Quick Startは、Drataを使い始めるときに勧められる設定の作業を、順に案内するチェックリストです。各作業から、設定するページに直接移れます。このページでは、Quick Startを使った初期設定の進め方として、表示されるタスクの順序、基本情報の入力、最初につなぐ連携、Quick Startを終えた後に確認しておく設定を説明します。
Quick Startの役割
Quick Startでは、次のことを進められます。
- 中心になる連携をつなぐ
- 有効にしたフレームワークについて、継続的なコンプライアンスの準備をする
- 要員とポリシーの準備をする
- 設定の進み具合を確かめる
Quick Startを開けるのはAdminロールのユーザーです。ナビゲーションのQuick Startを選ぶと開きます。画面の上部には、全体の進み具合が割合で表示されます。
Quick Startの画面。上部に全体の進み具合が表示され、区分ごとに作業が並ぶ。Provide basic infoの区分を開くと、Go to Company Infoのボタンが表示される
作業の区分と順序
Quick Startは、次の区分に分かれています。各区分には1つ以上の作業があり、上から順に進めるように並んでいます。
| 順序 | 区分 | 行うこと |
|---|---|---|
| 1 | Provide Basic Info | 監査人やモニタリングテストが組織と適用範囲を理解するための、会社の基本情報を入力する |
| 2 | Make Connections to Power Automation | モニタリングと証跡の収集を自動化するための連携をつなぐ |
| 3 | Establish Continuous Compliance for Your Frameworks | ロールの割り当て、フレームワークの要求事項の確認、コントロールの範囲の確認 |
| 4 | Ensure Your Personnel Stays Compliant | 要員のデータの同期、雇用状態の確認、社内のセキュリティーと研修の設定 |
| 5 | Set Up Your Policies | ポリシーの作成、承認、同意の準備 |
全ての作業を1回で終える必要はありません。いつでもQuick Startに戻って、続きから進められます。必要な作業が全て済むと、Quick Startは100%の完了と表示されます。
基本情報を入力する
最初の区分Provide Basic Infoでは、会社の基本情報を入力します。Go to Company Infoを選ぶと、Settings → Organization detailsのOrg infoタブに移ります。
この作業を完了にするには、Org infoタブの全ての項目を入力します。任意（optional）と表示されている項目も、編集できるものは全て入力してください。Account ID、SafeBase Organization ID、データの保管場所（Data residency location）など、Drataが自動で入れる項目や、あらかじめ値が入っている項目は、編集できる場合だけ入力します。
各項目の意味と、入力した値が使われる場所は、組織の情報と主要な担当者で説明します。
最初につなぐ連携
2番目の区分Make Connections to Power Automationでは、Drataの自動化を支える連携をつなぎます。最初につなぐ連携は、次の4種類です。
| 連携の種類 | つなぐとできること |
|---|---|
| IDプロバイダー（Identity） | 要員のデータを自動で同期し、入社と退職を追い、アクセスの管理を支える。要員に関するコントロールを正確に保てるほか、社員が既存の認証の仕組みでDrataにサインインできるようになる |
| クラウド基盤（Infrastructure） | システムの構成、データの保管、セキュリティーの設定に関する証跡を自動で集める。手作業での証跡のアップロードが減り、コンプライアンスに影響する設定の問題を見つけやすくなる |
| バージョン管理（Version control） | ソフトウェア開発と変更管理のコントロールの証跡になる。コードの変更がどのようにレビュー、承認、記録されているかを、手作業のスクリーンショットなしに示せる |
| 課題管理（Ticketing） | テストが失敗したときに、是正の作業を自動で作って追跡する。問題への対応が早くなり、いつどのように不備に対応したかの記録が残る |
【運用のポイント】 連携の中では、IDプロバイダーを最初につなぎます。Drataは、IDプロバイダーをもとに要員の一覧を作ります。また、Quick Startのロールの割り当ては、IDプロバイダーとの連携を済ませないと行えません。人事システムとの連携も、IDプロバイダーの連携の後に設定します。
それぞれの連携の進め方は、連携の全体像と、IDプロバイダーとの連携、クラウド基盤との連携、開発と課題管理のツールとの連携で説明します。
フレームワークの準備
3番目の区分Establish Continuous Compliance for Your Frameworksには、次の作業があります。
| 作業 | 内容 |
|---|---|
| ロールの割り当て（任意） | ほかの管理者を招待し、Drataを管理するメンバーにロールを割り当てる。会社の全員に割り当てる必要はなく、Drataでコンプライアンスを管理する人だけでいい。入社時の作業のためにサインインするだけの社員には割り当てない。IDプロバイダーとの連携を済ませてから行う |
| フレームワークの要求事項の範囲の確認 | Frameworksページに移る。有効にしたフレームワークごとにカードが表示される |
| 不足の確認と是正の計画 | Controlsページに移る。コントロールの範囲を確かめて不足を把握し、コントロールオーナーと承認者を割り当て、証跡を確かめ、コントロールを対象・対象外にする。必要に応じてコントロールを新しく作る |
フレームワークの要求事項を先に確かめるのには、理由があります。要求事項によって、何が対象で何が対象外か、Drataが何を基準に評価するかが決まり、コントロールはその範囲の要求事項に照らして評価されるからです。流れは次のようになります。
- フレームワークの要求事項が、何が当てはまるかを決める
- コントロールが、それらの要求事項にマッピングされる
- モニタリングテストと証跡が、コントロールを評価する
- 失敗したテスト、足りない証跡、完了していないコントロールから、不足が分かる
- 不足に対応する
ロールの考え方はロールと権限の設計、要求事項を対象外にする判断は対象と対象外の管理で説明します。
要員の準備
4番目の区分Ensure Your Personnel Stays Compliantには、次の作業があります。
| 作業 | 内容 |
|---|---|
| 人事システムとの連携（任意） | 人事システムを読み取り専用でつなぐと、監査対象期間に対象となる要員と、アクセスを追う必要がある要員をDrataが判断できる。IDプロバイダーとの連携を先に済ませる |
| 要員の雇用状態の確認 | Personnelページで、全ての要員のコンプライアンスの状況を確かめる。セキュリティー研修のリセット、催促の送信、除外の適用などもここで行う |
| 社内のセキュリティーの設定 | Set upを選ぶと、Settings → Personnel complianceのInternal Securityタブが開く。端末の構成の証跡の集め方、セキュリティー研修、来訪者の記録の添付を設定する |
| バックグラウンドチェックの設定 | Set upを選ぶと、Settings → Personnel complianceのHuman Resourcesタブが開く。Automationの欄でバックグラウンドチェックのサービスとつなぎ、要員にどのようにバックグラウンドチェックを求めるかを設定する |
それぞれの詳細は、人事システムとの連携、雇用状態と入社・退職の管理、セキュリティー研修、バックグラウンドチェックで説明します。
ポリシーの準備
最後の区分Set Up Your Policiesでは、Go to Policy Centerを選ぶとPoliciesページが開きます。ポリシーの作成、承認、同意は、ここで管理します。ポリシーは、フレームワークの準備状況と要員のコンプライアンスの両方に大きく関わります。
ポリシーの進め方は、ポリシー管理の全体像で説明します。
Quick Startを終えた後に確認しておく設定
Quick Startを終えたら、Quick Startの作業には含まれていない次の設定も確かめておきます。
| 設定 | 確かめること | 説明しているページ |
|---|---|---|
| 組織の情報と主要な担当者 | Organization detailsのKey personnelタブで、ガバナンスの責任者を割り当てたか | 組織の情報と主要な担当者 |
| ロール | Drataの管理に関わるメンバーに、責任に合ったロールを割り当てたか | ロールと権限の設計 |
| サインインの方式 | SSOを使うかどうかを決め、使う場合は設定したか | サインインとSSO |
| ワークスペース | ワークスペースを分ける場合は、作成とフレームワークの割り当てを済ませたか | ワークスペースの設計 |
| 通知 | 個人の通知と、SlackやMicrosoft Teamsへの組織の通知ルールを設定したか | 通知の設定 |
ヘルプセンターでは、Quick Startを終えた後に試す機能として、脆弱性の管理、オブザーバビリティーのツールとの連携、顧客に自社のセキュリティーの状況を示すTrust Centerを挙げています。脆弱性の管理は資産と脆弱性の管理、Trust CenterはTrust Centerの全体像と公開までの流れで説明します。