VantaのDocumentsとPoliciesの違いとは？

VantaのDocumentsとPoliciesは何が違う？

VantaのPoliciesとDocumentsは、どちらも監査対応に必要な情報を管理する機能ですが、役割が明確に異なります。
Policiesは組織として守るべきルールを管理し、Documentsはそのルールや運用を証明するための証跡を管理します。

直感的に理解するためのイメージとして、Policiesはルールの作成・管理スペース、Documentsは提出文書の保管庫と捉えると非常に分かりやすくなります。

• Policies（ルールの作成・管理スペース）： 情報セキュリティ方針など、従業員への周知・署名回収が必要な社内ルールを扱い、運用を回すための作業用ページです。
• Documents（提出文書の保管庫）： 災害復旧計画、ネットワーク構成図、リスク評価報告書など、監査人に提示する客観的な証明文書（証跡）が集約される保管用ページです。

比較項目	Policies（ポリシー）	Documents（ドキュメント）
主な目的	組織内のルール・基本方針の定義	ルールが実行されていることの証明
対象となる文書例	人事セキュリティポリシー、リスク管理方針、資産管理方針など	セキュリティ意識向上トレーニング文書、ネットワーク構成など
従業員への周知	あり（セキュリティタスクをアサインすることで閲覧、同意の追跡を行うことができる）	なし（管理側での登録・期限管理のみ）
登録時の承認	必須（必ず承認プロセスを通る）	任意（ワークフローで有無を選択可能）

VantaのPolicyとは？

Vantaの [Policies]は、組織のガバナンスやセキュリティ、コンプライアンスの基盤となる社内ルールや基本方針を作成・管理するための機能です。Vanta上におけるこのページの重要な役割のひとつが、従業員向けのルール周知と同意のポータルです。従業員がVantaにログインした際にあなたが署名すべきポリシーはこれですと提示するためのインターフェースとして機能し、全員の同意を確実に回収・追跡することを目的としています。

• すでに自社でポリシーが整備されている場合：
  
  Google Drive、Confluence、SharePointなどの外部サービスとの連携、または直接のインポートによってVantaに集約できます。
• これからポリシーを整備する場合：
  
  Vantaがあらかじめ準備しているテンプレートである情報セキュリティ基本方針、パスワード管理ポリシー、インシデント対応ポリシーなどをもとに、自社の運用に合わせたルールを簡単に作成できます。

いずれの場合も、ポリシーの作成後は承認や定期的なレビューだけでなく、対象となる従業員への閲覧・同意の要求から、その完了ステータスの追跡まで、ライフサイクル全体をVanta上で一元管理できます。

これにより、監査で求められる運用状況を継続的に把握しやすくなり、組織全体のガバナンス強化や確実なルール定着へとつながります。

VantaのDocumentとは？

Vantaの [Documents] は、監査やコンプライアンス対応において、ルールやセキュリティ要件が実際に正しく実行されていることを証明する証跡を手動で管理するための機能です。

[Policies] が従業員にルールを浸透させるための社内向けポータルだったのに対し、こちらの [Documents] ページは監査人向けのエビデンスである提出文書の格納場所という役割を持ちます。監査人に対して、組織で定めたルールに基づいて、災害復旧計画やネットワーク構成図などの客観的な証明文書や記録が、有効な状態で確かに存在し、運用されているかをチェックしてもらうためのエビデンスの格納場所となります。

• 外部連携による集約：
  
  すでに自社で管理している文書がある場合は、Google DriveやConfluence、SharePointなどの外部サービスとの連携、または直接のインポートによってVantaに効率よく集約できます。
• フレームワークに応じた文書管理：
  
  Vantaには、SOC 2やISO 27001などのフレームワークで必要となるドキュメント、例えば、災害復旧計画（Disaster Recovery Plan）、ネットワーク構成図、リスク評価報告書などがあらかじめ定義されています。そのため、何が必要なのかを把握しながら漏れのない整備を進めることが可能です。

[Policies] 機能では登録時の承認プロセスが必須でしたが、[Documents] 機能では、設定内の [Document workflows] から承認プロセスの有無を柔軟に選択できます。

また、保管したドキュメントには更新期限を設定でき、期限が近づくと更新対応のタスクを作成する運用も可能です。たとえば、Jiraと連携することで、期限前に担当者へレビューや更新作業のタスクを自動起票し、監査に向けた証跡の最新化を仕組み化できます。

2つの機能を正しく使い分けて効率的なガバナンスと監査対応を

Vantaの [Policies] と [Documents] は、それぞれルールの管理と証跡の管理という異なる役割を持っており、どちらも監査対応には欠かせない要素です。

Vantaではこれらを分けて管理することで [Policies] の場合は従業員への周知と同意を行い、[Documents] では担当者への更新期限タスクの自動割り当てを行うといった、それぞれの文書の役割に応じた運用をシステム上で回すことが可能になります。

なぜこれらを別々に管理する必要があるのかという背景には、Vantaが裏側で実行している2つの自動検証プロセスが関係しています。

• ポリシーアセプタンステスト： 定められたルールに対して全従業員が閲覧・同意しているかを検証
• ドキュメントテスト： 監査要件を満たす適切な文書が有効な状態で存在するかを検証

Vantaのシステムは、この2つの独立したテストが双方クリアされて初めて、対象のセキュリティ要件を達成（Passing）と判定する仕組みになっています。

両者を正しく使い分けることで、組織として守るべきルールと、その運用実態を分離して管理でき、結果としてガバナンスの強化と監査対応の効率化につながります。