手順についてサポートが必要な場合は、Iru サポートにお問い合わせください。
仕組み
フレームワークを選択し、コントロールとアクションを調整し、証跡を(手動または ソース から)添付し、フレームワークとアクションのビューで準備状況を追跡します。インテグレーションが接続され、アクションの説明にシステムと証跡の種類が明確に記載されていれば、インテグレーションが自動的に証跡を添付できます。 インテグレーションやポリシーアーティファクトが変更されると、Adaptive Compliance がコントロールとアクションのテキストの更新を提案することがあります。ポリシーの公開と更新はポリシー管理で行います。各推奨事項を確認し、必要な変更のみを承認します。このワークフローによって監査期間やアップロード済みの証跡が変更されることはありません。コアワークフロー: フレームワークからコンプライアンスまで
フレームワークのセットアップ
1
アカウントメニューボタンに移動する
サイドバーで アカウントメニューボタン を選択します(コンプライアンスの開始の推奨される設定と同じ流れです)。
2
Organization profile を開く
組織 を選択して Organization profile を開きます。フレームワークのセットアップ中に Iru から入力を求められる場合もあります。
3
編集モードに入る
Organization profile で、右上の 編集 を選択します。
4
会社の詳細を入力する
該当するフィールドに入力します。例: 会社のロゴ、会社名、事業内容、業種、事業形態、企業規模、会社の言語、IT 部門の有無、セキュリティチームの規模。環境の変化に応じて、この情報を最新の状態に保ってください。
5
変更を保存する
変更を保存 を選択します。
6
フレームワークに移動する
左側のナビゲーションバーで コンプライアンス を展開し、フレームワーク を選択します。
7
フレームワークと開始点を追加する
フレームワークを追加 を選択して標準を選び、[フレームワーク] の開始点を選択(生成、移行、CSV、または手動)を完了します。フレームワーク管理を参照してください。
8
コントロールとアクションを調整する
必要に応じて、生成またはインポートされたコントロールとアクションを確認して編集します。
コントロールの管理
1
コントロールを確認する
各フレームワークを開き、生成またはインポートされたコントロールを確認します。
2
コントロールをカスタマイズする
組織の運用方法に合うように、文言を編集したり、コントロールを追加したり、項目を削除したりします。ISO 27001 と ISO 42001 では、コントロール名と説明は固定されているため、組織固有の詳細は実装メモとリンクされたアクションに記載してください。後で ソース やポリシーアーティファクトが変更された場合は、ホーム → インサイト またはフレームワークの コントロールの更新を確認 で Iru AI の推奨事項を確認してください。ポリシーはポリシー管理で更新します。Adaptive Compliance を参照してください。
3
マッピングと検証
各コントロールが引き続き正しいフレームワークの要件にマッピングされていること、および担当者と証跡に関する期待事項が明確であることを確認します。
アクションの実行
1
アクションを割り当てる
アクションを担当者に割り当て、期限を設定します。
2
説明を確認する
担当者はアクションのテキストを読み、必要な証跡を確認します。
3
証跡を収集する
アーティファクトをアップロードするか、説明と権限が許可する場合は接続された ソース に添付させます。
4
共同作業する
作業を担当者間で移す必要がある場合は、コメントと委任を使用します。
5
進捗を追跡する
アクション のビューとフレームワークの準備状況で、ステータスと期限を確認します。
証跡の管理
1
アーティファクトをアップロードする
アーティファクト から、または UI でアップロードが提供されている場合はアクションやコントロールから、ファイルを追加します。
2
ソースを使用する
アクションのテキストと権限が一致したときにインテグレーションがアーティファクトを添付できるように、ソース を接続します。
3
検証とリンク
製品がサポートしている場合は検証を実行し、アーティファクトが正しいアクションとコントロールに配置されていることを確認します。
4
監査に向けて確認する
監査期間の前に、必要な証跡が揃っていて最新であることを抜き取りで確認します。
準備状況の評価
1
進捗を監視する
フレームワークとアクションのビューを使用して、未完了の項目を確認します。
2
ギャップを解消する
準備状況を報告する前に、不足しているアクション、不十分な証跡、または失敗した検証を修正します。
3
ステータスを報告する
テナントが提供するレポートを使用して、関係者向けにステータスをエクスポートまたは要約します。
インテグレーションのワークフロー
証跡の自動収集
1
ソースを接続する
コンプライアンス を展開して ソース を選択し、各インテグレーションのトグルをオンにします。コネクタガイドについては、ソース管理を参照してください。
2
実行可能な説明を記述する
コネクタが取得すべきものを判断できるように、各アクションにシステムと証跡の種類を記載します(アクション管理を参照)。
3
ソースを同期させる
ソースはスケジュールに従って更新され、ステータスと最終同期日時が各ソースのカードに表示されます。新規、更新、または削除された接続によって、約 1 日以内にコントロール更新の推奨事項が表示されることがあります。Adaptive Compliance を参照してください。
4
検証と確認
アクションまたはコントロールで、添付されたアーティファクトと検証結果を確認します。
証跡の手動アップロード
1
ファイルを選択する
アクションまたはコントロールの要件を満たすポリシー、エクスポート、スクリーンショット、その他のファイルを選択します。ポリシーはポリシー管理で作成するか、アーティファクト からファイルをアップロードします。
2
アーティファクトまたはアクションでアップロードする
求められたらタイトルと説明を追加してから、アップロードします(アーティファクト管理を参照)。
3
検証を確認する
失敗した検証に対処するか、古くなったファイルを差し替えます。
コラボレーションのワークフロー
チームの調整
1
割り当てと委任
アクションを担当者に割り当て、責任が移った場合は再割り当てまたは委任します。
2
コメントとアクティビティを使用する
質問にはコメントを使用し、変更内容の確認にはアクティビティログを使用します。コンプライアンスのアクティビティをテナント全体で確認するには、Unified Activity を参照してください。
3
期限を確認する
作業が停滞しないように、期限と通知を追跡します。
監査の準備
1
証跡をまとめる
必要な各コントロールに、Iru 内で裏付けとなるアーティファクトがあることを確認します。
2
ギャップを修正する
監査の前に、不足しているファイルをアップロードし、失敗した検証を修正し、またはアクションを調整します。
3
レビュー担当者向けにまとめる
監査人が求める資料一式(プロセスに応じて、レポート、フォルダー、または Trust Center のリンク)をエクスポートまたは引き渡します。
関連記事
コンプライアンスの開始
推奨される設定順序。
ポリシー管理
ポリシーライブラリ、公開、確認。
アーティファクト管理
アップロード、検証、およびアクションへの証跡のリンク。
アクション管理
作業の割り当てとアクションへの証跡の添付。
Adaptive Compliance
ソースやポリシーの変更後に、コントロールとアクションの更新を確認します。