Vantaを使った情報セキュリティ規程（ポリシー）の従業員周知と同意確認
ao
本記事の概要
セキュリティ認証（ISMSやSOC 2など）の取得・維持において、社内規程（ポリシー）を策定するだけでなく、従業員へ確実に周知し、同意を得ること、そしてその証跡を監査に向けて管理することは必須のプロセスです。
しかし、この管理をツールを使わずにやる場合、未対応者への催促やサイン済みファイルの整理など、管理者に膨大な手作業が発生しています。
本記事では、セキュリティ・コンプライアンスプラットフォーム Vantaを活用し、ポリシーの配信から同意回収、リマインドを自動化・効率化する方法を解説します。
ポリシー同意機能 (Policy Acceptance) とは？
Vantaのポリシー同意 (Policy Acceptance) 機能は、組織のセキュリティポリシーや規程を従業員に周知し、従業員が、それらを読み、理解したことを正式に確認し、記録するための機能です。
SOC 2 や ISO 27001 などのセキュリティフレームワークでは、適切な規程が策定されているだけでなく、対象となる従業員がセキュリティポリシーを理解し、同意していることが求められます。
Vantaでは、管理者が従業員の同意状況を自動で追跡し、監査時に提出できる証跡として記録することで、コンプライアンス対応の運用を効率化できます。
管理者は、Vanta上の [Policies] で管理しているセキュリティポリシーを従業員へ割り当て、ポリシー同意機能を利用して同意を取得、管理できます。
管理者が割り当てたポリシーは、対象者の専用画面 ([My Security Tasks]) にタスクとして自動で提示されます。従業員が画面上で内容を確認して同意を行うと、Vantaがそのステータスを自動でアップデートします。従業員への周知や同意の取得、未同意の従業員の状況をVanta上で一元管理できるため、監査で求められる証跡を効率的に維持できます。
管理者側でポリシー同意を設定する方法
組織では、全従業員が同意すべきポリシーもあれば、特定の部門や職種など、一部の従業員だけを対象とするポリシーもあります。Vantaでは、従業員をグループごとに管理し、グループ単位でポリシー同意タスクを割り当てることができます。そのため、対象者に応じたポリシー同意を効率的に設定できます。それでは、実際に管理者側でポリシー同意を設定する方法を見ていきます。
グループの作成
[Personnel] メニューの [People]（下の図の(1)）を開き、[Groups]（下の図の(2)）をクリックします。グループの管理画面が表示されます。
[Add group] をクリックすると、グループの作成画面が表示されます。グループは、Vanta上で新規作成する方法と、Identity Providers から追加する方法のいずれかを選択できます。
今回は [Create a group] を選択し、Vantaの機能を使ってグループを作成します。「Create a new group」のポップアップが表示されたらグループ名を入力します。グループの説明と Point of Contact (連絡窓口) はオプションで設定できます。Point of Contact では、Onboarding (入社手続き) の際に質問や懸念事項がある場合の連絡先の担当者を設定することができます。入力したら [Create] ボタンをクリックしグループを作成します。
グループにタスクを設定する
作成したグループを開くと、以下の設定が行えます。 (※本記事はポリシー同意に関する解説のため、その他の機能については別記事で解説します)
- Onboarding and recurring (オンボーディングタスクと定期タスクの設定)
- Policies (ポリシー同意設定)
- Trainings (トレーニング受講)
- Device monitoring (デバイスモニタリング設定)
- Background checks (バックグラウンドチェックの設定)
- Custom onboarding task (カスタムでのタスク設定)
- Offboarding
- Access removal (アクセス削除)
- Custom offboarding task (カスタムでのオフボーディングタスク設定)
Policies (ポリシー同意設定) ： このグループに所属するメンバーが確認・同意すべきセキュリティポリシーを設定します。
[Preview tasks] ボタン（下の図の(1)）をクリックすると、従業員にポリシーを周知し、同意を求める画面のプレビューを確認できます。問題がなければ、[Save] ボタン（下の図の(2)）をクリックし設定を保存します。
[Preview tasks] をクリックすると、グループのメンバー向けの同意画面（プレビュー）が表示されます。[View] ボタン（下の図の(1)）をクリックするとポリシー本文を表示します。[I have read and I accepted these policies]（下の図の(2)） をクリックするとポリシー同意が完了します。
[Download] ボタンをクリックすると、ポリシーをPDF形式でダウンロードできます。
設定内容に問題がない場合は [Save] で保存します。
[Manage recurring reminders] をクリックすると [Notifications] ページが開き、リマインダーの確認や編集が可能です。
[Personnel reminders] のスライダーボタンをONにすることで、ポリシーの同意だけでなく、セキュリティトレーニングの受講やデバイスのモニタリング設定など、その従業員が完了していないすべてのセキュリティタスクを1つにまとめたダイジェスト形式のリマインダーを送付できます。これにより、タスクごとに何度も通知が届いて従業員を煩わせることなく、未対応のタスクだけをシンプルに促すことができます。
また、リマインダーの頻度や送付先を設定可能です。
- 送信スケジュール（配信頻度）： 「毎週月曜日」または「平日（月曜日〜金曜日）の毎日」から選択できます。
- 通知チャンネル（送付先）： 「Eメール」および「Slack」への送付に対応しています。
グループメンバーを設定する
[Members] タブ（下の図の(1)）をクリックすると、メンバー追加画面が開きます。[Add people] ボタン（下の図の(2)）をクリックしメンバーを追加します。
[Search] ボックス（下の図の(1)）をクリックするとすでにVantaに登録されているメンバーが表示されます。グループに追加したいメンバーのチェックボックスにチェックを入れ、[Add group] ボタン（下の図の(2)）をクリックします。（※もし該当する人物がリストに見つからない場合は、その人物が事前にVantaへユーザー登録されているかをご確認ください。）
追加が完了すると、次のようにグループのメンバーリストへ反映されます。
さらに厳格な合意形成のための確認の強制
管理画面では、従業員がポリシーを「読まずに同意する」ことを防ぐための [Enforce policy review] という設定項目が用意されています。この機能を有効にすると、従業員は対象のポリシーファイルを実際に開き、最後まで（一番下まで）スクロールしなければ、同意用の [Accept] ボタンをクリックできない仕様になります。
[Setting] > [Personnel] > [Security tasks]
周知・理解を確実に徹底したいという組織の運用方針や、監査において実効性のあるポリシー周知を強くアピールしたい場合に非常に有効な設定です。
従業員側ではどのようにポリシーへ同意する？
管理者がポリシーを割り当てると、従業員専用の画面である [My Security Tasks] （下の図の(1)）にタスクとして表示され、確認ができるようになります。
- ポリシーの閲覧
[View] ボタン（下の図の(2)）をクリックしポリシーの内容を確認します。なお、ポリシーの表示画面では必要に応じてポリシーのダウンロードも可能です。 - 不明点がある場合
ポリシーの内容やポリシー同意に関し不明な点がある場合は、画面上に記載されている管理者のメールアドレス（下の図の(4)）から直接担当者へ問い合わせることができます。 - ポリシーに同意
ポリシーの確認が終わりましたら、[I have read and I accept these policies] ボタン（下の図の(3)）をクリックし、同意を完了します。
同意が完了すると、画面上にタスクが完了した旨が表示されます。
確認の強制（Enforce policy review）を設定した場合、従業員専用の画面である [My Security Tasks] の画面には [I have read and I accept these policies] ボタンは表示されません。
割り当てられたポリシーを開き、ドキュメントを最後の行までスクロールして読み進めることで、初めて画面上に同意ボタンが出現し、クリックできる状態になります。
管理者側で同意状況を確認する方法
従業員へのポリシー割り当て完了後は、管理画面から各メンバーの同意状況をリアルタイムに確認・管理できます。
グループごとの同意状況の確認
Vantaの [Personnel] > [People] メニューを開くことで、全従業員のステータス一覧を確認できます。
画面上のフィルタ機能（下の図の(1）を用いて対象の「グループ」を指定することで、特定のポリシーが割り当てられているメンバーだけに絞り込んで同意状況をチェックすることが可能です。
未同意メンバーの効率的なフィルタリング
進捗管理を効率化するために、下の図の(1）の Overdueフィルタ、Due soonフィルタを用いることで、対応が遅れている従業員を即座に特定できます。
- [Overdue]（期限切れ）： 設定された同意期限を過ぎている未同意のメンバーを抽出します。
- [Due soon]（期限間近）： 期限が迫っているものの 、まだ同意が完了していないメンバーを抽出します。
これらのフィルタで対象者を絞り込むことで、個別の催促や状況確認をスムーズに行うことができます。
未同意メンバーへのリマインド（催促）方法
ポリシーに同意をしていないメンバーにリマインドを送付する方法は次の2種類があります。
- 個別に通知する方法
- 一括で通知する方法
個別に通知する場合は [People] メニューの表示リストでリマインダーを送付したい人をクリックし、開いたサイドパネルの [Remind] ボタンをクリックするとリマインドメールが送付可能です。
定期的な自動リマインダーとは別に、管理者が任意のタイミングで一括して催促を行いたい場合は、一回限りの手動リマインダーを送信できます。
[...] ボタンをクリックし、[Send one-time-reminder] を選択します。
未同意のグループメンバーが一覧でリストアップされます。対象者を確認し、リマインダーを一括送付します。
Vantaのポリシー同意機能を活用してコンプライアンス管理を効率化しよう
ツールを使用しないセキュリティポリシーの運用では、ポリシーを配布し、従業員に同意のサインを求め、サインを集めたファイルをフォルダに整理するといった膨大な手作業と管理コストが発生していました。
Vantaのポリシー同意機能を導入すればこれらのプロセスを効率化可能です。
- 自動化による運用のスマート化
グループごとの自動割り当てや、毎日もしくは週に一度のダイジェスト形式リマインダーにより、管理者が都度催促に追われる必要はありません。スポットで対応を促したい場合も、ワンクリックで一括送信が可能です。 - 形骸化を防ぐ確実なガバナンス
確認の強制（Enforce policy review）を活用することで、従業員がポリシーを最後までしっかり読んだ上で同意したという実効性のある監査証跡を担保できます。 - 監査対応の負担ゼロへ
同意済みのファイルをどこかに手動で保存・管理する必要はありません。従業員が同意を完了し、Vanta上でテストがPass（合格）となっていれば、監査に必要な証拠も同時に記録されます。
企業の信頼を守るセキュリティ体制の構築は、従業員一人ひとりがポリシーを正しく理解し、同意することから始まります。ぜひVantaの強力なポリシー管理機能をフル活用し、管理者の負担を最小限に抑えながら、堅牢でクリーンなコンプライアンス体制を維持していきませんか。
Vanta製品の専門知識を持つコンサルタントが導入をサポートします。
製品の導入検討やご関心のある方は、こちらからご相談ください
