多くのフレームワークは、要員が入社時と定期的にセキュリティー研修を受けることを求めています。Drataでは、組み込みの研修、つないだ研修サービス、外部で受けた研修の証跡のいずれかで受講を記録し、モニタリングテストで確かめます。このページでは、Drataでのセキュリティー研修の管理として、組み込みの研修と外部の研修サービスの使い分け、外部で受けた研修の記録の一括インポート、受講の期限と催促を説明します。
研修の種類と設定の場所
Drataで管理する研修は、次の3つです。
| 研修 | 確認項目 | 表示される条件 |
|---|---|---|
| セキュリティー意識向上の研修（Security Awareness Training） | Security Training | 常に |
| HIPAA研修 | HIPAA Training | HIPAAのフレームワークを有効にしている場合 |
| AI意識向上の研修（AI Awareness Training） | AI Awareness Training | 該当するAIのフレームワークを有効にしている場合。不要なら無効にできる |
研修の方法は、SettingsのOrganizationでPersonnel complianceを選び、Trainingタブで決めます。設定できるのはAdminのロールのユーザーだけです。
Personnel ComplianceのTrainingタブ。研修ごとに方法を選び、定期的なリセットを設定する
研修の方法を選ぶ
研修ごとに、次の方法から選びます。
| 方法 | 内容 | 向いている場合 |
|---|---|---|
| Drataの組み込みの研修（既定） | 要員がDrataで研修を受け、受講が自動で記録され、監査に使える証跡が要員の記録に付く | 研修の仕組みを別に持っていない。最も簡単に運用したい |
| 研修サービスとの連携 | つないだ研修サービスから、受講の状況を自動で同期する | KnowBe4やHuntressなどを既に使っている |
| 外部の研修（要員がアップロード） | 要員が、外部で受けた研修の修了の証跡をMy Drataでアップロードする | 社内や外部の研修を使い、要員に証跡を出してもらう |
| 外部の研修（管理者がアップロード） | 管理者が、要員ごとの記録に証跡をアップロードする | 要員の入社時の作業を減らしたい。管理者の負担は増える |
HIPAA研修では、組み込みの研修、KnowBe4での研修、外部の研修のほか、HIPAA研修を求めない設定も選べます。AI意識向上の研修を無効にすると、その確認項目と、入社時の作業のAI研修の段階がなくなります。
【注意】 研修の設定は、監査の準備状況に直接影響します。設定を変えても、過去にさかのぼって要員が受講済みになることはありません。管理者がアップロードする方法に変えると、証跡を集める責任が管理者に移ります。
研修サービスとつなぐ
KnowBe4とHuntressとの連携では、研修サービスのキャンペーン（研修の割り当て）のうち、どれを受講の判定に使うかを連携の設定で選びます。要員は、選んだキャンペーンのうち、自分が登録されている全てのキャンペーンを修了すると、受講済みになります。選んでいないキャンペーンは無視されます。
| 研修サービス | 準備すること |
|---|---|
| KnowBe4 | KnowBe4のReporting API（PlatinumとDiamondのプランで使える）を有効にしてAPIトークンを取り、サーバー（US、EU、CA）を選ぶ。キャンペーンを、セキュリティー研修、HIPAA研修、AI研修のどれに使うかを選ぶ |
| Huntress | Huntressの管理者のアカウントで認証し、受講の判定に使う割り当てを選ぶ。削除した割り当ては取り込めない。認証のトークンが期限切れになると連携が切れる |
KnowBe4とHuntressとの連携の作業は、Admin、Workspace Manager、DevOps Engineerのロールのユーザーが行えます（KnowBe4ではInformation Security Leadも可）。KnowBe4かHuntressと連携すると、要員はMy Drataの入社時の作業で、その研修サービスの画面に案内されます。Drataは毎晩、KnowBe4かHuntressから受講の状況を同期し、修了した要員の修了証を取り込みます。
【注意】 KnowBe4とHuntressとの同期は、まだ受講済みになっていない要員だけが対象です。いったん受講済みになると、その要員の状況は同期されなくなり、KnowBe4やHuntressの側の変更で上書きされません。新しい周期の受講を判定し直すには、Drataで研修をリセットします。KnowBe4でAI研修の受講を自動で同期するには、NIST AI RMFのフレームワークが必要です。
外部で受けた研修の記録を一括インポートする
外部で受けた研修の修了の記録は、複数の要員の分をまとめて取り込めます。セキュリティー研修、HIPAA研修、AI研修に使え、各行はメールアドレスで要員に対応付けられます。
一括インポートを使えるのは、AdminとWorkspace Managerのロールのユーザーです。対象の要員は、在籍中か退職済みの従業員か業務委託者として、既にDrataにいる必要があります。入社予定者と対象外の要員のメールアドレスは使えません。HIPAA研修とAI研修では、該当するフレームワークを有効にしておきます（複数のワークスペースを使っている場合は、少なくとも1つのワークスペースで）。
Governance→Personnelで、一覧の…のメニューからBulk import→Trainingsを選びます。- 研修の種類（
Security、HIPAA、AI Awareness）を選びます。
Personnelページの…のメニュー。Bulk importのTrainingsから、研修の種類を選ぶ
- ファイルをアップロードするか、画面で項目を対応付けます。ファイルの項目（
Incoming fields）を、Drataの項目（Destination fields）に対応付け、プレビューで確かめてContinueを選びます。 - 必要に応じて、ファイルの値をDrataの値に対応付け、
Submitを選びます。 - 各行が検証されます。赤のセルは誤り、黄色のセルは警告や情報です。列の見出しにポインターを置くと、検証の規則を確かめられます。全ての赤のセルを直すと
Submitを選べるようになります。
| 項目 | 必須 | 規則 |
|---|---|---|
Personnel Email | 必須 | Drataにいる在籍中か退職済みの従業員か業務委託者のメールアドレス |
Completion Date | 必須 | 今日以前の日付。未来の日付は使えない |
Evidence | 必須 | Upload evidence filesの欄で証跡のファイルをアップロードする。PDF、Word、Excel、PowerPoint、OpenDocument、画像（GIF、JPEG、PNG）の形式に対応 |
受講の期限と催促
定期的なリセット
毎年の受講を求めるフレームワークに合わせて、研修を自動でリセットできます。Trainingタブで研修ごとにSchedule recurring training resetsを有効にし、次のどちらかを選びます。
| リセットの方法 | 動き |
|---|---|
Reset 12 months after each personnel's last completion date | 要員ごとに、最後に修了した日から12カ月後にリセットする |
Reset on the same date each year for all personnel | 全ての要員を、毎年の決まった日にリセットする |
リセットされると、研修はPersonnelページとMy Drataの入社時の作業で未完了（Incomplete）になり、関係する確認項目は、受講し直すまで失敗します。前の修了の記録は、監査の履歴として残ります。
【注意】 最後に修了した日から12カ月後にリセットする方法を有効にすると、既に12カ月を過ぎている要員の研修は、保存した直後にリセットされます。有効にする時期は、要員に受講し直してもらう準備ができてから選んでください。
手作業でリセットするときは、Personnelページで要員を選び、MoreからReset Security Training、Reset HIPAA Training、Reset AI Awareness Trainingのいずれかを選んで確定します。ポリシーの改訂やフレームワークの変更の後に、受講し直してもらう場合などに使います。
入社時の受講の猶予
入社した要員が、入社直後からテストを失敗させないように、Information Security PolicyのSLA（対応の期限）で入社時の作業の猶予を決めます。猶予の間は、関係するテストは成功のままです。設定の仕方は、雇用状態と入社・退職の管理で説明しています。
未受講の要員を把握して催促する
研修のテスト（Security Awareness Training Completed）は、修了証のない要員がいると失敗し、未受講の要員の一覧が示されます。Personnelページでは、Complianceの絞り込みで研修が済んでいない要員に絞れます。
催促のメールは、Personnelページで要員を選び、Send reminder emailで送ります。要員の詳細の画面からも送れます。メールは、済んでいない作業がある要員にだけ送れ、My Drataでの作業を促します。
Personnelページで要員を選んだ画面。下のバーのSend reminder emailで催促のメールを送る
要員がMy Drataで研修を受ける流れは、My Drataで社員が行うことで説明します。