フレームワーク管理

フレームワーク ページでは、組織が追跡する標準(SOC 2、ISO 27001、ISO 42001、HIPAA、およびテナントに表示されるその他の標準)を選択します。フレームワークを追加 と [フレームワーク] の開始点を選択 を使用して、コントロールを生成、インポート、または構築します。その後、アクションと証跡の収集が続きます。移行時には、別のツールからインポートしたり、CSV をアップロードしたりすることもできます。

​

仕組み

標準(またはカスタムフレームワーク)を選択し、組織プロファイルから最適化されたコントロールを生成するか、コントロールをインポートするか、手動で構築します。Iru は、定義した内容をフレームワークの要件にマッピングします。 カタログにない社内ポリシーが必要な場合は、組み込みの標準とカスタムフレームワークを並行して運用できます。 インテグレーションやポリシーアーティファクトが変更されると、Iru AI がフレームワークのカード、フレームワークの詳細ページ、または ホーム → インサイト に コントロールの更新 の推奨事項を表示することがあります。ポリシーの公開と更新はポリシー管理で行います。左右に並べた差分を確認し、適用するものを承認します。確定するまで何も変更されません。Adaptive Compliance を参照してください。

​

機能

​

フレームワークの追加

​

AI による最適化

[フレームワーク] の開始点を選択 で カスタマイズしたコントロールを生成 を選択した場合は、プロンプト(会社のプロファイル、目標、技術スタック、およびそのフレームワークについて Iru が尋ねるその他の質問)に順に回答します。その後、Iru はフレームワークの要件にマッピングされた最適化されたコントロールとアクションを生成します。

​

フレームワークまたはコントロールのインポート

このセクションは、[フレームワーク] の開始点を選択 で 入力済み CSV をアップロード、Vanta から移行、または 汎用コントロールフレームワークを使用 を選択した場合、あるいは フレームワーク → インポート を開いてテナントに追加のプロバイダー(例: Drata、Secureframe、Sprinto)が表示される場合に使用します。

• インポートされたデータは、インテグレーションがサポートしている範囲で、Iru のマッピングに合わせて正規化されます。
• 入力済み CSV をアップロード: CSV テンプレートをダウンロードして記入し、アップロードします。その後、コントロールを追加、編集、削除できます。
• 別のツールからの移行: 該当する場合、移行元の製品の API キーが必要です:
  • Vanta: Vanta API アクセス
  • Drata: Drata 公開 API
  • Secureframe、Sprinto: テナントにこれらのプロバイダーが表示される場合は、フレームワーク → インポート を使用します。

移行時の動作(概要)

• SOC 2: サポートされているベンダーからの移行では、通常、要件と内部コントロールが Iru の構造にマッピングされる形式で取り込まれます。
• ISO 27001 と ISO 42001: 動作は移行元によって異なります:
  • Vanta: 要件とコントロールの完全な移行がサポートされています。
  • Drata、Secureframe、Sprinto: これらの製品は ISO のコントロールを Iru とは異なる方法でモデル化している(例: 要件ごとに 1 つのコントロール)ため、ISO のインポートは制限されることがよくあります。ISO を一括でインポートすると、Iru の最適化されたコントロールと一致しない硬直したコントロールセットになる可能性があります。

Drata、Secureframe、または Sprinto から ISO を移行する場合、Iru に組織プロファイルから最適化されたセットを生成させたいときは、ISO のコントロールを直接インポートする代わりに、[フレームワーク] の開始点を選択 で 汎用コントロールフレームワークを使用 を選択してください。インポートとは別に、既存のドキュメントを引き続き参照できます。 完全なカスタムフレームワーク(カタログにない社内ポリシーや標準)を追加するには、フレームワークを追加 とテナントが提供するカスタムプログラム用の方法を使用するか、フレームワークのレコードを作成した後にコントロールを手動で定義します。

​

フレームワークの管理

リストからフレームワークを開いた後(コントロールを表示)、以下を行うことができます:

• そのフレームワークの 準備状況 と全体的な進捗を確認する
• ページヘッダーで エクスポート または コントロールを追加 を選択する
• 生成またはインポートされたコントロールの完全なリストを確認する
• コントロールの生成中、またはレビュー待ちのコントロールを見つけるために、すべてのコントロール を検索およびフィルタリングする(例: ステータス や 要確認 で)
• コントロールをカスタマイズする(会社の状況に応じて編集、追加、削除)
• 各コントロールがマッピングされているフレームワークの具体的な要件を確認する
• 各コントロールに添付されているアクションのリストを確認する
• アクションとコントロールにリンクされているアーティファクトを確認する
• フレームワーク内のすべてのコントロールの準備状況を 1 か所で追跡する
• Iru AI にコントロールとアクションのテキストに関する保留中の推奨事項がある場合、フレームワークのヘッダーまたはカードから コントロールの更新を確認 を開く(ホーム → インサイト と同じワークフロー)。Adaptive Compliance を参照してください。

ISO 27001 と ISO 42001 では、テキストが公式のフレームワークの文言と一致するように、コントロール名と説明は固定されています。組織固有の詳細は、コントロール自体を編集するのではなく、実装メモとリンクされたアクションに記載してください。

​

関連記事