SettingsのOrganization detailsには、会社の名前やドメインなどの組織の情報と、セキュリティーやガバナンスに責任を持つ主要な担当者を登録します。ここで入力した値は、ポリシー、コンプライアンスの文書、自動の証跡の収集などで組織を表すために使われ、一部の項目はモニタリングテストと直接つながっています。このページでは、Settingsで登録する組織の情報として、Organization detailsの各項目、ポリシーに差し込まれる会社名、データの保管場所の確認、Key personnelに登録する担当者を説明します。
Organization detailsの開き方
Organization detailsの項目を編集できるのは、Adminロールのユーザーです。ほかのユーザーは、一部の情報を閲覧できても変更はできません。
Settingsを選びます。Organizationの区分でOrganization detailsを選びます。Org infoタブが開いていることを確かめます。主要な担当者はKey personnelタブで登録します。
Organization DetailsのOrg infoタブ。Organization informationの欄の最初に、会社のロゴのアップロードの項目がある
【注意】 この画面の項目の一部は、モニタリングテストや監査の証跡と直接つながっています。値を変えるとテストの結果に影響することがあるため、権限を持つ人が意図して変更してください。
組織の基本情報
Organization informationの欄には、組織の名前や法的な情報を入力します。
| 項目 | 入力する内容 | 使われる場所・影響 |
|---|---|---|
Company logo（任意） | 会社のロゴ | 1MB未満のJPGかPNG。推奨の大きさは62×62ピクセル |
Email domain | 会社のメールとウェブサイトで使う主なドメイン | テスト「Test 70: SSL/TLS Enforced on Company Website」と、コントロール「DCF-55: SSL/TLS Enforced」に影響する |
Full legal name（任意） | 法人の正式な名称 | 契約、ポリシー、監査の文書で参照される |
Common name | 対外的に使っている名称（屋号など） | Drataのポリシーテンプレートの会社名に差し込まれる |
Incorporation / founding year（任意） | 設立の年 | 監査の資料やレビューで、組織の背景として示される |
Phone number（任意） | 代表の電話番号 | 顧客や監査人の連絡先として電話番号が必要な場面で使われる |
Company description（任意） | 事業の概要 | 監査人や顧客が事業を理解するために使われる |
Company address（任意） | 所在地 | 法的な文書や監査の文書で、所在地が必要な場面で使われる |
Account ID | Drataのアカウントの識別子 | 読み取り専用。Drataのサポートがアカウントを特定するときに使う |
SafeBase Organization ID | SafeBaseとの連携に使う識別子 | 読み取り専用。DrataのアカウントとSafeBaseのTrust Centerを結び付ける |
Data residency location | Drataのデータが保管されているリージョン | 読み取り専用。顧客のデータの保管場所を、コンプライアンスや契約の目的で示すときに使う |
任意と表示されている項目も、Quick Startの基本情報の作業を完了にするには、編集できるものを全て入力する必要があります。詳しくはQuick Startで初期設定を進めるで説明します。
ポリシーに差し込まれる会社名
Common nameに入力した名称は、Drataのポリシーテンプレートの会社名に差し込まれます。ただし、後からCommon nameを変えても、作成済みのポリシーの会社名は自動では変わりません。新しい名称をポリシーに反映するには、次のどちらかを行います。
- 各ポリシーを手作業で直す
- Drataのサポートに、テンプレートへの反映を依頼する
【運用のポイント】 ポリシーを作り始める前に、
Common nameを確定させておくと、後からポリシーを1件ずつ直す手間を省けます。ポリシーテンプレートの使い方は、ポリシーテンプレートを自社の規程に合わせるで説明します。
ワークスペースを使っている場合の会社のロゴ
Organization detailsにCompany logoの項目が見当たらない場合は、ワークスペースの機能が有効になっています。この場合は、Settings → Workspacesで主ワークスペースを選び、ワークスペースのアイコンを編集してロゴを変えます。この操作には、Workspace ManagerかAdminのロールが必要です。
データの保管場所を確かめる
Data residency locationには、Drataのデータが保管されているリージョンが表示されます。この項目は読み取り専用で、変更はできません。顧客との契約やコンプライアンスの目的で、顧客のデータの保管場所を示す必要があるときに、この項目で確かめます。
コンプライアンスと公開のURL
この欄の項目は、顧客への情報の開示と、モニタリングテストを支えます。
| 項目 | 入力する内容 | 関係するテストとコントロール |
|---|---|---|
Privacy policy URL（任意） | 公開しているプライバシーポリシーのURL | テスト「Test 84: Privacy Policy Publicly Available」、コントロール「DCF-65: Maintains a Privacy Policy」 |
Terms of use URL（任意） | 公開している利用規約のURL | テスト「Test 85: Terms of Service Publicly Available」、コントロール「DCF-66: Maintains a Terms of Service」 |
Support / Help URL | 顧客向けのサポート、ヘルプ、問い合わせのページのURL | テスト「Test 11: Contact Information Available to Customers」、コントロール「DCF-8: Disclosure Process for Customers」 |
Security / Compliance email | セキュリティーやコンプライアンスの問い合わせ専用のメールアドレス | 一般のサポートのメールアドレスとは分けることが勧められている |
利用規約を公開しておらず、契約の中だけで定めている場合は、関係するモニタリングテストを無効にし、標準の契約書やMSAを、対応するコントロールに直接アップロードできます。テストの無効化の考え方は、除外と無効化の使い分けで説明します。
製品の情報（契約書のサンプル）
Sample MSAには、顧客との基本契約書（MSA）のサンプルをアップロードします。自社の約束と責任、顧客の責任と期待を定めた正式な契約が顧客との間にあることを示すためのものです。MSAを使っていない場合は、利用規約、サービス契約、作業範囲記述書（SOW）など、ほかの形の顧客との契約をアップロードできます。
| 関係するテストとコントロール | 内容 |
|---|---|
| テスト「Test 83: MSAs Offered to Customers」 | 顧客に契約を提示しているかを確かめる |
| コントロール「DCF-64: Commitments Explained to Customers」 | 顧客への約束が説明されていることを示す |
複数の製品を提供している場合は、代表的な契約書を1つここにアップロードし、ほかの契約書は「DCF-64: Commitments Explained to Customers」のコントロールに、外部の証跡として直接マッピングします。証跡のマッピングは、証跡とコントロールのマッピングで説明します。
主要な担当者（Key personnel）
Key personnelタブでは、組織のセキュリティー、コンプライアンス、ガバナンスに責任を持つ人を割り当てます。割り当てられるのはAdminロールのユーザーだけで、割り当てる人は、あらかじめDrataの要員として登録されている必要があります。
Organization DetailsのKey personnelタブ。Team leadsの欄に、Chief Executive Officerなどの担当者が並び、Editから割り当てる
Team leadsの欄では、Chief Executive Officerなどの役割ごとに担当者を割り当てます。それぞれの役割は、役職名ではなく責任を表します。最高情報セキュリティー責任者（CISO）や取締役会などの正式な役職がない組織では、その役割の責任を実際に担っている人を割り当てます。
取締役会（Board of Directors）
取締役会がある場合は、取締役を割り当て、必要に応じて公開されているプロフィールへのリンクを加えます（LinkedInがよく使われます）。設立して間もない企業では、創業者や経営陣が取締役会の役割を担っていても構いません。監査人が見るのは、形式ではなく、その機能が果たされているかどうかです。
割り当てで避けること
| 避けること | 理由 |
|---|---|
| 役割を割り当てないままにする | ガバナンスの責任者がいないとして、監査人に指摘されるおそれがある |
| 在籍していない人を割り当てる | 割り当てる人が、現在Drataで有効な要員であることを確かめる |
| 役職名だけで選ぶ | 監査人が気にするのは、役職名の文字ではなく、誰がその責任を持っているか |
【運用のポイント】 担当者が退職したり役割が変わったりしたときは、
Key personnelタブの割り当ても忘れずに見直します。管理者が交代するときに確かめることは、管理者が交代するときの引き継ぎで説明します。