DrataとSafeBaseを併せて使うと、Drataで管理しているポリシー、コントロール、会社の情報、証跡を、SafeBaseのTrust Centerや質問票への回答に生かせます。逆に、Drataのベンダー管理では、ベンダーがSafeBaseで公開しているTrust Centerの情報をレビューに使えます。このページでは、DrataとSafeBaseをつなぐ方法として、Drataのポリシーと証跡をSafeBaseの文書に同期する仕組み、コントロールと会社の情報のAIQAへの同期、DrataのTrust Userロール、Drataのベンダーのレビューでの活用を説明します。
連携でできること
| 連携 | 向き | 内容 |
|---|---|---|
SafeBaseのDrataの連携 | DrataからSafeBaseへ | Drataの公開済みのポリシー、準備が完了したコントロール、会社の情報を、毎日SafeBaseに同期する |
| 証跡の同期 | DrataからSafeBaseへ | Drataの証跡のうち、ファイルのアーティファクトをSafeBaseの文書に同期する |
Trust Userロール | Drataのユーザーから | DrataのユーザーがSSOのリンクからSafeBaseに入る |
| ベンダーのTrust Center | SafeBaseからDrataへ | Drataのベンダー管理で、ベンダーのSafeBaseのTrust Centerを表示し、TPRM Agentのレビューに使う |
SafeBaseのDrataの連携
SafeBaseのDrataの連携では、Drataで管理しているポリシー、監視しているコントロール、会社の情報をSafeBaseに同期できます。Drataの内容をSafeBaseのTrust Libraryの文書に取り込み、AIによる質問票への回答（AIQA）の情報源にも使えます。
連携の仕組みは、次の通りです。
| 項目 | 内容 |
|---|---|
| 同期の向き | DrataからSafeBaseへの一方向。Trust Centerの内容はDrataに戻らない |
| 同期の時期 | 毎日、米国の夜間に同期する |
| 同期の後の作業 | 同期した文書をTrust Centerに表示するには、Trust Centerの項目に手作業で紐づける。ほかの文書は必要に応じてアップロードする |
| 再委託先 | Drataからは自動で同期されない。SafeBaseで手作業で加える |
連携を始める
連携は、SafeBaseのチームが有効にしてから使えます。SafeBaseのサポートに依頼し、Drataのテナントの次の2つの情報を伝えます。どちらも、DrataのSettings → Company Infoで確かめられます。
| 情報 | 内容 |
|---|---|
| Account ID | 36文字のUUID |
| Data Residency Location（Region） | データの保管場所。United States、Europe、Asia Pacificのいずれか |
SafeBaseのチームが連携を有効にしたことを確かめたら、SafeBaseのAdminのロールのユーザーが接続します。
- SafeBaseで、
Settings→Integrationsを開きます。 DrataのConnectを選びます。
SafeBaseのSettings → Integrationsに表示されるDrataの連携。Connectを選んで接続する
接続に失敗した場合は、依頼に使ったチャットかメールで、そのままSafeBaseのサポートに相談します。
同期する内容を選ぶ
接続すると、管理者は次の3つの同期を選べます。後から変える場合は、連携の横の歯車のアイコンを選びます。
| 同期 | 内容 | 同期の元 |
|---|---|---|
ポリシーの同期（Policy sync） | Drataの公開済みのポリシーを、SafeBaseに自動で取り込む。ポリシーはTrust Libraryの文書として保存され、Trust Centerでも使える | DrataのPolicy Centerの、有効で公開済みのポリシー |
AIQA用のコントロールの同期（AIQA Control Sync） | Drataの準備が完了したコントロールを同期する。AIQAは質問票に回答するときにコントロールを参照し、出典としてDrataを示す | DrataのControlsの、対象（In scope）で準備が完了した（Ready）コントロール。主ワークスペースだけ |
AIQA用の会社の情報の同期（AIQA Company Metadata Sync） | Drataの会社の情報を取り込み、AIQAが文脈に合った正確な回答を作れるようにする | DrataのSettings → Company Info |
Drataの連携の設定。ポリシー、AIQA用のコントロール、AIQA用の会社の情報の同期を切り替える
Drataのポリシーとコントロールの状態は、ポリシー管理の全体像とControlsページの見方、主ワークスペースはワークスペースの設計で説明しています。
同期の後に行う作業
Drataの内容をSafeBaseの文書に同期した後は、Trust Centerを整えるために、次の作業を行います。
- SafeBaseの
Documentsのセクションを開き、同期した内容を確かめます。 - 同期した文書を、関係するTrust Centerの項目に手作業で紐づけます。連携は文書の紐づけを自動では作らないため、この作業が欠かせません。
- アップロードした文書と紐づけた文書に、分かりやすい名前と分類が付いているかを確かめます。
- Drataの公開済みのポリシーのほかに、Trust Centerで公開したい文書や、AIQAの情報源に使いたい文書（SOC 2のレポート、W-9の様式など）があれば、SafeBaseの
Documentsのセクションから手作業でアップロードします。 - SOC 2のレポートをアップロードしたら、文書の
Linked Toタブで、SOC 2の項目に紐づけます。これで、Trust Centerにレポートが表示されます。
【注意】 再委託先（Subprocessors）は、Drataから自動では同期されません。SafeBaseのTrust Centerの編集画面で、
Legalのカードの再委託先のセクションに手作業で加えます。手順は編集画面と項目の配置で説明しています。
文書を項目に紐づける方法は、文書の掲載と透かしで説明しています。
Drataの証跡をSafeBaseに同期する
Drataの証跡のアーティファクトを、SafeBaseのDocumentsのセクションに同期できます。監査や質問票でよく求められる文書を、Drataで管理したままTrust Centerにも使えます。ヘルプセンターの「Drata Evidence Library Sync」では、同期の仕組みが次のように説明されています。
| 項目 | 内容 |
|---|---|
| 同期の向き | DrataからSafeBaseへの一方向。Drataでの変更は、SafeBaseの文書に自動で反映される |
| 同期した文書の場所 | SafeBaseのTrust LibraryのDocumentsのセクション |
| Trust Centerへの表示 | SafeBaseで確かめて公開するまで、Trust Centerには表示されない |
同期には、次の条件があります。
| 条件 | 内容 |
|---|---|
| ワークスペース | Drataの主ワークスペースの証跡だけが同期される |
| リージョン | Drataのテナントが北米（NA）リージョンにあること |
| アーティファクトの取得元 | 取得元がファイルであること |
| ファイルの形式 | SafeBaseが受け付ける形式であること（avif、csv、doc、docx、gif、jpeg、jpg、json、pdf、png、svg、tiff、txt、webp、xls、xlsb、xlsm、xlsx、zip） |
| ファイルの大きさ | 1ファイル75MBまで |
同期を使うには、Drata側で、DrataのテナントとSafeBaseの組織に設定を行ってもらう必要があります。有効にする相談は、正規販売代理店（デジタルアクセルズ）にご相談ください。あわせて、SafeBaseのSettingsで、Drataの連携が接続されていることを確かめます。前の節の3つの同期の切り替えは、オフのままでも構いません。
設定が済むと、Drataの証跡の一覧にSafeBase Trust Library Statusの列が加わり、証跡の詳細にSafeBase Trust Libraryタブが表示されます。DrataのEvidenceページで、複数の証跡を選んでまとめて同期する操作は、Evidenceページと証跡の状態で説明しています。
DrataのTrust Userロール
DrataのTrust Userロールを付けたユーザーは、SSOのリンクからSafeBaseに入れます。このロールで、Drataの権限は増えません。
DrataとSafeBaseは別々の権限の仕組み（RBAC）を使っているため、ユーザーのSafeBaseでのロールは、Drataのロールとは別のものになります。Trust UserロールでSafeBaseに入ったユーザーがSafeBaseで何をできるかは、SafeBaseのロールで決まります。
| 確かめること | 説明しているページ |
|---|---|
| Drataのロールの一覧と割り当て | ロールと権限の設計 |
| SafeBaseのロールと権限 | 組織メンバーとロール |
| SafeBaseのアカウントをDrataで管理している場合の認証 | SSOとSCIMの設定 |
Drataのベンダーのレビューで使う
Drataのベンダー管理は、SafeBaseと連携しています。ベンダーがSafeBaseのTrust Centerを公開している場合は、Drataのベンダーの情報の画面とセキュリティーレビューで、そのTrust Centerを直接使えます。ヘルプセンターの「SafeBase Trust Center integration in Drata TPRM」では、次のように説明されています。
| 場面 | 内容 |
|---|---|
| Trust CenterのURLの登録 | ベンダーを登録するとき、または既存のベンダーの情報を編集するときに、Trust Center URLの欄にSafeBaseのTrust CenterのURLを入れる。ベンダーの名前の欄でTrust Centerを検索して選ぶと、URLが自動で入る |
| ベンダーの一覧 | URLを保存すると、Current VendorsとProspective Vendorsの一覧で、ベンダーの名前の横にSafeBaseのアイコンが表示される。アイコンを選ぶと、ベンダーのTrust Centerが開く |
Trust Centerタブ | ベンダーの情報の画面にTrust Centerタブが表示され、ベンダーのSafeBaseのTrust Centerが埋め込まれる。既定では、ベンダーが公開している情報（認証、セキュリティーのポリシーと文書、再委託先の一覧など）が表示される |
| 非公開の文書のアクセスの申請 | ベンダーがレビューする人に追加の文書を共有している場合は、Request accessのボタンが表示される。選ぶと、SafeBaseのアクセスの申請の流れが開き、名前、会社のメールアドレス、会社名を入れ、ベンダーのTrust Centerの規約に同意する |
| セキュリティーレビュー | TPRM Agentが、Trust Centerの文書（認証、ポリシー、報告書など）を、質問票の回答と合わせて評価に使う。レビューの中でTrust Centerの内容を見て、特定の文書をレビューの記録に加えることもできる |
アクセスの制御、NDAの要件、承認は、全てSafeBaseの側で行われます。Trust CenterのURLから直接開く場合と同じ要件が当てはまります。
【注意】 TPRM Agentに非公開の文書を分析させるには、レビューを始める前に、
Request accessの流れでアクセスを得ておく必要があります。また、ベンダーの設定によっては、Drataの中では公開の情報しか見られなかったり、Trust Centerを全く表示できなかったりします。Drataから申請できない場合は、ベンダーに直接連絡します。
ベンダーの登録とTrust CenterのURLはベンダーの登録と分類、TPRM AgentがTrust Centerから資料を集めてレビューを進める流れはTPRM Agentによるレビューで説明しています。自社のTrust Centerへのアクセスの申請を受ける側の設定は、アクセス申請と承認で説明しています。