Drataとは

Drataは、GRC（ガバナンス、リスク、コンプライアンス）の取り組みを1つの画面にまとめ、証跡の収集とモニタリングを自動化するコンプライアンスの自動化のプラットフォームです。このページでは、コンプライアンスの自動化で何が変わるか、Compliance、Risk、Governanceの3つの領域、複数のフレームワークをまとめて進める仕組み、SafeBaseとの役割分担を説明します。

コンプライアンスの自動化で変わること

Drataは、取り組みの開始から監査を受けられる状態になるまでと、その後の維持を自動化します。取り組みを始めたばかりの企業から、GRCのチームと実務が整った大企業まで、成熟度を問わず使えるように作られています。

自動化を支える仕組みは、次の2つです。

仕組み	内容
連携	クラウド基盤、IDプロバイダー、人事システム、セキュリティー製品などとつなぎ、設定やアカウントの情報を集める
モニタリングテスト	連携で集めた情報をもとに、設定がベストプラクティスに沿っているかを確かめる。テストはAutopilotの仕組みで毎日自動で実行され、結果は証跡として自動で記録される

ただし、どのフレームワークも、全てを自動化できるわけではありません。システムから自動で集められない証跡もあります。Drataでは、こうした手作業の証跡をファイル、URL、チケットとして登録し、更新期限を管理する流れも用意しています。自動で集めた証跡と手作業の証跡を1カ所で見られるため、取り組み全体の状況を把握しやすくなります。

【運用のポイント】 Drataが重視しているのは、継続的モニタリングによって、年間を通じて監査に備えた状態を保つことです。監査の直前に証跡を集めるのではなく、テストの失敗や証跡の更新期限切れを日々の作業の中で解消していく運用を前提に設計すると、Drataの仕組みを活かせます。

画面の3つの領域

New Experienceのナビゲーションは、扱う対象ごとに区分が分かれています。中心になるのは、Compliance、Risk、Governanceの3つの区分です。

New Experienceの左側のナビゲーション。Compliance、Risk、Governanceなどの区分と、下部のConnections、Library、Settingsが並ぶ

区分	扱う内容	主なページ
Compliance	コントロール、フレームワーク、証跡、監査、モニタリング	Controls、Frameworks、Evidence、Audits、Monitoring
Risk	リスク、資産、脆弱性	Risk Management、Risk Insights、Assets、Vulnerabilities
Governance	要員、ポリシー、アクセスレビュー	Personnel、Policies、Access Reviews

この3つのほかに、次の区分とページがあります。

区分・ページ	扱う内容
Quick Start	初期設定の進め方の案内
Dashboard	フレームワークごとの準備状況、テストの傾向、ポリシーの状態などの概要
Tasks	割り当てられた作業と期限
Events	ユーザーの操作や自動の処理（Autopilotなど）の記録
Vendors	ベンダー管理と、ベンダーに送る質問票
Connections	連携の追加と管理
Library	テストのカタログ（Library → Tests）
Settings	個人の設定、組織の設定、構成の設定

ナビゲーションにはTrustの区分もあります。各ページの役割は、基本用語集と、それぞれの部のページで説明します。

複数のフレームワークをまとめて進める仕組み

Drataでは、複数のフレームワークを重複した作業なしに並行して進められます。その中心にあるのが、フレームワーク、要求事項、コントロールの3つの階層と、Drata Control Framework（DCF）です。

フレームワーク、要求事項、コントロールの関係

フレームワークは、満たすべき要求事項を定めます。コントロールは、それらの要求事項を満たすために組織が実施する具体的な対策です。Drataでは、コントロールを要求事項にマッピングし、コントロールの状態から、要求事項とフレームワークの準備状況を判断します。

Drata Control Framework（DCF）

DCFは、Drataが用意する、特定のフレームワークに依存しないコントロールの体系です。DCFの1つのコントロールは、SOC 2、ISO 27001など複数のフレームワークの、似た内容の要求事項に対応するように作られています。そのため、1つのコントロールを実施すれば、複数のフレームワークの要求事項にまとめて対応できます。

それぞれのコントロールは、フレームワークの要求事項、リスク、ポリシー、モニタリングテストなどとつながっていて、Drataの自動化の起点になります。

【注意】 DCFは導入を早めるための出発点で、全ての組織にそのまま当てはまるものでも、全てを網羅したものでもありません。自社の事業、使っている技術、許容できるリスクに照らしてコントロールを見直し、必要に応じて変更してください。DCFは、フレームワークの追加や改訂に合わせて定期的に更新されます。

フレームワークの2つの種類

Drataのフレームワークには、次の2つの種類があります。

種類	内容
事前にマッピングされたフレームワーク	要求事項が、あらかじめDCFのコントロールにマッピングされている
要求事項だけのフレームワーク	DCFのコントロールにマッピングされていない。要求事項を、既存のDCFのコントロールや独自に作ったコントロールに自分でマッピングする

準備状況の考え方

Drataは、監査を受けられる状態にどこまで近づいたかを、準備状況（Readiness）として示します。準備状況は、次のように積み上がります。

対象	準備完了（Ready）になる条件
コントロール	承認が必要な場合は承認が済み、マッピングされた証跡が有効で、対象（In scope）の要求事項の少なくとも1つに含まれている
要求事項	マッピングされたコントロールが全て準備完了である
フレームワーク	対象のコントロール、または対象の要求事項のうち、準備完了のものの割合で示す

フレームワークの準備状況は、Frameworksページで、コントロールの数で測るか（既定）、要求事項の数で測るかを切り替えられます。DashboardのReadiness overviewでは、フレームワークごとに準備完了のコントロールの割合を確認できます。

Dashboardの画面。上部のReadiness overviewにフレームワークごとの準備状況が並び、下にテストの傾向やポリシーの状態が表示される

【運用のポイント】 要求事項の数で測ると、マッピングされたコントロールが1つでも準備未完了の要求事項は準備未完了になるため、割合が大きく下がることがあります。特にSOC 2では違いが出やすいため、両方の見方を比べて、残っている作業を把握してください。

SafeBaseとの役割分担

SafeBaseは、Drataの製品群の一つです。Drataが社内のコンプライアンスの取り組みを整えて監査に備えるための製品であるのに対し、SafeBaseは、その成果を社外に示し、顧客から届く質問票への回答を効率化するための製品です。

製品	役割	主な機能
Drata	社内のコンプライアンスの取り組みを管理し、監査に備える	コントロール、モニタリング、証跡、ポリシー、要員、リスク、ベンダー、監査
SafeBase	自社のセキュリティーの情報を社外に示し、質問票への回答を効率化する	Trust Center、ナレッジベース、AI Questionnaire Assistance（AIQA）

New ExperienceのDrataの画面には、社外向けにセキュリティーの情報を公開するページはありません。社外への公開は、SafeBaseのTrust Centerで扱います。

2つの製品は、次のようにつながります。

• SafeBaseのDrataの連携で、Drataの公開済みのポリシー、準備完了のコントロール、会社の情報をSafeBaseに同期できます。同期はDrataからSafeBaseへの一方向です。
• DrataのTrust Userロールを付けたユーザーは、SSOのリンクからSafeBaseに入れます。このロールでDrataの権限は増えません。
• Drataのベンダー管理では、ベンダーのSafeBaseのTrust CenterのURLを登録すると、ベンダーの情報の画面でそのTrust Centerを確認できます。

SafeBaseの仕組みとDrataとの連携の詳細は、SafeBaseとはで説明します。