
- フレームワークの有効化やマッピングの更新で、自動的に入ることはありません。必ずTest Libraryから手動で追加します。
- 試験的なもので、結果にばらつきが出ることがあります。テストのロジックが連携先のサービスの動きと完全には合わず、不正確な結果になる場合もあります。
AIで生成されたテストかどうかは、テストを選び、View Instructionsを選ぶと表示される画面で確かめられます。この画面からは、AIが作った設定の案内が役に立ったかどうかのフィードバックも送れます。
【注意】 AIで生成されたテストの結果を、コンプライアンスの証跡として頼る前に、結果が正しいかを自社で確かめてください。最初は
Draftの状態で追加して結果を確かめ、問題がなければ公開すると、準備状況に影響させずに確かめられます。
追加したテストをコントロールにマッピングする
追加したテストは、コントロールにマッピングして初めて、コントロールとフレームワークの準備状況に効きます。Drataは既定のマッピングを用意していますが、テストを自社の環境に合わせてマッピングし直したり、カスタムコントロールをテストで確かめたりする場合は、手動でマッピングします。
マッピングは、コントロールの側からでも、テストの側からでもでき、結果は同じです。マッピングを変えられるのは、ControlsかMonitoringへの書き込みの権限があるユーザーで、通常はAdmin、Information Security Lead、Workspace Manager、Control Managerのロールです。
コントロールの側からマッピングする
特定のコントロールに、どのテストを効かせるかを管理するときに使います。
Compliance→Controlsで、コントロールを開きます。Monitoringタブを開きます。Map testsを選びます。- テストを探して1つ以上選びます。
- 変更を保存します。
マッピングを外すには、同じタブで、テストの横の「…」から外します。
テストの側からマッピングする
テストがどのコントロールを支えているかを確かめるときに使います。
Compliance→Monitoringで、テストを開きます。Controlsタブを開きます。Map controlを選びます。- コントロールを探して1つ以上選びます。
- 変更を保存します。
コントロールが一覧に表示されない場合は、Controlsページでそのコントロールが対象（In Scope）になっているかを確かめます。マッピングを外すには、Controlsタブでコントロールを外します。対象と対象外の扱いは、対象と対象外の管理で説明しています。
【運用のポイント】 マッピングが正確だと、準備状況が実際のコントロールの実施を反映し、監査人にも、適切な範囲がテストでカバーされていることを示せます。マッピングしていないテストは、結果を見られるだけで準備状況には効かないため、追加したテストのマッピングを忘れないようにします。