セキュリティーとコンプライアンスの作業は、多くのチームの協力が必要です。Drataでは、組織で使っている課題管理のツールと連携して、コントロール、テスト、リスクから直接チケットを作れます。Drataで作ったチケットは、Drataと課題管理のツールの両方から確かめられます。このページでは、Drataから課題管理のツールにチケットを作る方法として、ユーティリティーバーからの作成、ワークスペースごとのチケット、Jiraのチケットの自動作成の設定、チケットの状態の同期、是正の進み具合を追う方法を説明します。
チケットでできること
チケットを使うと、問題が見つかったコントロール、テスト、リスクから、そのまま是正の作業を追えます。
- 作業を適切なチームに割り当てる
- 是正の進み具合を追う
- 監査に備えて、証跡を1カ所にまとめる
- ツールをまたいだ手作業の催促を減らす
チケットを作れるのは、次の項目です。
| 項目 | 対象 |
|---|---|
| コントロール | DCFのコントロールとカスタムコントロール |
| モニタリング | テスト |
| リスク | リスク登録簿のリスク |
課題管理のツールとの連携の設定は、開発と課題管理のツールとの連携で説明しています。
ロールと前提条件
| 操作 | できるロール |
|---|---|
| 課題管理のツールとの連携の設定と編集 | Admin |
| Drataでのチケットの作成、表示、ダウンロード | Admin、Information Security Lead、Workspace Manager |
連携の書き込みの許可（Write Access）の有効化 | Admin |
Drataからチケットを作るには、課題管理のツールとの連携で、Write Accessが有効になっている必要があります。Write Accessが無効の場合は、結び付いている既存のチケットを見ることはできますが、新しいチケットは作れません。
【注意】
Write Accessが有効でも、課題管理のツールの側に、Drataが読み取れない、または入れられない必須の項目があると、チケットを作れません。その場合は、その項目を任意にするか、その項目が必須でないプロジェクトや課題の種類を使ってください。
Drataに表示されるチケット
Drataに表示されるのは、Drataから作ったチケットか、Drataで結び付けたチケットだけです。課題管理のツールで直接作ったチケットは、Drataに取り込まれません。例えば、Jiraで直接作った課題はDrataに自動では表示されず、Drataから作ったり結び付けたりした課題だけが表示されます。
チケットを作る
Write Accessが有効な場合は、次の画面からチケットを作れます。
| 画面 | 操作 |
|---|---|
Controls | コントロールを選び、そのコントロールのチケットを作る |
Monitoring | テストを選び、そのテストのチケットを作る |
Risk | リスク登録簿を選び、リスクを選んで、そのリスクのチケットを作る |
項目を選んだ後、画面の右側にある横向きの矢印を選ぶと、チケットの欄が開きます。
New Experienceでは、対象の画面の右側にユーティリティーバーが表示されます。課題管理のツールと連携している場合は、ユーティリティーバーのTicketsから、コントロールなどの項目の画面のまま、チケットを作れます。別のページに移らずに、確認の作業とチケットの作成を続けて進められます。ユーティリティーバーは、New Experienceの画面構成で説明しています。
ワークスペースでチケットを作る
ワークスペースを使っている場合は、主ワークスペース以外のワークスペースでも、コントロールとテストからチケットを作れます。作ったチケットはそのワークスペースに結び付き、チケットのデータにワークスペースの名前が入ります。Jira、ServiceNowなどの課題管理のツールの側で、どの製品やチームの作業かを見分けられます。
ワークスペースでチケットを作るには、次の条件を満たす必要があります。
Admin、Information Security Lead、Workspace Manager（そのワークスペース）のいずれかのロールを持っているRisk Managerのロールでの作成ではない- 対応する課題管理のツールとの連携があり、
Write Accessが有効になっている
コントロールからチケットを作る手順は、次の通りです。
- 画面の上部のワークスペースの切り替えで、作業するワークスペースを選びます。
- そのワークスペースの
Controlsで、対象のコントロールを開きます。 - 横向きの矢印を選んで、チケットの欄を開きます。既に結び付いているチケットも、ここで確かめられます。
Create ticketを選びます。- 課題管理のツールを選び（求められた場合）、プロジェクトやボード、課題の種類、要約と説明、優先度や担当者（該当する場合）など、必要な項目を入れます。
- 自動で作られたタイトルか、ワークスペースの項目に、ワークスペースの名前が入っていることを確かめます。
- 作成を確定します。作ったチケットは、コントロールのチケットの一覧に表示されます。
チケットの作成の画面。要約にワークスペースの名前が自動で入る
テストからチケットを作る場合は、そのワークスペースのMonitoringページでテストを開き、テストの詳細のTicketsの欄かタブでCreate ticketを選びます。作ったチケットはテストのチケットの一覧に表示され、対応している課題管理のツールでは、状態が同期されます。テストの是正の進め方は、失敗したテストの是正で説明しています。
【注意】 ワークスペースごとのチケットを作れるのは、コントロールとテストだけです。リスク管理のチケットは、ワークスペースごとではなく、テナント全体で作られます。
【運用のポイント】 チケットの要約の付け方をそろえておくと、課題管理のツールの側で探しやすくなります。課題管理のツールで、ワークスペースの名前やそれに関係する項目をもとにしたフィルターやボードを用意すると、製品やチームの担当者が自分のチケットをすぐに見つけられます。
チケットを確かめ、管理する
チケットの情報をダウンロードする
ほとんどの課題管理のツールでは、Drataからチケットの詳細をダウンロードできます。ダウンロードには、通常、チケットの詳細のPDFを含むZIPファイルと、添付ファイル（課題管理のツールによる）が含まれます。
チケットの結び付きを外す
Drataでチケットを外しても、課題管理のツールのチケットは削除されません。外れるのは、Drataの中の結び付きだけです。多くの課題管理のツールでは、一度外したチケットを結び付け直せないため、外す前に確かめてください。
課題管理のツールごとの注意点
| 課題管理のツール | 注意点 |
|---|---|
| Jira | 既存のチケットを結び付けるときは、URLが確かめられる。連携しているJiraのチケットで、まだ結び付いていないものに限る |
| ServiceNow | 対応するのはIncident、Problem、Service Catalog Taskだけ。ServiceNowのUIポリシーやデータポリシーは適用されず、必須の項目もDrataでは必須として表示されない。担当者が担当グループに合わないとエラーになる。選択肢の検索は最初の語や文字にだけ一致する。ダウンロードのZIPファイルには、PNGの添付ファイルは含まれない |
| Asana | タスクかサブタスクを選ぶ。サブタスクを選んだ場合は親のタスクが必須で、選べるのは完了していないタスクだけ。項目の検証は、Asanaの設定に従う |
| Freshdesk | Sproutのプランでは、APIが使えないため連携できない。項目を数字だけにはできず、文字を含める必要がある |
| Freshservice | 全てのチケットで連絡先が必須。自動で入る要約と説明が数字だけになる場合は、直す必要がある。項目を数字だけにはできない |
| GitLab Issues | IssueかIncidentを選ぶ。選べるのは、完了していないエピックとマイルストーンだけ。Drataでは、完了していないものは進行中、完了したものは完了として表示される |
| Height | Freshdeskと同じく、項目を数字だけにはできない |
| Aha! | チケットの種類は「To-do」だけ。任意の項目はDrataのチケットの作成の画面に表示されず、必須の項目だけが表示される |
Jiraのチケットの自動作成
チケットの自動作成は、Jiraとの連携だけで使える機能です。Jiraと連携している場合は、ルールを決めておくと、コントロールやテストの出来事に応じて、Jiraのチケットを自動で作れます。Jiraのチケットの自動作成のルールを作れるのはAdminとDevOps Engineerのロールのユーザーです。Jiraとの連携の設定と編集はAdminが行います。
Jiraとの連携の書き込みを有効にする
Write Accessは、Jiraとの連携を最初に設定するときにも、後から連携を編集するときにも有効にできます。後から有効にする場合も、Jiraをつなぎ直す必要はありません。
- 複数のJiraのアカウントをつなぎ、それぞれで
Write Accessを有効にできます。 - 設定を変えるときは、編集する連携のJiraのアカウントでサインインしている必要があります。チケットを作れない場合は、正しいJiraのアカウントでサインインしているかを確かめてください。
- JiraとDrataの表示が合わない場合は、Drataの画面を更新すると、最新の情報が読み込まれます。
Jiraのチケットの自動作成のルールを作る
Settings→Ticket automationを開きます。- 複数のワークスペースがある場合は、ルールを作るワークスペースを選びます。ワークスペースの選択が表示されない場合、Jiraのチケットの自動作成のルールは主ワークスペースに当てはまります。
- Jiraのチケットを作るきっかけの出来事を選びます。
- ルールの範囲を絞り込みます。
- チケットの作成先として、Jiraの必須の項目を入れます。
きっかけの出来事は、次の3つから選びます。ルールを保存した後は変えられません。変えるときは、ルールを削除して作り直します。
| きっかけの出来事 | 絞り込みの条件 |
|---|---|
コントロールの準備状況がNot Readyになった | コントロールのモニタリングの状態、証跡の要否、コントロールオーナー、フレームワーク。コントロールオーナーを複数選ぶと、選んだオーナーのいずれかが担当するコントロールが当てはまる |
テストの結果がFailedになった | テストのカテゴリー、テストの種類（選べる場合） |
テストの結果がErrorになった | テストのカテゴリー、テストの種類（選べる場合） |
テストの結果をきっかけにする場合は、対象のテストのカテゴリーを選びます。Allを選ぶと、インフラストラクチャーのテストも含まれ、テストの種類を選ぶように求められます。
| テストの種類 | 内容 |
|---|---|
Production tests only | 稼働中の本番環境で実行されるテスト |
Codebase tests only | デプロイの前に、ソースコードに対して実行されるテスト |
Both production and codebase tests | どちらの環境で失敗してもJiraのチケットを作る |
インフラストラクチャー以外のカテゴリーだけを選ぶ場合は、Specific categoriesを選んでカテゴリーを選び、Continueを選びます。この場合、対象は本番環境のテストだけで、コードベースのテストは選べません。
Jiraのチケットの自動作成のルールが実行される仕組み
- ルールは毎晩実行されます。
- 条件に合う出来事ごとに、Jiraのチケットが作られます。
- 同じ出来事について、自動のJiraのチケットが重ねて作られることはありません。
- 複数のワークスペースでJiraをつないでいる場合、Jiraのチケットの自動作成のルールはワークスペースごとに作れますが、実行には主ワークスペースのデータが使われます。
【運用のポイント】 Jiraと連携している場合は、テストの失敗のたびに手作業でチケットを作る代わりに、失敗やエラーを自動でJiraのチケットにすると、作業の漏れを防げます。作ったチケットはコントロールやテストに結び付くため、是正の経緯を後から確かめられます。