Drataの要員のコンプライアンスは、誰が要員で、いつ入社し、いつ退職したかという情報を土台にしています。この情報は、IDプロバイダーと人事システムから自動で取り込むのが基本で、連携できない場合はCSVファイルや手作業で補います。このページでは、Drataに要員の情報を取り込む方法として、IDプロバイダーと人事システムからの取り込み、手動での登録、要員の一覧の見方、取り込んだ情報が監査でどう使われるかを説明します。
要員の情報の取り込み元
要員の記録は、次の取り込み元から作られます。
| 取り込み元 | 位置づけ | 取り込む情報 |
|---|---|---|
| IDプロバイダー | 必須。在籍中の要員の記録を作り、要員がDrataにサインインできるようにする | 名前、メールアドレス、アバター、アカウントの情報 |
| 人事システム | 任意だが勧められる。IDプロバイダーの記録にメールアドレスで対応付け、雇用の情報を補う | 雇用状態、入社日、退職日、役職など |
| 手動での登録 | IDプロバイダーや人事システムで管理していないアカウントや、退職した要員の記録 | CSVファイルや画面で入れた情報 |
IDプロバイダーだけをつないだ場合、取り込んだユーザーは、admin@やinfo@のように人ではないことが明らかな別名のアドレスを除いて、在籍中の従業員（Current employee）として取り込まれます。人事システムをつなぐと、入社日と退職日から在籍中か退職済みかが決まり、IDプロバイダーから消えた退職者の記録もDrataに残ります。
IDプロバイダーと人事システムのつなぎ方は、IDプロバイダーとの連携と人事システムとの連携で説明しています。
取り込んだ情報が監査でどう使われるか
監査人は、人事システムの情報を、名前、入社日、退職日、雇用状態の正となる情報源として扱います。取り込んだ情報は、監査で次のように使われます。
| 情報 | 監査での使われ方 |
|---|---|
| 入社日と退職日 | 監査の対象期間に、誰が対象の要員になるかを決める |
| 雇用状態 | 入社時と退職時に必要な作業が、誰に求められるかを決める |
| 退職した要員の記録 | アクセスの削除と退職時の作業が済んだかを確かめる対象になる |
| 対象外と除外の理由 | 監査の書き出しに含まれ、監査人が理由と期間を確かめる |
情報を直すときは、Drataではなく、できるだけ人事システムの側で直します。雇用状態の扱いは雇用状態と入社・退職の管理、対象外と除外は対象外の要員とサービスアカウントで説明します。
Personnelページの見方
取り込んだ要員は、Governance → Personnelで確かめます。このページを使えるのは、Admin、Information Security Lead、Workspace Manager、Personnel Compliance Managerのロールのユーザーです。
絞り込みと検索
| 絞り込み | 内容 |
|---|---|
Employment status | 在籍中、退職済み、業務委託者、対象外などの雇用状態で絞る |
Compliance | セキュリティー研修やポリシーへの同意など、必要な作業が済んでいない要員を絞る |
Sync status | IDプロバイダーや人事システムから同期されている記録かどうかで絞る |
Groups | IDプロバイダーのグループで絞る（グループの同期を有効にしている場合だけ） |
検索の欄では、名前か役職で要員を探せます。例えば、業務委託者のうち必要な作業が済んでいない人だけを絞り込んで、まとめて対応できます。
選んだ要員への操作
要員を1人以上選ぶと、画面の下に操作のバーが表示されます。一部の操作はMoreのメニューにまとめられています。
Personnelページで要員を選んだ画面。下のバーとMoreのメニューに、選んだ要員への操作が並ぶ
| 操作 | 内容 | 説明しているページ |
|---|---|---|
Send reminder email | 済んでいない作業がある要員に、My Drataでの作業を促すメールを送る。自分には送れない | 社員への割り当てと同意 |
Change employment status | 雇用状態を変える | 雇用状態と入社・退職の管理 |
Create exclusion | 当てはまらない確認項目を、理由を付けて除外する | 対象外の要員とサービスアカウント |
Upload evidence | 多要素認証、セキュリティー研修、バックグラウンドチェックなどの証跡をアップロードする | セキュリティー研修、バックグラウンドチェック |
Re-enable IdP/HRIS sync | 手作業の変更で止まった同期を再開する | 人事システムとの連携 |
| 研修のリセット | Reset Security Training、Reset HIPAA Training（HIPAAのフレームワークが必要）、Reset AI Awareness Training（NIST AIのフレームワークが必要） | セキュリティー研修 |
一覧の書き出し
Downloadから、要員の情報をCSVファイルで書き出せます。全ての要員か、絞り込んだ要員かを選べます。
| 書き出し | 内容 |
|---|---|
Compliance overview | 要員ごとのコンプライアンスの状況の全体。カスタムフィールドも含む |
Policy acknowledgement | 要員ごとに、どのポリシーに同意したかの詳細 |
PersonnelページのDownloadのメニュー。全ての要員と絞り込んだ要員のそれぞれについて、2種類の報告を書き出せる
手動での登録
連携に対応していないIDプロバイダーを使う場合
Drataが連携に対応していないIDプロバイダーを使っている場合は、要員の情報をCSVファイルで取り込む連携（Manual Import）を使います。ConnectionsでCSVの連携を探して始め、ひな形をダウンロードして記入し、アップロードします。
| 列 | 必須 | 内容 |
|---|---|---|
id | 必須 | IDプロバイダーでの主なID |
first_name、last_name | 必須 | 名と姓 |
email | 必須 | メールアドレス |
avatar_url | 任意 | アバターの画像の公開URL |
is_contractor | 必須 | 業務委託者かどうか（1、0、yes、no、true、false） |
mfa | 必須 | IDプロバイダーで多要素認証を有効にしているか |
job_title | 任意 | 役職 |
customer_id | 任意 | 別のID。先頭が0のIDは、Excelで0が消えることがある |
created_at | 必須 | IDプロバイダーでユーザーを作った日。ISO 8601、米国式（01/18/2022）、RFC 3339の形で書く。日・月・年の順の形は使えない |
【注意】 列の順序を変えず、全ての列を含めてください。メールアドレスのドメインは1つだけで、複数のドメインには対応していません。CSVの連携は、OktaやGoogle Workspaceなどの同期する連携と組み合わせられません。入社や退職などの変更は、
Connectionsの連携の編集のアイコンから、新しいCSVファイルをアップロードして反映します。ファイルに誤りがあると、内容を知らせるメールが届きます。
CSVの連携をつなげるのは、Admin、Workspace Manager、DevOps Engineerのロールのユーザーです。要員がDrataにサインインするには、別にSSOの連携（Enterprise SSO）をつなぎます。
人事システムをつながない場合
人事システムをつながない場合は、入社日、退職日、雇用状態を、Personnelページで要員ごとに直すか、名前、メールアドレス、入社日、退職日、雇用状態を書いたファイルをアップロードして一括で取り込みます。どちらも手作業の更新として扱われ、その要員のIDプロバイダーとの同期が止まります。一括での取り込みは継続的な手作業になり、処理に時間がかかることがあります。
Personnelページの…のメニューには、退職した要員を追加するAdd former personnelもあります。手作業で追加した退職者の雇用状態は、後から変えられません。
同期のタイミングと再同期
連携先での変更は、APIで取得できるようになるまで、Drataへの反映に最長で24時間かかります。連携先でユーザーを追加・削除した、グループを変えた、入社や退職の手続きを済ませたなど、変更をすぐに反映したいときは、Adminのロールのユーザーが再同期します。
Governance→Personnelで、…のメニューを開きます。Resync Personnelを選び、確認します。
Personnelページの…のメニュー。Add former personnel、Resync Personnel、Bulk importが並ぶ
IDプロバイダー、クラウド基盤、バージョン管理、研修サービスなどの連携がまとめて同期されます。開始と完了は画面に表示され、完了すると管理者にメールが届きます。要員が見つからない、雇用状態が想定と違うといった場合の直し方は、人事システムとの連携で説明しています。
ワークスペースごとに要員を絞る
ワークスペースを使っている場合、既定では、全ての要員が全てのワークスペースに表示されます。IDプロバイダーのグループをワークスペースに割り当てると、そのグループのメンバーだけが、そのワークスペースの要員として表示されます（Personnel scoping）。
SettingsのOrganizationでWorkspacesを選びます。- 設定するワークスペースを選びます。
Personnel scopingの欄でEditを選びます。- 含めるIDプロバイダーのグループを探して選び、
Saveを選びます。
ワークスペースの詳細の画面。Personnel scopingの欄で、ワークスペースに含めるIDプロバイダーのグループを選ぶ
設定できるのは、Adminか、そのワークスペースのWorkspace Managerのロールのユーザーです。グループは複数選べ、同じグループを複数のワークスペースに選べます。グループを選ばなければ、全ての要員が表示されます。要員の記録は1つのままで、削除も複製もされません。
【注意】 範囲の設定は、
Personnelページ、フレームワークの準備状況、確認項目、モニタリングテスト、監査のサンプリング、書き出しの対象の要員を変えます。含めるべきグループが漏れていると、そのワークスペースの結果が実際の要員の全体を表さなくなります。保存する前に、全てのグループを選んだかを確かめてください。選んだグループの名前が変わったり、削除されたり、同期されなくなったりすると、そのワークスペースには、どのグループにも属さない要員だけが表示されます。
組織全体の要員は、Organizationの見出しのGovernance → All Personnelで確かめます。ワークスペースの設計は、ワークスペースの設計で説明しています。