ポリシーの本文を、ConfluenceやNotion、BambooHRなど、Drataの外のツールで管理している組織もあります。Drataは、こうした外部のツールで管理するポリシーを取り込み、コントロールへのマッピングと監査の証跡に使えます。ただし、外部のツールで管理すると、Drataのポリシー管理の機能の一部が使えなくなります。このページでは、ConfluenceやNotionなどで管理するポリシーをDrataと連携する方法として、連携でできることとできないこと、翻訳版が使えない制約、Drataで管理する場合との選び方を説明します。
連携できるツールと役割の分担
外部のポリシー管理ツールとの連携には、ConfluenceかNotionを使う方法と、BambooHRを使う方法があります。
| 項目 | ConfluenceかNotion | BambooHR |
|---|---|---|
| ポリシーの本文の作成と編集 | ConfluenceかNotion | BambooHR |
| Drataに保存されるもの | 読み取り専用のPDFの写し | 取り込んだポリシーのファイル |
| 名前、オーナー、対象の要員 | Drataで管理する | Drataで管理する |
| 社員の同意 | Drataのルールに従い、My Drataで集める | BambooHRで集める。My Drataには同意の作業が表示されない |
| 変更の反映 | 手作業で同期するか、取り込み直す | 同意の証跡は毎日同期される |
連携の設定は、連携の全体像を参考にしてください。
ConfluenceかNotionで管理する
使う前の条件と制限
- ConfluenceかNotionが、Drataと連携している必要があります。
- 外部のポリシーの連携は、同時に1つだけ有効にできます。
- ConfluenceやNotionで加えた変更は、自動では同期されません。Drataで同期するか、取り込み直します。
- Confluenceは、ポリシーをHTMLの形式でだけ書き出します。PDFに変えるときに書式が崩れることがあるため、取り込んだファイルをDrataで確かめます。
- Notionのポリシーには、データベースのブロックや添付ファイルを含められません。
ポリシーを取り込む
取り込むと、Drataはファイルを読み取り専用のPDFに変えて保存します。
Policiesページを開きます。Import policyを選びます。- ポリシーの名前、ポリシーオーナー、対象の要員のグループを入れます。
- 選んだ内容を確かめて確定します。
ポリシーを更新する
ポリシーの内容は、ConfluenceかNotionで直してから、Drataに反映します。
| 反映の仕方 | 操作 |
|---|---|
| 外部のツールで直した内容を取り込む | Actions → Sync changes |
| ファイルを丸ごと差し替える | Actions → Import file |
連携が切れたとき
ConfluenceやNotionとの連携が切れても、ポリシーはPoliciesページに表示されたままです。連携を戻したときに、切れていた間に変更がなければ、Drataは元のファイルへの参照を保ち、取り込みと同期の操作を再び使えるようになります。
BambooHRで管理する
BambooHRで、ポリシーの作成、配布、社員の同意を既に管理している組織向けの使い方です。ポリシーの作成と同意はBambooHRに残し、Drataではコントロールへのマッピングと、署名済みの同意の証跡の同期を行います。
使う前の条件
- BambooHRがDrataと連携している必要があります。
- DrataとBambooHRの両方で、
Adminの権限が必要です。 - ポリシーは、先にBambooHRで作ります。Drataで作ったポリシーをBambooHRに送ることはできません。
- BambooHRにアップロードするファイルは、拡張子が1つである必要があります。拡張子が複数あるファイルは取り込めません。
- BambooHRには下書きや承認の状態がないため、取り込んだポリシーは全てDrataですぐに公開されます。
ポリシーを取り込む
取り込みと同期ができるのは、ポリシーオーナーだけです。
Governance→Policiesを開きます。Import policyを選びます。- ポリシーの名前、ポリシーオーナー、対象の要員のグループを入れます。
- 選んだ内容を確かめて確定します。
取り込んだポリシーは、新しいポリシーなら第1版、既存のポリシーの更新なら次の版として、すぐに公開されます。下書き、承認、承認の段階は使われず、すぐにコントロールにマッピングできます。
同意の証跡の同期
Drataは、BambooHRと毎日同期して同意の証跡を集めます。社員がBambooHRでポリシーに署名すると、署名済みのファイルが社員のSigned Documentsのフォルダーに保存され、Drataはこのフォルダーからだけ同意の証跡を集めます。
Drataのテンプレートを置き換える
社員向けのハンドブックのように、BambooHRの1つの文書が複数のポリシーの要件を満たす場合は、当てはまるDrataのテンプレートを全て、その文書で置き換えます。
Governance→Policiesを開きます。- テンプレートを置き換えるBambooHRのポリシーを選びます。
- 詳細の欄で
Editを選びます。 Should this policy replace any Drata default policies?でYesを選びます。- 置き換えるテンプレートを全て選びます（
Acceptable Use Policy、Code of Conduct、Information Security Policyなど）。 - 変更を保存します。
置き換えると、コントロールの対応を正しく保ったまま、監査の範囲に同じ役割のポリシーが重複するのを防げます。置き換えの考え方は、ポリシーテンプレートを自社の規程に合わせるで説明しています。
BambooHRからファイルが消えたとき
BambooHRからポリシーのファイルが削除されても、ポリシーはDrataに表示されたままで、コントロールへのマッピングも残り、コントロールの準備状況にも影響しません。ただし、有効なファイルをアップロードし直すまで、ポリシーの状態を更新できません。外部のファイルが見つからない場合、Drataは警告を表示します。
外部のツールと連携しているときにできないこと
外部のポリシー管理ツールと連携していると、Drataのポリシー管理の機能の一部が使えません。
| 機能 | 連携しているときの扱い |
|---|---|
| Drataでのポリシーの作成とテンプレートの置き換え | できない。作成の代わりにImport external policyが表示される |
| ポリシーの翻訳版 | 使えない。翻訳版は、Drataのエディターで書いたポリシーとアップロードしたファイルのポリシーだけで使える |
| 同期したポリシーの削除（ConfluenceかNotion） | Drataでは削除できない。外部のツールで管理し、変更を同期する |
| My Drataでの同意（BambooHR） | 使えない。同意はBambooHRで集める |
| Drataでの承認（BambooHR） | 使えない。取り込んだポリシーはすぐに公開される |
BambooHRとの連携では、BambooHRから取り込んだポリシーで、Drataのテンプレートを置き換えられます。手順は、前の「Drataのテンプレートを置き換える」で説明しています。
翻訳版の機能は、日本語版のポリシーを用意するで説明しています。
【注意】 外部のポリシー管理ツールをつないでいる間は、
Adminのロールを持っていても、Policiesページに作成の操作が表示されません。Drataでポリシーを作るには、いったん外部のポリシー管理ツールとの連携を外し、Policiesページを開き直します。
Drataで管理する場合との選び方
| 管理の仕方 | 向いている場面 |
|---|---|
| Drataで管理する | ポリシーの作成、承認、更新、社員の同意を、全てDrataで行いたい。翻訳版を使いたい |
| ConfluenceかNotionで管理する | ポリシーの本文をConfluenceかNotionで書いて管理し、監査の証跡とコントロールへのマッピングにはDrataを使いたい |
| BambooHRで管理する | BambooHRがポリシーの本文と社員の同意の正本で、Drataは証跡の同期とコントロールへのマッピングに使いたい |
ヘルプセンターでは、ポリシーの作成、承認、更新、同意をDrataで行いたい場合は、BambooHRなどの外部のポリシーの連携を使わないよう勧めています。外部のツールで管理する場合も、フレームワークが求めるポリシーの見直しや同意の周期に合うように、外部のツール側の設定を整えておく必要があります。