NIST CSF Informed by Drata：コントロールの結果から財務エクスポージャーへ

はじめに

コントロールのエビデンスから財務エクスポージャーへ。

X-AnalyticsをDrataに接続すると、このエージェントがコントロールの結果をフレームワークのプロファイルに反映し、優先順位付きのアクションリストを作成します。各アクションには、それによって低減できるエクスポージャーが示されます。

X-Analyticsの最高イノベーション責任者であるBob Vescioが、X-Analytics AI ToolboxのNIST CSF Informed by Drataエージェントを順を追って解説します。

機能概要

NIST CSF Informed by Drataエージェントは、X-Analytics AI ToolboxのAIエージェントです。Drata Control Frameworkの結果を読み取ってNIST CSF 2.0またはCIS CSC 8.1のプロファイルに反映し、財務的な観点で示したサイバーリスクのエクスポージャーと、優先順位付きのアクションリストを返します。

これにより、すでに作成しているコントロールのエビデンスから、それが表す財務エクスポージャー、そしてそれを低減するアクションまでが直接つながります。

Drataとの接続を使って動作します。接続の設定は一度だけです（4つのステップは設定ガイドで順を追って説明しています）。Drataが確認するのはコントロールの実装であり、コントロールのパフォーマンスを測定するものではありません。そのため、コントロール有効性への反映はあらかじめ定めた上限までとなり、その上限がどこにあるかはエージェントが明確に示します。

仕組み

• ワークスペースを選択します。エージェントが、どのDrataワークスペースを読み取るかを尋ねます。チームでは、事業部門や監査範囲ごとに複数のワークスペースを使い分けていることがよくあります。プロファイルが測定する対象を表すワークスペースを選びます。
• 対応付けの実行を確認します。エージェントはフレームワークをサブコントロールごとに順に処理し、それぞれを関連するDCFに対応付けます。CISの実行では、1.1がDCF 20に、1.2がDCF 182に対応付けられ、18のコントロールすべてについて同様に進みます。
• 確認し、上書きし、確定します。エージェントは、Drataを反映した各値を現在のプロファイルの値と並べて表示するため、何かが変わる前にすべての差分を確認できます。自社のエビデンスが異なる結果を示す箇所は上書きし、そのうえで承認します。

ここで、ある設計上の判断を理解しておく価値があります。コンプライアンスのエビデンスとリスク測定が交わるところだからです。Drataは、ある明確な問いに継続的に、エビデンスをもって答えます。「このコントロールは実装されているか」という問いです。コントロール有効性は、より広い問いに答えます。コントロールがどれだけうまく機能しているか、どれだけ一貫して維持されているか、攻撃チェーンのどれだけをカバーしているかまでを考慮します。

そのため、エージェントはDrataを反映したすべての値の上限を60%に設定しています。準備完了のDCFがあればコントロールは相当の評価を得られ、残りの40%は、お客様だけが持つエビデンス（テスト結果、資産全体にわたるカバレッジ、運用履歴）のために残されます。エクスポージャーに反映されるのはエビデンスが裏付ける範囲までで、それを超えることはありません。

得られる成果

• 財務的な観点で示したエクスポージャー。コントロール有効性が年換算の損失エクスポージャーに反映されるため、コンプライアンスの取り組みとエクスポージャーの数値が同じものを指し示します。
• 優先順位付きのアクション。コントロールに関するアクションの候補を、それぞれが低減するエクスポージャーの順に並べます。これにより、重大度順のリストでは答えの出ない問い、つまり「目の前にあるすべての作業のうち、どのアクションが最も効果を生むか」に答えます。
• ビジネスの言葉で進める取締役会との対話。チームがすでに行った取り組みの財務的なメリットを、監査人が認めるエビデンスに照らして測定したうえで、取締役会に臨めます。数値に異議が出たときも、どの部分が継続的なエビデンスに由来し、どの部分が自社の評価に由来するかを説明できます。
• Drataに戻るアクション。優先順位付きのリスク低減アクションはタスクとしてDrataに戻されます。そのため、最も多くのエクスポージャーを取り除く作業が、チームがすでにコンプライアンス業務を管理している場所に届きます。

よくある質問

X-AnalyticsのNIST CSF Informed by Drataエージェントとは何ですか？

X-Analytics AI ToolboxのAIエージェントです。Drata Control Frameworkの結果を読み取ってNIST CSF 2.0またはCIS CSC 8.1のプロファイルに反映し、財務的な観点で示したサイバーリスクのエクスポージャーと、優先順位付きのアクションリストを返します。

NIST CSF 2.0とCIS CSC 8.1の両方に対応していますか？

はい。フレームワークごとに専用のエージェントがあり、どちらも同じDrataとの接続を読み取ります。そのため、一度設定すれば、どちらのプロファイルにも対応できます。

利用には何が必要ですか？

DrataとX-Analyticsの接続と、設定済みのX-Analyticsプロファイルが1つ以上必要です。

Drataを反映した値の上限が60%なのはなぜですか？

実装のエビデンスが裏付けるのは有効性の判断の一部であり、残りはお客様自身のエビデンスが裏付けるからです。準備完了のDCFは、コントロールが導入されていることを確認するものです。そのコントロールがどれだけうまく、どれだけ一貫して機能しているかは別の問題です。反映する値に上限を設けることで、エクスポージャーをエビデンスが裏付ける範囲内に保ち、お客様が把握していることのための余地を残せます。

Drataが反映した値を上書きできますか？

はい。どのサブコントロールでも、値を上げる方向にも下げる方向にも上書きできます。CIS 18.5を例に取ると、プロファイルの値は23%、Drataが反映する値は60%ですが、前四半期のペネトレーションテストの結果からは、実態に即した値は43%に近いと判断できます。この場合は43と入力すると、その値がプロファイルに反映されます。実装のエビデンスだけでは示せない水準でコントロールを運用している場合は、逆に値を引き上げます。

Drataや既存のGRCプログラムに取って代わるものですか？

どちらもそのまま維持されます。Drataは引き続き継続的なコントロール監視とエビデンスのシステムとして機能し、GRCのワークフローもこれまでどおり続きます。X-Analyticsは、すでに作成しているコントロールの結果を読み取ります。置き換えは不要です。

X-AnalyticsはDrataのどのデータを読み取りますか？

読み取り専用の4つの権限、drata_workspaces_list、drata_frameworks_list、drata_controls_list、drata_controls_getを使用します。エージェントは、ワークスペース名、フレームワークの定義、Drata Control Frameworkの結果を読み取ります。スコープはAPIキーの作成時に設定します。

エージェントが承認なしにプロファイルを更新することはありますか？

X-AnalyticsのDrata AIツールはすべて、ヒューマン・イン・ザ・ループを維持しています。エージェントはDrataを反映した各値とその差分を提示し、プロファイルはお客様が承認した場合にのみ変更されます。

どのくらいの頻度で実行すべきですか？

コントロール態勢が変化したときはいつでも実行してください。たとえば、是正対応のスプリントの後、取締役会や監査のサイクルの前、あるいは毎月です。Drataはコントロールの状態を継続的に更新するため、新たに実行すれば、その日時点のプログラムの状態が反映されます。

ウォークスルー全編を視聴

上の動画では、ワークスペースの選択、Drataを反映した値と現在のプロファイルとの比較、自社のエビデンスが異なる結果を示す箇所の上書き、そして結果の確定までを順を追って紹介しています。

Drataの接続は4つのステップで完了します。手順は設定ガイドで説明しています。DrataのPartner POVでは、両社がこれを共同で構築した理由を紹介しています。

エージェントについてご質問がありますか？X-Analyticsのカスタマーサクセスチーム（customersuccess@x-analytics.com）までお問い合わせください。