Drataのベンダー管理では、自社が取引する外部の企業（ベンダー。委託先）のセキュリティーの状況、レビューの状態、裏付けの資料をVendorsの下にまとめて管理します。ベンダーのリスク管理は、SOC 2などの監査で確かめられることの多い領域です。このページでは、Drataのベンダー管理の全体像として、取引中のベンダーと検討中のベンダーの扱い、Vendorsの各ページの役割、Vendor insightsで管理の状況を把握する方法を説明します。
Vendorsの各ページ
左側のナビゲーションのVendorsの下には、作業ごとに次のページがあります。
| ページ | 内容 |
|---|---|
Vendor insights | ベンダー管理の状況をまとめたダッシュボード。取引中のベンダーの数、期限が近いレビューと期限を過ぎたレビュー、リスクと影響の内訳を示す |
Current vendors | 取引中のベンダーの一覧 |
Prospective vendors | 取引を始める前に評価しているベンダーの一覧 |
Vendor risks | ベンダーに結び付いたリスクの一覧 |
Criteria | ベンダーのレビューで使う評価基準 |
Vendor settings | リマインダー、定期レビュー、ベンダーに送るメールなどの既定の設定 |
ベンダーに送る質問票（セキュリティーチェックシート）のテンプレートは、Vendors → Questionnairesで作成し、管理します。質問票の作り方と送り方は、質問票の送付と回収で説明します。
また、Vendorsのどのページでも、Drata AIのチャットのパネルを開いて、ベンダーについて質問したり、作業を頼んだりできます。チャットとTPRM Agentの使い方は、TPRM Agentによるレビューで説明します。
ベンダーのリスクの表記は、以前のImpact levelがInherent risk（固有リスク）に、Overall riskがResidual risk（残留リスク）に改められました。固有リスクは、コントロールで低減する前のベンダーのリスク、残留リスクは、社内のコントロールや低減策を適用した後に残るリスクです。表記が変わっただけで、リスクの計算や保存されている値、既存の設定は変わりません。社内の手順書や研修の資料に古い表記が残っている場合は、新しい表記に直しておくと、関係者の間で言葉がそろいます。
Vendor insightsの画面。左側のナビゲーションのVendorsの下に、ベンダー管理の各ページが並ぶ
取引中のベンダーと検討中のベンダー
ベンダーの登録先は2つあり、どちらに登録するかで、その後の扱いが変わります。
| 登録先 | 使う場面 | 入力する内容 |
|---|---|---|
取引中のベンダー（Current vendor） | 既に取引していて、Drataに記録するベンダー | ベンダーの情報、社内での管理の情報、リスクの情報 |
取引を検討中のベンダー（Prospective vendor） | 評価している最中で、まだ取引を決めていないベンダー | ベンダーの情報、依頼の情報、リスクの情報 |
取引を検討中のベンダーには、誰がいつ依頼したか、いつまでに判断が必要かという依頼の情報と、セキュリティーレビューの期間が加わります。検討中のベンダーは、取引中のベンダーの一覧とは分けて管理され、有効にするまで取引中の一覧には入りません。
【運用のポイント】 まだ契約していないベンダーは、取引を検討中のベンダーとして登録します。取引中のベンダーの一覧を実際に使っているベンダーだけに保てるうえ、評価の記録も残せます。
検討中のベンダーを有効にする
検討中のベンダーのレビューを終え、取引を進めると決めたら、ベンダーを有効にします。
- ベンダーの
Mark as activeを選びます。 - 有効にする手順の中で、次を済ませます。
- ベンダーのリスクレベルを確かめるか、割り当てます。
- レビューで残した所見（observation）を、ベンダーのリスクに変えます（TPRMを使っている場合だけ）。
- 定期レビューのスケジュールを設定します。
有効にしたベンダーはVendors → Current vendorsに移り、レビューの履歴は監査のために残ります。レビューの期限が追跡され、期限が近いベンダーにはDue soon、期限を過ぎたベンダーにはOverdueの印が付きます。
ベンダー管理の流れ
Drataでのベンダー管理は、次の順に進みます。
- ベンダーを登録します。登録の最後に、ベンダーが扱うデータや環境へのアクセスの情報をもとに、Drataが固有リスクのレベルを推奨します。手順はベンダーの登録と分類で説明します。
- 固有リスクのレベルによって、TPRM Agentがセキュリティーレビューで使う評価基準が決まります。登録のときに数分かけてリスクの情報を正しく入れておくと、その後の全ての評価に生きます。
- セキュリティーレビューで、ベンダーの資料や質問票の回答を確かめ、判断を記録します。手順はセキュリティーレビューの進め方と質問票の送付と回収で説明します。
- TPRM Agentを使う場合は、エージェントが資料を評価基準に照らして評価し、残留リスクを推奨します。手順はTPRM Agentによるレビューで説明します。
- 定期レビューを設定し、次回のレビューの期限を管理します。
取引中のベンダーの一覧
Vendors → Current vendorsでは、次の操作ができます。
| 操作 | 内容 |
|---|---|
| 絞り込み | Status、Type、Inherent risk、Residual risk、Security review status、Next review deadline、Business unit、Security ownerなどの項目で絞り込む |
| 検索 | ベンダーの名前で検索する |
| ダウンロード | 監査人に見せるために、ベンダーの一覧をダウンロードする |
機能と契約のプラン
ベンダー管理の機能には、契約のプランによって使えるものと使えないものがあります。ヘルプには、次の条件が書かれています。
| 機能 | ヘルプに書かれている条件 |
|---|---|
| Vendor insights | TPRMを契約していること |
ベンダーのリスク（Vendor risks） | TPRM Proを契約していること。リスクを結び付けるベンダーは、取引中のベンダーに登録されている必要がある |
| 影響度の自動の評価（Automated Impact Assessment） | TPRM Proを契約していること |
| 連携とOktaからのベンダーの候補（Vendor suggestions） | 一部のプランで使える |
| TPRM Agent | TPRM Proに加えて、TPRM Agentを使う権利（Agentic TPRM Assessment）が別に必要 |
契約のプランでどの機能を使えるかは、正規販売代理店（デジタルアクセルズ）にご相談ください。
Vendor insightsで状況を把握する
Vendor insightsは、サードパーティーリスク管理（TPRM）の取り組みの状況を一目で把握するためのダッシュボードです。ベンダーのリスクの状況、レビューの状態、ライフサイクルの状態をまとめて示すため、社内の関係者や監査人に取り組みの状況を伝えるときにも使えます。
Vendors → Vendor insightsを選ぶと開きます。Vendor insightsは読み取り専用の概要で、取引中のベンダー、取引を検討中のベンダー、ベンダーのリスクのデータをまとめて表示します。
Lifecycle overview
Lifecycle overviewには、ライフサイクルの段階とレビューの緊急度ごとのベンダーの数が、カードで並びます。
| カード | 内容 |
|---|---|
Active vendors | 取引中で有効なベンダー |
Vendors under review | レビュー中のベンダー |
Vendors on hold | 保留中のベンダー |
Flagged vendors | フラグを付けたベンダー |
Reviews due soon | レビューの期限が近いベンダー |
Reviews overdue | レビューの期限を過ぎたベンダー |
カードを選ぶと、その条件で絞り込んだCurrent vendorsの一覧が開きます。期限を過ぎたレビューや、評価中のベンダーなど、対応が必要なベンダーをすぐに見つけられます。
グラフ
Vendor insightsには、ベンダーの分布をまとめた次のグラフが並びます。
| グラフ | 内容 | 使い方 |
|---|---|---|
Inherent risk | 割り当てた影響の評価（固有リスク）ごとのベンダーの数 | ベンダーが侵害されたり使えなくなったりしたときに、自社がどれだけ影響を受けるかを把握する |
Risk Level | 残留リスクの分類ごとのベンダーの数 | 監視を強めたり、レビューの頻度を上げたりする必要のあるベンダーを見つける |
Type | 取引の関係の種類ごとのベンダーの数 | 取引先の構成を把握する |
Password Policy | ベンダーが利用者を認証する方法ごとのベンダーの数 | より強い認証が必要なベンダーを見つける |
PII Storage | 個人を特定できる情報（PII）を保管するかどうか | PIIを保管するベンダーは、より厳しい監視と頻繁なレビューが必要になることがある |
Lifecycle statusとBusiness unit
最後のセクションには、次の分類ごとのベンダーの数が、多い順に並びます。ベンダーが集中している分類が分かります。
| 分類 | 値 |
|---|---|
ライフサイクルの状態（Lifecycle status） | Active、Under review、Approved、Rejected、On hold、Offboarded、Flagged、Archived |
事業部門（Business unit） | Engineering、Product、Marketing、Sales、Legal、Finance、Administrative、Human Resources、Security |
【運用のポイント】 定期的にVendor insightsの
Reviews overdueとReviews due soonを確かめ、期限を過ぎたレビューが残っていないかを見ます。カードから絞り込んだ一覧を開けるため、そのまま担当者への依頼に移れます。