ベンダーの登録と分類

ベンダーをDrataに登録するときは、ベンダーの情報に加えて、社内での管理の情報と、ベンダーがどのデータや環境に触れるかというリスクの情報を入力します。リスクの情報から固有リスクのレベルが推奨され、固有リスクのレベルが、セキュリティーレビューで使う評価基準を左右します。このページでは、ベンダーを登録して分類する方法として、一括での登録、ベンダーの種類と固有リスクの設定、固有リスクの分類の基準、レビューの頻度をリスクに合わせて決める考え方を説明します。

登録するベンダーを見極める

ヘルプでは、SOC 2の監査に向けて、主要なベンダー（key vendors）を見極めるための問いとして、次の4つを挙げています。いずれかに当てはまるベンダーは、SOC 2レポートにとって主要なベンダーとして扱います。

問い
顧客のデータを受け取る、アクセスする、送る、保管するか
自社のインフラやソースコードの管理や保護を担うか
監査の対象のシステムのセキュリティーや可用性に影響するクラウドのサービスを提供するか
サービスが使えなくなったときに、自社が提供するサービスの可用性に大きく影響するか

主要なベンダーは、ベンダー管理のライフサイクルを通じて監視を強めるベンダーです。監視の方法として最も一般的なのは、SOC 2 Type 2レポートなどの独立した監査の報告書や認証を、毎年確かめることです。主要なベンダーであっても、セキュリティーのリスクが高いとは限りません。例えば、監査の対象のシステムの可用性に影響するだけのベンダーもあります。

登録の方法

ベンダーは、次の方法で登録できます。

方法	内容
1件ずつ登録する	Add vendorから、案内に沿って入力する。取引中のベンダーと、取引を検討中のベンダーで手順が異なる
一括で登録・更新する	CSVのファイルで、まとめて登録したり、既存のベンダーを更新したりする
候補から選ぶ	Drataの連携とOktaのアプリから、Drataがベンダーの候補を出す
購買のツールから取り込む	連携した購買のツールから、ベンダーを自動で取り込む

取引中のベンダーを1件ずつ登録する

取引中のベンダーは、次の手順で登録します。

1. Vendors → Currentを開き、Add vendor、Add single vendorを選びます。
2. 4つの段階（Vendor details、Internal details、Risk details、Inherent risk assessment）の順に入力します。
3. Inherent risk assessmentで、推奨された固有リスクのレベルを確かめ、Completeを選びます。

ベンダーが作成され、確定した固有リスクのレベルとともに取引中のベンダーの一覧に表示されます。

段階	主な項目
Vendor details	Vendor name、Website URL、Provided services（ベンダーが自社に提供するサービス）、Password policy、Trust Center URL、Privacy policy URL、Terms of use URL、Vendor contact name、Vendor contact email addresses（5件まで。コンマかセミコロンで区切る）
Internal details	Vendor status、Type、Business unit、Residual risk、Stored data、PIIを保管するか、自社の再委託先（sub-processor）か、Integrations、Security owner、Vendor relationship contact、Annual contract value、Additional notes
Risk details	Data accessed or processed、Operational impact、Access to environments（固有リスクの推奨のもとになる）
Inherent risk assessment	Drataが推奨する固有リスクのレベルと、その理由

Security ownerは、このベンダーのセキュリティーの状況を確かめる社内の担当者、Vendor relationship contactは、このベンダーについて質問があるときの社内の連絡先です。

ベンダーの登録の最後の段階。Drataが推奨する固有リスクのレベルを確かめ、必要なら変えてから登録を終える

ベンダーの名前とTrust CenterのURL

Drataは、ベンダーのカタログを持っています。Vendor nameの欄で一覧からベンダーを選ぶと、ウェブサイトのURLとTrust CenterのURLが自動で入ります。Trust CenterのURLがあると、TPRM Agentがセキュリティーレビューで、ベンダーが公開しているセキュリティーの資料を、アクセスの申請なしに集められます。

場合	扱い
一覧から選んだ	ベンダーの名前、ウェブサイトのURL、Trust CenterのURLは、作成した後に変えられない。ほかの項目は変えられる
一覧にないため手で入力した	名前、ウェブサイトのURL、Trust CenterのURLも、後から変えられる
一覧にVendor Already Existsと表示される	既に登録されているベンダー。取引中か、取引を検討中のベンダーの一覧で探す

URLはhttps://vendor.com、www.vendor.com、vendor.comのどの形でも入力できます。ドメインだけを入れると、Drataがhttps://を補います。有効なトップレベルドメインのないURLは受け付けられません。

【運用のポイント】 名前を手で入力する前に、カタログを検索します。カタログのベンダーを選ぶとTrust CenterのURLが入り、後でエージェントが資料を自動で集められます。一覧から選んだベンダーは、名前とURLを後から直せないため、登録を終える前に確かめます。Security ownerも登録のときに決めておくと、レビューを始めるときに割り当て直す手間が省けます。

取引を検討中のベンダーを登録する

取引を検討中のベンダーは、次の手順で登録します。

1. Vendors → Prospectiveを開き、Add vendorを選びます。
2. Vendor informationで、ベンダーの情報、連絡先、依頼の情報を入力します。
3. Risk detailsで、取引中のベンダーと同じ3つの項目を選び、Nextを選びます。
4. Inherent risk assessmentで、推奨された固有リスクのレベルとその理由を確かめ、Completeを選びます。

依頼の情報のうち、Request date（依頼の日）、Review deadline（判断の期限）、Requester（ベンダーを依頼した社員）は必須です。入れずにNextを選ぶと、足りない項目が示され、先に進めません。Internal security owner（ベンダーのセキュリティーの状況を確かめる担当者）は任意です。

登録すると、ベンダーの情報の画面が開きます。画面には、Business unit、Inherent risk、Residual risk（レビューを終えるまではUnscored）、Risks associatedと、依頼の日と判断の期限から決まるSecurity review windowが表示されます。タブはOverview、Security reviews、Reports and documents、Trust Centerです。

取引を検討中のベンダーのInternal security ownerには、Admin、Information Security Lead、Workspace Managerのいずれかのロールを持つ人を選びます。

一括で登録・更新する

ベンダーが多い場合は、CSVのファイルでまとめて登録したり、更新したりできます。一括での登録は、ベンダーを1件以上登録した後に使えるようになります。

1. Vendors → Current vendorsを開きます。
2. Add vendor → Add / update in bulkを選びます。
3. CSVのテンプレートをダウンロードします。
4. テンプレートにベンダーの情報を入力し、CSVの形式で保存します。
5. CSVのファイルをアップロードし、Nextを選びます。
6. 変更の概要を確かめ、アップロードを確定します。

一括での登録には、次の決まりがあります。

決まり	内容
更新の対象	名前かウェブサイトのURLが同じベンダーは、新しく登録されず、更新される
空欄	空欄の項目は、既存の値を上書きしない
含まれる項目	影響度の評価の一部の項目は含まれないが、Inherent Riskは含まれる
列の見出し	任意の項目も含め、全ての列の見出しが必要。任意の項目は値を空欄にしていい
URL	ドメイン名（drata.comなど）か、完全なURLを入れる。バックスラッシュや、exampleのような不完全な値は使えない
担当者のメール	Security Owner EmailとVendor Relationship Contact Emailには、Drataに保存されているのと同じメールアドレスを入れる。Personnelページで確かめられる
カスタムの項目	ベンダーにカスタムの項目を作っている場合は、一括での登録にも含まれる。必須のカスタムの項目の値が正しくないとベンダーは登録されず、任意のカスタムの項目の値が正しくないとその項目は無視される

必須の項目はNameだけで、Type、Status、Business Unitなどは決められた値から選びます。使える値は、テンプレートとヘルプの記事の表で確かめてください。ベンダーの種類を自社に合わせて変えている場合は、テンプレートの種類の列に、その種類の名前を正確に入れます。

連携とOktaから候補を出す

Vendor suggestionsは、Drataに設定した連携と、Oktaのシングルサインオンに設定されたアプリから、ベンダーの候補を出す機能です。手作業の入力を減らし、ベンダーの登録の漏れを防げます。一部のプランで使えます。

Oktaのアプリを候補に含めるには、OktaのSSOが設定されていて、アクセスレビューが有効になっている必要があります。どちらかが有効でない場合、Oktaのアプリは候補に出ません。

場面	操作
ベンダーを初めて登録する	Vendorsを選び、Get startedのページでGet startedを選ぶ。候補から登録するベンダーを選び、取引中のベンダーに加える
既にベンダーがある	Vendors → Current vendorsを開き、ページの上部の候補を確かめてReview suggestionsを選ぶ。Addで加え、Ignoreで候補から外す（外した候補は再び出ない）
候補を出さないようにする	Vendors → Vendor settingsで、Single sign-on suggestionsをオフにする

候補から加えたベンダーは、名前だけが登録されます。加えた後に、ベンダーの情報を確かめて足りない項目を入力し、オーナーを割り当てます。

ベンダーの種類

ベンダーの種類は、ベンダーがどのような取引先かを表す分類です。既定の一覧を置き換えたり加えたりして、SaaS、インフラ、専門サービスなど、自社の分け方に合わせられます。設定した種類は、取引中と検討中のベンダーの一覧、Add vendorの入力の画面、CSVでの一括での登録で使われます。

種類は、Vendors → Vendor settingsのTypesのセクションで管理します。

操作	手順
追加する	TypesのセクションでEditを選び、Add vendor typeを選んで名前を入れ、保存する
名前を変える	TypesのセクションでEditを選び、名前を直接変えてSaveを選ぶ。その種類のベンダーには、新しい名前が自動で反映される
削除する	TypesのセクションでEditを選び、種類の横のごみ箱のアイコンを選ぶ

【注意】 種類を削除すると、その種類のベンダーは自動でNoneに割り当て直されます。ベンダーに使われている種類を削除しようとすると、影響を受けるベンダーの数が警告に表示されます。評価基準を種類で絞り込んでいる場合は、削除したことで評価基準がそのベンダーに当てはまらなくなります（TPRM Agentによるレビュー）。

種類の一覧は、似た種類を並べず、意味のある少数の分類にまとめます。購買の申請やリスクアセスメントなど、社内で既に使っている分類に合わせ、部署によって解釈が分かれないような名前にします。種類で評価基準を絞り込む前に、購買やTPRMの担当者と一覧を合意しておくと、後から種類を消して評価基準に影響が出るのを防げます。

固有リスクを評価する

固有リスクは、セキュリティーのコントロールを評価する前に、ベンダーがもともと持っているリスクです。ベンダーが業務にどれだけ欠かせないか、どのデータに触れるか、どこにアクセスできるかで決まります。

リスクの情報と推奨

ベンダーの登録のRisk detailsで、次の3つを選びます。

項目	選択肢
Data accessed or processed（ベンダーが扱うデータ）	General、Public、Controlled Unclassified（CUI）、Financial、Proprietary、Employee/Personnel、Cardholder Data（CHD）、Personally Identifiable（PII）、Protected Health（PHI）、Other personal or sensitiveから当てはまるものを全て
Operational impact（業務への影響）	None、Low、Normal、Important、Critical
Access to environments（環境へのアクセス）	No access、Read only、Read/write

Drataは、これらの選択を、Vendor Settingsのページにある固有リスクの分類のルールに照らして、固有リスクのレベルを推奨します。推奨には、データの機密性、業務への影響、環境へのアクセスについてどのルールを当てはめたかという理由と、そのベンダーのセキュリティーレビューで評価する評価基準の数が示されます。自社のルールを設定していない場合は、Drataの既定のルールが使われます。推奨されたレベルは、登録を終える前に変えられ、後からベンダーの情報の画面でも変えられます。

業務への影響の尺度と、既定の固有リスクのレベルは、次の通りです。影響度の自動の評価（Automated Impact Assessment）はTPRM Proで使え、評価を済ませていないベンダーの固有リスクはUnscoredになります。

業務への影響	値	内容
None	1	業務、財務、評判への影響がないか、ごくわずか
Low	2	業務の中断は限られ、財務や評判への影響は小さい
Normal	3	業務の効率がいくらか落ち、財務や評判に中程度の影響がある
Important	4	主要な業務が大きく中断し、目に見える財務上の損失が出る
Critical	5	欠かせない業務が止まり、財務と評判に深刻な損害が出る

固有リスク	内容
Insignificant	損失や損害はごくわずかで、規制当局への報告は不要
Minor	小さな財務上の損失があり、評判への影響は限られる
Moderate	業務に目に見える中断があり、財務上の損失が出る
Major	大きな財務上の損失があり、規制当局への報告が必要
Critical	深刻な財務上の損失、規制当局の措置、評判への大きな損害がある
Unscored	影響度の評価が済んでいない

リスクレベルを決める

リスクレベルは、ベンダーを評価する尺度です。固有リスクと残留リスクの両方の評価に使われるため、分類の指針を書く前に決めておきます。

1. Vendors → Settings → Vendor fieldsを開きます。
2. Risk levelsのカードでEditを選びます。
3. レベルを編集します。名前は欄に直接入力して変え、Insert risk levelで既存のレベルの上か下にレベルを加え（7つまで）、ごみ箱のアイコンでレベルを削除します。

右側のPreview risk levelsのパネルで、今のベンダーが固有リスクと残留リスクの各レベルにどう分かれるかを確かめられます。変更を確定する前の確認に使えます。レベルが割り当てられていないベンダーはUnscoredと表示されます。Unscoredは常にあり、削除も名前の変更もできません。

決めたレベルの名前は、ベンダーごとのリスクレベルの選択肢、ベンダーの一覧の固有リスクと残留リスクの列、AIの推奨とともに示される尺度など、ベンダーを評価する全ての場所に表示されます。

Vendor settingsのVendor fieldsのタブ。ベンダーの種類（Types）とリスクレベル（Risk levels）を管理する

分類の指針を設定する

分類の指針（classification guidance）は、ベンダーをどのレベルに分類するかをDrataに伝えるルールの集まりです。自社のベンダーの階層分けの方針を、ここに書きます。指針を変えるには、ベンダーの設定を管理する権限が必要です。

1. Vendors → Settings → Vendor fieldsを開きます。
2. Inherent risk classificationのカードでEditを選びます。
3. Edit inherent risk classificationのページの左側のClassification guidanceで、ルールを作ります。
4. 右側のPreview classificationで、ルールを試します。
5. Saveを選びます。Saveを選ぶまで、変更は反映されません。

ルールの作り方は2つあります。

方法	内容
既存の方針の文書から作る	Upload risk classification fileを選び、Upload filesで文書を選ぶか画面に置いて、Uploadを選ぶ。Drataが文書を読み、階層ごとに1つずつ、文書の言葉を使ったルールを作る
直接書く	ルールごとに、Rule name（短い名前）とDescription（基準。1,500文字まで）を入れる。Add ruleでルールを加え、左上の取っ手のドラッグで並べ替え、ごみ箱のアイコンで削除する

ルールは上から順に評価され、当てはまるルールのうち最も上にあるものが使われます。MDとJSONの切り替えで、全てのルールを1つのテキストの欄にまとめて編集できます（番号付きの行が1つのルールになり、20個まで）。編集した後にApplyを選ぶと、ルールのカードに戻ります。Copy promptで指針をコピーして、手元のAIのアシスタントで直してから貼り付けることもできます。Reset to defaultsを選ぶと、Drataの既定のルールに戻り、自社の変更は失われます。

【注意】 文書から作ると、編集の画面にある今のルールは全て置き換えられます。作られたルールを1つずつ確かめ、階層の並び順を確かめてから保存します。また、リスクのルールとリスクレベルは一致させておく必要があります。

Descriptionには、その階層が何を意味するか、どのようなベンダーが当てはまるかの例、その階層に求める評価、デューデリジェンス、監視、リスクの許容度を書きます。説明がはっきりしているほど、分類が安定します。

Preview classificationでは、Vendorの欄で実際のベンダーを選ぶと、推奨されるリスクレベルと、その理由のAnalysis summaryが示されます。プレビューは読み取り専用で、ベンダーのリスクレベルは変わりません。Resetで別のベンダーを試せます。重要と考えるベンダー、明らかにリスクの低いベンダー、情報の少ないベンダーなど、性質の違うベンダーで試し、期待と違う結果になったら、理由の文章を見てどのルールを直すかを決めます。

指針の変更は、変更の後に登録したベンダーに当てはまります。既存のベンダーは、指針を変えても自動では評価し直されません。

推奨を変える・評価し直す

ベンダーの固有リスクは、ベンダーの情報の画面のOverviewタブにあるInherent risk levelのカードで確かめます。

1. Inherent risk levelのカードでEditを選びます。
2. Recommended inherent riskの一覧から、別のレベルを選びます。

推奨と違うレベルを選ぶと、カードにDrata recommends: [元のレベル]とRevertのリンクが表示され、人が別の判断をしたことが記録に残ります。Revertを選ぶと、Drataの推奨に戻ります。

ベンダーの情報を変えても、固有リスクは自動では変わりません。今の指針で評価し直すには、ベンダーを開いてDrata AIのパネルで評価し直しを頼み、Drata AIが示すレベルと理由を確かめて、Approveを選びます。ベンダーの情報が大きく変わったとき（扱うデータが変わった、インシデントが起きたなど）は、評価し直します。

レビューの頻度をリスクに合わせて決める

ヘルプには、リスクに応じてレビューの深さや頻度を変える手がかりとして、次の記述があります。

手がかり	ヘルプの記述
分類の指針	指針のDescriptionには、その階層に求める評価、デューデリジェンス、監視の内容を書く
残留リスク	Vendor insightsの残留リスクのグラフで、監視を強めたり、レビューの頻度を上げたりする必要のあるベンダーを見つける
PIIの保管	PIIを保管するベンダーは、より厳しい監視と、より頻繁なレビューが必要になることがある
SOCレポート	リスクの高いベンダーのSOCレポートは、少なくとも年に1回読んで評価する（SOC 2の要件）

レビューの頻度は、ベンダーごとの定期レビューの設定（セキュリティーレビューの進め方）で決めます。複数のベンダーにまとめて設定するときは、Vendors → Current vendorsでベンダーを選び、操作のバーのUpdate deadlineを選びます。Update review deadlineの画面でReview deadline（レビューの期限）を入れ、Review scheduleで期限の後のレビューの間隔（1 month、2 months、3 months、6 months、1 year、Custom、None）を選んで、Update deadlineを選びます。

【運用のポイント】 固有リスクの階層ごとに、レビューの頻度と、確かめる資料（SOC 2レポート、質問票など）を分類の指針のDescriptionに書いておきます。Current vendorsでInherent riskで絞り込み、表示されたベンダーを選んでUpdate deadlineを使うと、同じ階層のベンダーに同じ間隔をまとめて設定できます。

ベンダーのアーカイブと削除

取引をやめたベンダーは、削除せずにアーカイブします。アーカイブしたベンダーの記録は、監査の履歴として残ります。

操作	手順
アーカイブする	ベンダーの情報の画面を開き、⋯を選んでArchive vendorを選ぶ。複数のベンダーは、Current vendorsで選んで、操作のバーのArchiveでまとめてアーカイブできる
元に戻す	Vendors → Current vendorsを開き、Status → Archivedで絞り込んでベンダーを選び、⋯のRestore vendorを選ぶ
削除する	ベンダーの情報の画面を開き、⋯を選んでDelete vendorを選び、確定する

【注意】 削除は元に戻せません。削除は、誤って登録したベンダーだけに使います。