SafeBaseのTrust Centerは、自社のセキュリティーの取り組みを、顧客や見込み客に1カ所で示すための公開のページです。購買の検討や毎年のセキュリティーレビューで情報を求められたときに、閲覧者が自分で必要な情報を探し、アクセスを得て確かめられるようにします。このページでは、Trust Centerで社外に示せる情報、Trust Center、ナレッジベース、文書の関係、公開までに済ませる設定の順序を説明します。
管理用の画面と公開のTrust Center
SafeBaseは、次の2つに分かれています。
| 部分 | 使う人 | 内容 |
|---|---|---|
| 公開のTrust Center | 顧客、見込み客などの社外の人 | 自社のカスタムURLで公開する画面。閲覧者はここでアクセスを申請する |
| 管理用の画面 | 組織メンバー（Trust Centerを運営する社内の人） | Trust Centerを設定し、管理し、保守する画面 |
管理用の画面にはapp.safebase.ioからサインインします。SafeBaseのブランドはDrataに統合されましたが、製品とサービス、サインインやSSO、APIや連携、Trust Centerのリンクに変更はありません。
Trust Centerで社外に示せる情報
閲覧者から見たTrust Centerの内容は、次の4つの部分で構成されます。
| 部分 | 内容 |
|---|---|
文書（Documents） | SOC 2のレポートやポリシーなどの文書。公開の文書と、アクセスの承認を受けると閲覧やダウンロードができる文書が並ぶ |
カードと項目（Cards & Items） | カードは「Compliance」「Reports」「Policies」「Infrastructure」などの分類、項目はカードの中の個々の情報（SOC 2、ISO 27001、ペネトレーションテストのレポート、再委託先など） |
ナレッジベース（Knowledge Base (FAQ)） | 質問と回答。公開にするか、アクセスを得た人だけに見せるかを決めて、検索の対象にする |
更新情報（Trust Center Updates） | 新しい監査報告書の公開、方針の改定、話題になった脆弱性の影響の有無などのお知らせ。閲覧者はメールで購読できる |
閲覧者は、文書のセクションから直接文書を探すことも、カードを開いて関係する情報を探すこともできます。カードの中で詳しい説明がある項目には、緑のチェックの印が付きます。
Trust Centerのカード。Reports、Product Security、Risk Profile、Legalなどのカードに項目が並ぶ
Trust Centerでは、閲覧者が次の2種類の検索を使えます。
| 検索 | 対象 |
|---|---|
| Trust Centerの検索 | 文書とカード |
| ナレッジベースの検索 | 閲覧者が見られるナレッジベースの全ての項目 |
このほか、任意の機能として、閲覧者がカードの項目について運営のチームに直接質問できる会話の機能（Trust Center Conversations）があります。新しい会話や更新は、運営のチームにメールで通知されます。
Trust Center、ナレッジベース、文書の関係
SafeBaseで扱う内容は、次の3つに分けて管理します。
| 管理するもの | 管理する場所 | 役割 |
|---|---|---|
| カードと項目 | Trust Centerの編集画面（Trust Center Editor） | Trust Centerに並べる情報。項目ごとに名前と説明を付け、文書を紐づける |
| 文書 | Documents | 文書のファイルをまとめて管理し、項目に紐づける |
| ナレッジベース | Knowledge Base | 質問、回答、補足のコメントをためる、検索できる情報の土台。社内向けのTrust Library Searchの拠り所で、AI Questionnaire Assistance（AIQA）の主な情報源になる |
内容を考えるときの基本は、「Trust Centerを訪れた人が、どの情報を必要としているか」です。全てのカードと項目を埋める必要はなく、自社に当てはまる情報を基本的な範囲で載せるだけでも役に立ちます。
ナレッジベースには、過去に回答した質問票をまとめて取り込めます。ただし、質の低い内容を入れるとAIの回答の質も下がるため、ナレッジベースは整えた回答だけをためる場所として扱います。
【運用のポイント】 文書を項目に紐づけておくと、閲覧者がカードからも文書のセクションからも同じ文書にたどり着けます。最初に主要な文書を
Documentsにアップロードし、カードの項目に紐づけてから、項目の説明を書くと効率よく進められます。
閲覧者がアクセスを得る仕組み
Trust Centerを閲覧する社外の企業は、アカウント（閲覧者の企業）として管理されます。アカウントは、アクセスを申請した人のメールアドレスのドメインをもとに作られ、1社が1つのアカウントになります。同じドメインの人が後から申請すると、同じアカウントに加わります。
閲覧者は、Trust CenterのGet accessから申請し、承認されるとメールのマジックリンクからTrust Centerに戻ります。NDA（秘密保持契約）が必要な場合は署名してから、制限付きの情報を見られるようになります。同じアカウントで既にNDAが署名されていれば、後から加わった人は改めて署名する必要はありません。申請と承認の設定はアクセス申請と承認、NDAの設定はNDAの設定、アカウントの管理はアカウントと権限プロファイルで説明します。
公開までに済ませる設定の順序
ヘルプセンターの導入のチェックリストでは、Trust Centerの準備と公開を次の順に進めます。
1. 内容を載せる
最も重要な作業は、Trust Centerに内容を載せることです。
| 作業 | 説明しているページ |
|---|---|
| 文書をアップロードし、項目に紐づける | 文書の掲載と透かし、編集画面と項目の配置 |
| AIで項目の説明を作る。新しく追加した内容は、AIが使えるようになるまで時間がかかることがある | AIを使ったTrust Centerの作成と検索 |
| Drataを使っている場合は、Drataとの連携（任意）で、ポリシー、準備が完了したコントロール、会社の情報を取り込む | DrataとSafeBaseの連携 |
2. ブランディングを設定する
会社のブランドに合わせて、ロゴとファビコン、SNSで共有されたときの画像（Open Graph Image）、会社の色、フォント、バナーを設定します。手順はブランディングと独自のURLで説明します。
3. 連携と設定を済ませる
| 設定 | 内容 | 説明しているページ |
|---|---|---|
| SAMLによるSSO | 任意だが強く推奨される。SCIMはAdvancedとEnterpriseのプランで使える | SSOとSCIMの設定 |
| カスタムURL | 「trust.会社のドメイン」のような、社外に公開するURL | ブランディングと独自のURL |
| メールのブランディング | Trust Centerから顧客に送るメールに、会社の色とロゴを付ける | ブランディングと独自のURL |
| 既定のNDA | クリックラップ方式のNDAは全てのプランで使える。DocusignとIroncladとの連携は一部のプランで使える。ご契約のプランで使えるかどうかは、正規販売代理店（デジタルアクセルズ）にご相談ください | NDAの設定 |
| アクセス申請の流れ | 自動承認、申請のブロックなど | アクセス申請と承認 |
| CRMとの連携 | Salesforce、HubSpot、Microsoft Dynamics（早期提供）。一部のプランで使える。ご契約のプランで使えるかどうかは、正規販売代理店（デジタルアクセルズ）にご相談ください | CRMとの連携とRules Engine |
| Drataとの連携 | Drataの内容をTrust Centerに同期する | DrataとSafeBaseの連携 |
| Slackとの連携 | Trust Centerの通知を指定したチャンネルに送り、Slackから操作する | SlackとMicrosoft Teamsの連携 |
| Jiraとの連携 | アクセス申請の通知をJiraに送る | SlackとMicrosoft Teamsの連携 |
契約のプランでどの機能を使えるかは、正規販売代理店（デジタルアクセルズ）にご相談ください。
4. 公開する
- 公開の前に、Trust Centerを最終確認します。公開前の見え方は、プレビューモードで確かめられます（編集画面と項目の配置）。
- 顧客と接する営業などのチームに、Trust Centerの使い方を伝えます。
- カスタムURLでTrust Centerを公開します。
- Trust Centerの公開を社内外に告知します。
告知の進め方は、公開と社内外への案内で説明します。
Trust Centerを公開する
公開とは、Trust Centerを選んだカスタムURLでインターネットから閲覧できるようにすることです。公開は自社の操作で行えます。
- カスタムURLを設定し、DNSにCNAMEのレコードを加えます。手順はブランディングと独自のURLで説明します。
Refreshを選び、設定の状態を確かめます。状態は、バックグラウンドでも自動で更新されます。- 設定の値が確かめられると、公開のボタンが表示されます。公開の準備ができたら、
Publish Trust Centerを選びます。
カスタムURLの設定。CNAMEの確認が済むと、Publish Trust Centerのボタンが表示される
【注意】 公開した後に、公開を取りやめたり、カスタムURLを変えたりするには、SafeBaseのサポートへの依頼が必要です。
Publish Trust Centerを選ぶ前に、内容、ブランディング、アクセス申請の設定を確かめてください。
複数の製品を扱う場合
複数の製品やサービスを提供している組織は、製品ごとに内容を分けて示すMulti-Productの機能を使えます。Multi-Productは、AdvancedとEnterpriseのプランの有料の追加機能で、自社では有効にできません。追加の製品のページを購入した後、SafeBaseのサポートとともに有効にして設定します。購入の相談は、正規販売代理店（デジタルアクセルズ）にご相談ください。
有効にすると、組織メンバーはTrust Centerの編集画面の製品の選択欄で製品を切り替え、閲覧者はアクセスを申請するときに製品を選べます。製品ごとの公開のURLは、https://trust.company.com/portal?product=cloudのような形になります。
| 製品ごとに分かれるもの | 組織全体で共通のもの |
|---|---|
| ダッシュボード、コンプライアンスの項目、「Reviewed and Trusted By」のロゴ、項目の内容、バナー画像、ナレッジベースの内容、質問票 | 組織のロゴと色、更新情報、アカウント、会話、連携、購読者、NDA |
Multi-Productを使うと、SafeBaseのAIは製品を区別し、その製品に結び付いた内容と、全ての製品に共通（Global）の内容だけを使って回答します。
製品ごとにTrust Centerを完全に分けたい場合は、SafeBaseの組織を別に作る方法もあります。この場合、組織ごとに別のドメインが必要で、管理の手間とDNSの調整が増えます。また、1つのDrataのアカウントは1つのSafeBaseの組織にしかつなげないため、ほかの組織には内容を手作業で載せることになります。どちらの方法も追加の費用がかかるため、どちらが合うかは正規販売代理店（デジタルアクセルズ）にご相談ください。