Drataでは、ユーザーにロールを割り当て、ロールごとに使えるページと操作が決まります。誰にどのロールを付けるかは、操作の効率だけでなく、コントロールを実施する人と確認する人を分ける職務分掌にも関わります。このページでは、Drataのロールの割り当て方として、Adminをはじめとする各ロールの権限、読み取り専用の設定、避けるべき組み合わせ、職務分掌を保つための人選の考え方を説明します。
ロールの仕組み
Drataのロールは、あらかじめ用意された権限のまとまりです。ロールは、次のように働きます。
| 仕組み | 内容 |
|---|---|
| 複数のロール | 1人のユーザーに複数のロールを割り当てられる |
| 権限の足し合わせ | 複数のロールを持つユーザーは、全てのロールの権限を合わせて持つ |
Adminロール | ワークスペースの全ての領域を読み書きでき、ほかの全てのロールの権限を含む。Adminロールを持つユーザーにほかのロールを付けても意味がない |
| 読み取り専用と範囲の制限 | 一部のロールには、閲覧だけに限る版や、自分が担当する項目だけに限る版がある |
ロールを割り当てるのは、Drataで管理やコンプライアンスの作業をする人だけです。ポリシーへの同意や研修などのためにMy Drataにサインインするだけの社員には、ロールを割り当てる必要はありません。
各ロールの権限
各ロールの役割と、使える主なページは次の通りです。表には、SettingsとMy Drataのページは含めていません。
| ロール | 役割 | 使える主なページ |
|---|---|---|
Admin | 全ての領域を扱え、ユーザーとロールを管理する | 全てのページ |
Information Security Lead | セキュリティーの状況、コントロール、証跡、セキュリティーの報告をワークスペース全体で管理する | Dashboard、Controls、Evidence、Monitoring、Tests、Events、Personnel、Policies、Vendors、Assets、Vulnerabilities、Tasks、リスクとConnectionsの一部、サポートへのリモートアクセスの許可 |
Workspace Manager | 担当するワークスペースの日々の構成（資産、ベンダー、連携など）を管理する。同じワークスペースでほかのロールと併用できない | Dashboard、Controls、Evidence、Monitoring、Audits、Access Reviews、Events、Personnel、Vendors、Assets、Vulnerabilities、Tasks、リスクのページ（リスク登録簿の管理を除く）、Connectionsの一部 |
Control Manager | コントロール、証跡、コントロールに関するタスクを管理する | Controls、Evidence、Monitoring、Tests、Events、Tasks（一般、コントロール、証跡の更新に限る） |
DevOps Engineer | 技術的な連携、モニタリング、インフラに関する証跡と検出事項を扱う | Dashboard、Frameworks、Monitoring（Compliance as Codeを含む）、Tests、Events、Evidence（閲覧だけ）、Connectionsの大半、Controlsの一部 |
Personnel Compliance Manager | 要員のコンプライアンス、雇用状態、入社と退職の手続きを管理する | Personnel、Tasks（ポリシーの更新に限る） |
Policy Manager | ポリシーの作成、更新、公開を担う | Policies |
Risk Manager | リスクアセスメント、リスク対応などのリスク管理を担う | リスクの全てのページ、Vendors、Tasks（一般、リスクに限る） |
Risk Register Owner | リスク登録簿を作成、更新、追跡する | リスクのページの大半、Tasks（一般、リスクに限る） |
Access Reviewer | アクセスレビューで、ユーザーのアクセス権が適切かを確かめる | Access Reviews、Connections（閲覧だけ） |
Internal Auditor | 内部監査の目的で、証跡、コントロール、状況を確認する | Audits（内部監査人向けのページに限る） |
Knowledge Base | 社内のナレッジベースの内容を管理する | ナレッジベース |
Trust User | SSOのリンクからSafeBaseに入る。Drataの権限は増えない | SafeBaseへのSSOのリンク |
Settingsの扱いは、次の通りです。
- 個人の設定（通知、表示言語）は、全てのロールが扱えます。
- 組織の設定は、原則として
Adminロールだけが扱えます。例外として、WorkflowsはWorkspace Manager、Personnel complianceのHuman ResourcesはPersonnel Compliance Manager、Ticket automationはDevOps Engineerも扱えます。 - Drataのサポートへのリモートアクセスの許可（
Account access）は、Admin、Information Security Lead、Workspace Managerが扱えます。 - My Drataは、
Risk Register Ownerを除く全てのロールが、自分の情報と作業の記録を見るために開けます。
Trust UserロールでSafeBaseに入ったユーザーのSafeBaseでの権限は、SafeBaseのロールで決まります。DrataとSafeBaseは別々の権限の仕組みを使っているため、DrataのロールとSafeBaseのロールは一致しません。SafeBaseのロールは、組織メンバーとロールで説明します。
読み取り専用と範囲を制限したロール
多くのロールには、基本のロールのほかに、読み取り専用の版と、範囲を制限した版があります。それぞれが独立したロールで、既存のロールに付ける設定ではありません。
| 種類 | 内容 |
|---|---|
| 基本のロール | そのロールで使える全てのページを読み書きできる |
| 読み取り専用（Read-only） | 基本のロールと同じページを使えるが、閲覧、絞り込み、ダウンロードに限られる。作成、編集、削除はできない |
| 範囲の制限（Restricted-view） | 自分がオーナーの項目か、自分に割り当てられた項目だけを扱える。Control ManagerとRisk Managerだけにある |
読み取り専用のロールには、次のものがあります。
| ロール | できること |
|---|---|
Read-only Admin | アプリケーション全体の閲覧、絞り込み、ダウンロード |
Read-only Access Reviewer | アクセスレビューとアプリケーションの閲覧 |
Read-only Control Manager | コントロールと関係する証跡の閲覧 |
Read-only DevOps Engineer | Compliance as Codeのタスク、テストの結果、インフラの検出事項の閲覧 |
Read-only Information Security Lead | セキュリティーの状況、コントロール、コンプライアンスの証跡の閲覧 |
Read-only Personnel Compliance Manager | バックグラウンドチェック、雇用状態、要員のコンプライアンスの閲覧 |
Read-only Policy Manager | ポリシーの閲覧とダウンロード |
Read-only Risk Manager | リスク登録簿とリスクの詳細の閲覧 |
Read-only Risk Register Owner | 自分がオーナーのリスク登録簿のリスクの閲覧 |
範囲を制限したロールでは、次のように扱える項目が限られます。
| ロール | 扱える項目 |
|---|---|
範囲を制限したControl Manager | 自分がオーナーのコントロールと、タスクや承認で自分に割り当てられたコントロールだけ |
範囲を制限したRisk Manager | 自分がオーナーのリスクと、タスクで自分に割り当てられたリスクだけ |
以前、ロールに付ける切り替えで読み取り専用や範囲の制限を設定していたユーザーは、対応するロールに自動で移されています。
【注意】 同じロールの読み取り専用の版と範囲を制限した版（
Control ManagerかRisk Manager）は、直接は同時に割り当てられません。ただし、IDプロバイダーのグループとロールの対応付けを通じて両方が付いたり、この制限ができる前に両方が割り当てられていたりすることがあります。2つの版は、全てを閲覧できる権限と、担当の項目だけに限る権限という食い違う権限を与えるため、両方を持つユーザーの権限は意図しない状態になるおそれがあります。両方を持つユーザーがいないか確かめてください。
状況を確かめるだけで変更はしない人には、読み取り専用のロールを使うと、誤って設定や証跡を変えてしまうのを防げます。担当するコントロールやリスクが決まっている人には、範囲を制限したロールを使うと、担当の項目に絞って作業できます。
ロールを割り当てる
ロールを割り当て、変更し、外せるのは、Adminロールのユーザーだけです。割り当てる相手は、あらかじめDrataのアカウントに登録されている必要があります。まだ登録されていない場合は、先に招待します。
ロールを割り当てる手順
Settings→Role administrationを開きます。Assign roleを選びます。- 要員と、割り当てるロールを探して選びます。
- 割り当てを確定します。
Role administrationのUsersタブ。右上のAssign roleからロールを割り当てる
IDプロバイダーのグループに合わせてロールを自動で割り当てる方法は、サインインとSSOで説明します。
ロールを変える、外す
ロールを変えると、ユーザーのアクセスと権限は直ちに変わります。また、ユーザーが前のロールで担当していたコントロールやタスクなどは、操作した人に割り当て直されます。
Settings→Role administrationを開きます。- 対象のユーザーを選びます。
Assigned Rolesの欄で、現在割り当てられているロールを確かめます。複数のロールがある場合は、変えるロールを開きます。- 別のロールに変える場合は
Remove and reassignを選び、新しいロールを選んで確定します。 - ロールを外すだけの場合は
Remove roleを選びます。
Assigned Rolesの欄でRemove and reassignを選ぶと、新しいロールを選ぶ画面が開く
【運用のポイント】 ロールを変えると、そのユーザーが担当していたコントロールやタスクが、操作した管理者に割り当て直されます。異動や担当替えでロールを変えたときは、割り当て直された項目を確かめ、新しい担当者に割り当て直してください。
避けるべきロールの組み合わせ
権限の衝突が起きたり、職務分掌が弱まったりするため、次の組み合わせは同じ人に割り当てないようにします。
| 組み合わせ | 避ける理由 |
|---|---|
Adminと、管理者に近い広い権限のロール | Adminロールが既に全ての権限を含むため、通常は不要 |
Workspace Managerと、同じワークスペースのほかのロール | 同じワークスペースでは併用できない。Workspace Managerを割り当てると、そのワークスペースのほかのロールは自動で外れる |
Trust Center Reviewerと、Admin、Information Security Lead、Workspace Manager、Trust Center Manager | Trust Center Reviewerロールが優先され、レビュー担当者の権限だけに制限されることがある |
Control ManagerとInternal Auditor | 内部監査の段階では、内部監査人は証跡を確認して依頼を管理できるが、証跡のアップロードや削除はできない。同じ人がコントロールと証跡の管理と内部監査の両方を担うと、作業が混乱し、コントロールを運用する人と確認する人の分離が弱まる |
Workspace Managerの扱い
Workspace Managerロールは、ワークスペースごとに割り当てる特別なロールです。
- 同じワークスペースでは、ほかのロールと併用できません。割り当てると、そのワークスペースでユーザーが持っていたほかのロールは自動で外れます。割り当ての前に、
Settings→Role administrationで、ほかのロールが付いていないかを確かめます。 - 1人のユーザーが、あるワークスペースでは
Workspace Manager、別のワークスペースでは別のロールを持てます。 Workspace Managerは、Settings→Workspacesで割り当てます。詳しくはワークスペースの設計で説明します。
職務分掌を保つための人選
ロールの人選は、次の考え方で進めます。
| 考え方 | 内容 |
|---|---|
| 必要な人だけに付ける | Drataでコンプライアンスを管理する人だけにロールを割り当てる。社員全員に付ける必要はない |
| 責任に合ったロールを選ぶ | 各ロールの役割を、その人がDrataで担う責任に合わせて選ぶ。ポリシーだけを担当する人にはPolicy Manager、要員の手続きだけを担当する人にはPersonnel Compliance Managerのように、広すぎるロールを避ける |
| 運用する人と確認する人を分ける | コントロールを運用する人（Control Managerなど）と、内部監査で確認する人（Internal Auditor）は別の人にする |
| 見るだけの人には読み取り専用を使う | 状況を確かめるだけの人には、読み取り専用のロールを割り当てる |
| 担当の範囲を絞る | 担当するコントロールやリスクが決まっている人には、範囲を制限したロールを使う |
【注意】
Adminロールのユーザーが1人もいない状態にならないようにします。管理者が退職するときは、手続きの前に、ほかに少なくとも1人の有効なAdminロールのユーザーがいることを確かめてください。管理者が退職する前に確かめること（新しい管理者の任命、連携のつなぎ直し、オーナーの割り当て直しなど）は、管理者が交代するときの引き継ぎで説明します。
各担当者（コントロールオーナー、ポリシーのオーナー、証跡のオーナー）の役割は、導入の流れと体制で説明します。