ポリシー管理

Policies ページでは、管理者がセキュリティおよびコンプライアンスポリシーを作成、公開し、確認状況を追跡します。 左側のナビゲーションバーで コンプライアンス を展開し、Policies を選択します。

​

ポリシー管理

Policies モジュールは、組織のセキュリティおよびコンプライアンスポリシーのドキュメントを、下書きから公開、従業員による確認まで管理します。 ポリシーは、Policy Library(一般的なフレームワークに沿ったテンプレート)から追加するか、組織プロファイルとセットアップフォームを使用してテンプレートから Iru AI で最初の下書きを生成するか、既存の PDF または DOCX をアップロードして追加できます。下書きは公開するまで編集可能です。公開すると、ポリシーはテナント内のすべてのユーザーに確認用として割り当てられます。 ポリシーは アクション を通じてコンプライアンスプログラムに接続されます。公開済みまたはアップロード済みのポリシーをアクションに添付すると、フレームワークの証跡として使用できます。ポリシーとフレームワークの関係を参照してください。 管理者は Compliance → Policies(マイポリシー タブと ユーザー タブ)で作業します。従業員ユーザーは、管理ビューとは別の My assigned policies から、割り当てられたポリシーを読んで確認します。ポリシーの確認を参照してください。 ポリシーを作成、公開、表示できるユーザーはロールによって異なります。コンプライアンス権限を参照してください。

​

Policies ページ

左側のナビゲーションから Policies を開きます。このページには 2 つのタブがあります:

• マイポリシー: 組織内のすべてのポリシーをカテゴリ別にグループ化して表示します。
• ユーザー: ユーザーごとの確認の進捗状況。ポリシーの確認を参照してください。

カテゴリのサイドバーでは、ライブラリに表示されるのと同じ 9 つのカテゴリでポリシーをフィルタリングします: Governance & Risk、Access Control & Identity、Data Protection & Privacy、Security Operations、Vendor & Third-Party、Infrastructure & Network、Software Development、People & Workforce、Business Continuity。名前でポリシーを検索するには、ポリシー名またはファイル名で検索… を使用します。

​

ポリシーのステータス

すべてのポリシーは 下書き または Published のいずれかです。 ポリシーを変更したユーザーと日時を確認するには、ポリシーの詳細ページの Audit log を使用します。

​

公開時の動作

公開 を選択すると、次の 3 つのことが行われます: ユーザーは、次に My assigned policies を開いたときに新しい割り当てを確認できます。ポリシーの詳細ページと マイポリシー のカードにある確認数はすぐに更新されます(例: 2 of 85 acknowledged)。

​

ポリシーの追加方法

ポリシーは、ライブラリから、ファイルのアップロードによって、または アーティファクト から追加できます。それぞれの方法は UI 内の異なる場所から開始します:

​

セットアップフォームを完了して生成する

テンプレートからポリシーを生成する前に、以下が必要です:

• Organization Profile が入力されている必要があります。Iru はこれを使用してセットアップフォームに事前入力します。必須フィールドが不足している場合は、生成を開始する前に入力するよう求められます。
• 下書きのポリシーを作成および編集する権限が必要です。コンプライアンス権限を参照してください。

​

テンプレートから生成する

Policy Library には、SOC 2、ISO 27001、GDPR、HIPAA、CIS、およびその他のフレームワークで一般的なトピックに関する事前構築済みのテンプレートがあります。Policies → マイポリシー から、右上の + Add a policy を選択します。ポリシーリストの代わりにライブラリが開きます。 カテゴリのサイドバーでテンプレートをフィルタリングします: すべて、Governance & Risk、Access Control & Identity、Data Protection & Privacy、Security Operations、Vendor & Third-Party、Infrastructure & Network、Software Development、People & Workforce、Business Continuity。 名前でテンプレートを検索するには、ポリシーテンプレート名で検索… を使用します(例: 「Incident Response」や「Encryption」)。 各テンプレートカードには、ポリシー名、短い説明、フレームワークのラベル、および In use または Not used が表示されます。カードにカーソルを合わせると、Use this template と Upload policy が表示されます:

• フレームワークのラベル(例: SOC 2 • ISO 27001)。テンプレートがどのフレームワーク向けに作成されたかを示します。ポリシーをそれらのフレームワークにリンクするものではありません。公開後に、公開済みのポリシーをアクションに添付してください。
• In use または Not used: 組織がこのテンプレートのポリシーをすでに持っているかどうか。Iru は重複をブロックしません。In use は、このテンプレートのポリシーがすでに存在することを意味します。

​

生成される下書きについて

​

生成された下書きの編集

すべてのセクションを読み込んだら、公開する前に下書きを確認します。役割とツールが組織に合っていること、および例外プロセスがデフォルトを反映していることを確認してください。 ポリシーの詳細ページには、セクションの準備ができるまで ポリシーを生成しています… と表示されます。Generation inputs カードには、この下書きに使用されたセットアップフォームの回答が一覧表示されます。マイポリシー に戻らずにポリシー間を移動するには、右上の上下の矢印を使用します。 生成された下書きは、次の 2 つの方法で編集できます: インラインでの入力内容の切り替え。 セットアップフォームで選択した内容(範囲、分類、担当者、レビュー頻度などのフィールド)に由来する部分は、グラデーションで強調表示されます。強調表示された部分にカーソルを合わせるか選択するとポップオーバーが開き、同じ入力フィールドの別のオプションに切り替えたり(例: Quarterly → Annual)、テキストがどの入力フィールドに由来するかを確認したり(例: 「Review frequency」)できます。各切り替えはポリシーの監査ログに記録されます。 自由なテキスト編集。 段落、見出し、またはリスト項目の任意の場所を選択して入力を開始します。強調表示された部分を編集すると、グラデーションが削除されます。生成されたテキストを自分の言葉で書き直すと、通常の本文テキストになります。自由なテキスト編集は監査ログに記録されます。 最初のセクションが読み込まれると、エディターの上にツールバーが表示されます: カーソルが段落または見出しにあるときは、ブロックの横の左余白に挿入ボタンが表示されます。これを選択すると、現在のブロックの下に段落、見出し、またはリストを追加できます。 下書きは編集中に自動保存されます。すべてのセクションが読み込まれて下書きの準備ができたら、公開 を選択します。公開時の動作を参照してください。

​

ポリシーのアップロード

この方法は、ポリシーがすでに作成され、PDF または DOCX として保存されている場合に使用します。完成したファイルをアップロードするため、Iru はテンプレートからコンテンツを生成しません。Iru がポリシーを適切なトピックに分類できるように、ドキュメントと同じカテゴリのテンプレートカードを選択してください。 アップロードすると 下書き のポリシーが作成されます(ポリシーのステータスを参照)。ファイルは、ポリシーの詳細ページで読み取り専用のプレビューとして開きます。 後で内容を変更するには、作成ツールでソースファイルを編集してから、更新したファイルで新しいポリシーを追加します。既存のレコードに再アップロードすることはできません。新しいバージョンの準備ができたら、元のポリシーで Unpublish policy または Delete upload を選択します。

​

カスタムポリシーのアップロード

この方法は、ドキュメントがどのライブラリのテンプレートにも一致しない場合に使用します。カスタムポリシーとは、Policy Library のテンプレートに基づかない、アップロードしたポリシーです。カスタムポリシーも任意のポリシーカテゴリ(または カスタム)に分類できます。 Add a policy の下部、テンプレートカテゴリの下に、Upload a custom policy のタイルがあります。+ Start custom policy を選択すると、アップロードパネルが開きます。ポリシーの詳細ページで別のカテゴリを選択しない限り、カテゴリが カスタム のポリシーが作成されます。 アップロードすると 下書き のポリシーが作成されます。このポリシーは、次の両方の場所に同時に表示されます:

• Artifacts タブ: Type = Policy でフィルタリングできます。
• Policies → マイポリシー: カテゴリ カスタム(または選択したカテゴリ)のポリシーとして表示されます。サイドバーの 9 つのカテゴリのいずれも選択しなかった場合は、すべて または検索を使用して見つけてください。

どちらのビューで編集しても、同じレコードが更新されます。 カテゴリ: ポリシーが Draft の間は、ポリシーの詳細ページから編集できます。管理者は任意のカテゴリを選択するか、Custom に戻すことができます。ポリシーが Published になると、ドロップダウンは非表示になります。 タイプ: アップロード後に Artifacts タブから変更できます:

• 別のタイプ(Procedure、Register、Other)に変更すると、Policy レコードが削除され、Policies タブに表示されなくなります。
• ポリシー以外のアーティファクトをポリシーに変更できるのは、ファイルが PDF または DOCX の場合のみです。その他の形式は、先に差し替える必要があります。

ファイルを更新するには、ローカルで編集し、新しいポリシーとしてアップロードしてから、元のポリシーで Unpublish policy または Delete upload を選択します。

​

Artifacts からのアップロード

アーティファクト から + Add artifact(s) を選択し、PDF または DOCX を添付して、Artifact type を Policy に設定します。Policy type(任意のライブラリカテゴリまたは カスタム)を選択し、Mapped action(s) を確認してから、Add artifact を選択します。

• カテゴリを選択した場合: ポリシーはそのカテゴリに分類されます。
• 空白のままにするか Custom を選択した場合: Iru はポリシーを Custom カテゴリに分類します。

アップロードすると 下書き のポリシーが作成され、カスタムポリシーのアップロードと同様に、Policies → マイポリシー と アーティファクト タブに表示されます。一般的なアーティファクトのアップロードについては、アーティファクト管理を参照してください。

​

ポリシーの詳細ページ

マイポリシー から任意のポリシーを開きます。 ページの上部には、ポリシー名、ステータス(下書き または Published)、カテゴリ、説明、および添付されたアクションのバッジが表示されます。カテゴリは、ポリシーがまだ 下書き の間に変更してください。バッジを選択すると、そのアクションが開きます。下書きには 公開 が表示されます。下書きに対する操作は、省略記号(⋯)メニューから行います。生成された下書きには 削除、アップロードされた下書きまたはカスタムの下書きには Delete upload があります。公開済みのポリシーでは、Unpublish generated policy または Unpublish policy を選択すると下書きに戻ります。上下の矢印を使用すると、マイポリシー に戻らずにリスト内の前後のポリシーに移動できます。 ポリシーのドキュメントは、このヘッダーの下に表示されます。アップロードされた PDF と DOCX ファイルは、読み取り専用のプレビューとして開きます。テンプレートから生成されたポリシーはエディターで開きます。生成された下書きの編集を参照してください。 右側の Policy lifecycle では、生成または下書きのステータスを追跡し、公開後は確認の進捗状況(例: 2 of 85 acknowledged)を追跡します。所有者 には、ポリシーを管理するユーザーが表示されます。Audit log には、ポリシーを変更したユーザーと日時が記録されます。生成された下書きでは、Generation inputs カードにポリシーの作成に使用されたセットアップフォームの回答が表示されます。

​

ポリシーとフレームワークの関係

ポリシーはフレームワークに直接リンクされているわけではありません。リンクはアクションを介して行われます: ポリシー → 添付先 → アクション → 所属先 → コントロール → 所属先 → フレームワーク ポリシーをフレームワークにカウントするには、そのフレームワーク内の 1 つ以上のアクションにポリシーを添付します。添付されたポリシーは、各アクションの詳細ページに証跡として表示されます。それらのアクションは、ポリシーの詳細ページにバッジとして表示されます。

​

添付の作成方法

Iru は、次の 2 つの方法でこれらの添付を作成します:

• アップロード時に自動的に。 ファイルをポリシーとしてアップロードすると(アーティファクト、ライブラリのテンプレートカードの Upload policy、または Upload a custom policy から)、Iru はアクティブなフレームワーク内のアクションとファイルを照合し、適合する箇所に添付します。アップロードパネルまたはポリシーの詳細ページで添付を確認し、該当しないものを削除したり、手動で追加したりしてください。
• いつでも手動で。 任意のアクションの詳細ページから、既存のポリシー(またはその他のアーティファクト)を証跡として添付します。Iru が見落としたアクションや、Iru を通じてアップロードされなかったポリシーに使用してください。

​

フレームワークが表示される場所

• Policy Library では、各テンプレートカードに「SOC 2 • ISO 27001」などが表示されます。これはカタログのメタデータです。テンプレートがどのフレームワーク向けに作成されたかを示すもので、アクティブなフレームワークへのリンクではありません。
• セットアップフォームでは、Compliance frameworks の手順によって生成されるコンテンツが決まり(例: GDPR を選択した場合の GDPR 固有の条項)、下書きにスナップショットが保存されます。公開済みのポリシーをそれらのフレームワークにリンクするものではありません。
• ポリシーの詳細ページでは、フレームワークへのリンクはアクションのバッジの行です。各バッジには、添付されたアクションとそのフレームワークが表示されます。

​

ポリシーの削除

ポリシーの削除は永続的です。省略記号(⋯)メニューを開き、生成された下書きでは 削除、アップロードされた下書きまたはカスタムの下書きでは Delete upload を選択します。これにより、ファイル、ポリシーのレコード、およびそのアーティファクトの監査履歴がすべて削除されます。元に戻すことはできません。 公開済みのポリシーを下書きに戻すには、省略記号(⋯)メニューを開き、Unpublish generated policy または Unpublish policy を選択します。

​

ポリシーの確認

ポリシーを公開すると、Iru はテナント内のすべてのユーザーにポリシーを割り当て、確認したユーザーと日時を記録します。進捗状況は、Policies → Users と各公開済みポリシーの詳細ページで追跡します。

​

Users タブ

公開されたすべてのポリシーは、公開時にテナント内のすべてのユーザーに割り当てられます。ポリシーごとに受信者を選択する機能はありません。 Policies → Users(2 番目のタブ)を開きます。表には、各ユーザーと確認の進捗状況が一覧表示されます: 表をフィルタリングするには、Search by name or email を使用します。検索バーの横には 2 つのドロップダウンフィルターがあります:

• Role: テナントのロール(管理者、監査人、Collaborator、または Employee)でフィルタリングします。ドロップダウンを開いて 1 つ以上のロールを選択し、フィルターをリセットするには Clear を使用します。
• Policy: 特定のポリシーが割り当てられたユーザーに絞り込みます。ドロップダウンを開いて名前で 1 つ以上のポリシーを検索または選択し、フィルターをリセットするには Clear を使用します。

検索、ロール、ポリシーのフィルターは組み合わせて使用できます。エクスポート を選択すると、現在フィルタリングされているリストの CSV をダウンロードできます:

• Export by user: ユーザーごとに 1 行。列には、名前、メール、Acknowledged、Total assigned、および割り当てられたポリシーごとに 1 列が含まれます。ポリシーの列には、ユーザーがそのポリシーを確認した場合は確認日が表示され、それ以外の場合は空白になります。
• Export by policy: ポリシーごとに 1 行。列には、Policy、Total users assigned、Total users acknowledged、Acknowledged users(確認した各ユーザーの名前とメールアドレス)が含まれます。

Acknowledged 列には、各ユーザーが完了した割り当て済みポリシーの数(N / 合計)が表示されます。確認状況の概要は、各公開済みポリシーの詳細ページにある右サイドバーの Lifecycle カードにも表示されます(例: 7 of 10 acknowledged)。 Iru は、ポリシーの確認がまだ完了していないユーザーに、毎週月曜日にリマインダーメールを送信します。 従業員向けのビューをプレビューするには、Policies の右上にある My assigned policies → を選択します。戻るには ← Back to admin view を選択します。

​

My assigned policies

ポリシーが自分に割り当てられると、次にこのビューを開いたときにここに表示されます。My assigned policies は、Policies ページ(My assigned policies →)から、またはテナントで提供されている場合は従業員向けナビゲーションのエントリポイントから開きます。

​

ポリシーの確認方法

​

関連記事