組織メンバーとロール

SafeBaseを使う人は、Trust Centerを運営する社内の組織メンバーと、Trust Centerを閲覧する社外のアカウントメンバーに分かれます。組織メンバーには、担当する業務に合わせてロールを割り当て、見られる範囲と操作できる範囲を絞ります。このページでは、組織メンバーとアカウントメンバーの違い、メンバーの招待、組み込みのロールの権限、新しいメンバーの既定のロールを説明します。

組織メンバーとアカウントメンバー

種類	対象	アクセスの仕方
組織メンバー	Trust Centerを持ち、運営する組織の従業員	管理用の画面に招待され、Trust Centerの設定、編集、管理を行う。ロールはSettings → User Managementで管理する
アカウントメンバー	顧客、見込み客、ベンダー、パートナーなどの社外の人	Trust Centerの内容へのアクセスを申請し、承認されるとメールのマジックリンクで閲覧する。SafeBaseのアカウントの作成、ユーザー名とパスワード、SSOは一切求められない

組織メンバーのアクセスは、社外の人に向けたものではありません。例外は、組織メンバーと同じアクセスを持たせるべき特定のパートナーやコンサルタントだけです。組織メンバーの登録は、Adminのロールの人が従業員ごとに作り、招待します。

アカウントメンバーとアカウントの扱い（申請の承認、NDA、アクセスの期限など）は、アクセス申請と承認とアカウントと権限プロファイルで説明します。

組織のドメインで決まる範囲

Trust Centerは、作成したときに1つ以上のドメインに結び付けられます。組織メンバーになり、管理用の画面にアクセスできるのは、これらのドメインのメールアドレスを持つ人だけです。1つのドメインは、1つの組織にしか結び付けられません。

パートナーやMSSP（マネージドセキュリティーサービスプロバイダー）にTrust Centerの運営を任せる場合、その担当者はほかのSafeBaseの顧客も支援していることがあります。ドメインは組織ごとに固有のため、アクセスを付けるには追加の条件が必要になることがあります。この進め方は、SafeBaseのサポートに相談します。

従業員がアカウントメンバーにならないようにする

SafeBaseのチームは、従業員がアカウントメンバーとしてTrust Centerにアクセスするのを防ぐことを、最も重要な推奨事項の1つとしています。従業員が閲覧者として申請すると、業務の流れが乱れ、Trust Centerの統計がゆがみ、組織として決めた運用を迂回することになります。

社内で正しい使い方を周知するほかに、自社のドメインのメールアドレスからのアクセス申請をブロックする方法があります。従業員からの社外向けの申請が全て拒否され、正しい使い方を案内するメッセージを表示できます。設定はアクセス申請と承認で説明します。

組織メンバーが加わる方法

組織メンバーは、次の方法でTrust Centerに加わります。

方法	内容
メールアドレスとパスワードでの登録	組織のドメインの会社のメールアドレスで、app.safebase.ioの登録のページから登録すると、自動で組織メンバーに加わる。Continue with Googleを使う場合も同じ
メールでの招待	既存の組織の管理者が、ほかのメンバーを招待する
SAMLによるSSO	設定した後は、組織のIDプロバイダーで許可された人が加わる。app.safebase.ioでメールアドレスを入れてサインインするか、IDプロバイダーのダッシュボードで割り当てられたアプリを選んでサインインする

組織のドメインの人なら誰でもサインインでき、新しいメンバーのアカウントが既定のロールで自動で作られるようにする設定もあります。

SAMLによるSSOの設定は、SSOとSCIMの設定で説明します。

メンバーを招待する

SAMLによるSSOを使っていない組織では、ユーザー名とパスワード、またはGoogleのアカウントでサインインするメンバーを招待できます。

1. Adminのロールの人が、Settings → User Managementを開きます。
2. Inviteを選びます。
3. 招待する人のメールアドレスをEmailに入れ、割り当てるロールをRoleで選びます。
4. 複数の人を招待する場合は、+ Add another memberで行を加えます。
5. Send invitationsを選び、招待を送ります。

メンバーの招待の画面。メールアドレスとロールを指定し、組織のドメインの人だけを招待できる

組み込みのロール

組織メンバーの権限は、ロールベースのアクセス制御（RBAC）で決まります。ロールを割り当てると、メンバーはTrust Centerの特定の部分だけにアクセスできるようになります。組み込みのロールは次の7つです。

ロール	権限
Admin	SafeBaseの全ての機能に対する全ての権限
Read-only Admin	設定を含むSafeBaseの全ての閲覧。編集はできない
Account Manager	アカウントとアクセス申請に対する全ての権限。Trust Centerとナレッジベースを閲覧できる
Trust Contributor	Trust Center、ナレッジベース、文書に対する全ての権限
Trust Consumer	Trust Centerとナレッジベースの閲覧だけ
Questionnaire Contributor	質問票の質問への回答と承認ができるが、AIQAは実行できない。Trust Centerとナレッジベースを閲覧できる
Questionnaire Manager	質問票に対する全ての権限。Trust Centerとナレッジベースを閲覧できる

【運用のポイント】 ヘルプセンターでは、ロールの使い分けの例として、Adminには全ての機能へのアクセスを付け、営業などの顧客と接するチームにはAccount Managerを割り当てる方法を挙げています。Account Managerはアカウントの管理と内容の閲覧ができる一方、ダウンロードはできないため、古いセキュリティーの情報が出回ったり、NDAの締結の前に機密の文書が共有されたりするのを防げます。

ロールの権限を確かめる

ロールごとの細かい権限は、次の手順で確かめます。

1. User Managementの一覧で、Rolesタブを選びます。
2. 一覧からロールを選びます。
3. Permissionの列で、チェックの印が付いた権限はそのロールに付いていて、×の印が付いた権限は付いていません。

Read-only Adminのロールの権限。機能の区分ごとに、付いている権限にチェック、付いていない権限に×が表示される

文書のダウンロードの権限を変える

組み込みのロールは、文書のダウンロードの設定を除いて編集できません。組み込みのロールのダウンロードの設定は、次の手順で変えます。

1. User Managementの一覧で、Rolesタブを選びます。
2. ダウンロードの設定を変えるロールを選び、権限の一覧のFilesのセクションまでスクロールします。
3. Download filesの行のチェックボックスを選び、ダウンロードの許可を切り替えます。

Trust Contributorのロールの権限。FilesのセクションのDownload filesのチェックボックスで、ダウンロードの許可を切り替える

カスタムのロール

Enterpriseのプランでは、独自の権限を持つロールを追加で作れます。カスタムのロールを作りたい場合は、正規販売代理店（デジタルアクセルズ）にご相談ください。

新しいメンバーの既定のロール

Adminのロールの人は、Trust Centerに新しく加わる組織メンバーに割り当てるロールを、既定のロールとして決められます。新しく加わるメンバーには、既定のロールが自動で割り当てられます。組織のドメインで自動で登録される人も、既定のロールで加わります。

1. SettingsのUser Managementのセクションを開きます。
2. Default Role for New Membersの選択欄で、既定のロールを選びます。

ヘルプセンターでは、最小権限の原則に基づいて既定のロールを決め、必要に応じて権限を上げる方法を勧めています。組み込みのロールでは、Trust Consumerがこれに当たります。

SAMLによるSSOを設定するときの既定のロールの扱いと、SCIMのグループとロールの関係は、SSOとSCIMの設定で説明します。

メンバーごとのメールの通知

組織の管理者には、アクセス申請、質問票の提出、アカウントメンバーからのメッセージについての通知が届きます。メールの通知を受け取るかどうかは、メンバーごとに切り替えられます。

切り替える人	方法
管理者	Settings → User Managementの一覧で、メンバーごとの通知の切り替えを使う
メンバー本人	右上のプロフィールのメニューからProfile & Preferencesを開き、メールの設定を変える

ユーザー管理の一覧。Notificationsの列で、メンバーごとにメールの通知を切り替える

この切り替えは、そのメンバーへのメールの通知だけに効きます。どの通知をメール、Slack、Microsoft Teamsのどれで組織に送るかは、SettingsのNotificationsタブで設定します。SafeBaseが自動で送る通知のメールは、メールのブランディングを設定していない場合、notifications@safebase.coから送られます。メールのセキュリティーの製品を使っている場合は、通知のメールが止められないよう許可しておいてください。