ベンダーの質問票（セキュリティーチェックシート）は、ベンダーのセキュリティーの取り組みを、決まった質問で確かめて記録するためのものです。Drataの質問票はテンプレートで、一度作っておき、セキュリティーレビューの中でベンダーに送ります。ベンダーを取引に加えるときや、定期的なセキュリティーレビューでよく使います。このページでは、ベンダーに質問票を送って回収する方法として、質問票の作成、送付するメールの件名の変更、回答の確認、回答の内容をセキュリティーレビューに反映する方法を説明します。
質問票を作る
質問票は、Vendors → Questionnairesで管理します。このページで、質問票の確認、作成、編集、プレビューができます。
Questionnairesのページ。作成した質問票の一覧と、右上のCreate questionnaire
Create questionnaireを選びます。- 作り方を選びます。
From scratch：質問を手作業で加えます。Import questions：用意されたテンプレートを使って、CSVのファイルをアップロードします。1つのファイルで500問まで取り込めます。
- 質問票を保存します。
質問票は下書き（draft）として保存できます。ベンダーに送れるようにするには、有効（active）として保存します。
【注意】 質問を取り込むときは、次の点に気をつけます。質問の文にコンマを入れないでください。コンマの後の文字は、別の列として扱われます。条件によって出す追加の質問と、カスタムの回答の欄は、取り込めません。既存の質問票に取り込むと、質問票の全体が上書きされます。
質問を加える・並べ替える
質問を加えるには、入れたい位置でAdd (+)のアイコンを選びます。質問の順番は、ドラッグして変えます。
回答の形式
質問ごとに、次の回答の形式から1つを選びます。
| 回答の形式 | 内容 |
|---|---|
Short answer | 短い文字（文字、メールアドレス、URL、電話番号） |
Long answer | 長い文字 |
Multiple choice | 選択肢から1つを選ぶ。カスタムの回答を加えられる |
Checkboxes | 選択肢から複数を選ぶ。カスタムの回答を加えられる |
Yes / No | はいかいいえ。追加の質問を加えられる |
Date | 日付 |
File upload | ファイルの添付。使えるファイルの形式は.doc、.docx、.jpeg、.json、.pdf |
回答を必須にする
全ての質問を必須にするには、Mark all questions as requiredを有効にします。特定の質問を必須にするには、質問を開いてMark question as requiredを有効にします。
プレビューで確かめる
プレビューでは、ベンダーが見る画面を、送る前に確かめられます。下書きの質問票でも、有効な質問票でも、文言、質問の順番、書式の確認に使えます。
Vendors→Questionnairesを開きます。- 確かめる質問票を選びます。
- 右上の
Previewを選びます。
プレビューは、Questionnaire Previewという新しいタブで開き、ベンダーが見る画面のプレビューであることがバナーで示されます。全ての質問が、空欄で読み取り専用のまま、ベンダーがメールのリンクから開くのと同じ順番と書式で表示されます。プレビューにはベンダーが結び付いていないため、Vendorの欄は空欄（—）で、進み具合は常に「0 of [X] answered」から始まります。
メールの件名と本文を決める
ベンダーが質問票を受け取るときのメールの、既定の件名と本文を決めておけます。
Vendors→Vendor settingsを開きます。Email and questionnaire appearanceのセクションまでスクロールします。- メールの件名と本文を編集します。
Vendor settingsのEmail and questionnaire appearanceのセクション。ベンダーに送るメールの件名と本文を決める
件名を変えると、メールが迷惑メールとして扱われたり、見落とされたりするのを防ぎやすくなり、自社のブランドや連絡の決まりにも合わせられます。件名を変える機能は、New Experienceだけで使えます。既定の件名は、ベンダーと社内の関係者の両方に送るメールに使われます。
既定の件名を変えると、次に反映されます。
| 反映先 | 内容 |
|---|---|
| 定期レビューの質問票のメール | これから送る全てのメールに、新しい件名が使われる |
| 1回だけ送る質問票 | 送る画面の件名の欄に、新しい件名があらかじめ入る |
1回だけ送る質問票では、送る前に件名とメッセージを確かめて、その送付だけに合わせて変えられます。
質問票を送る
質問票は、セキュリティーレビューの一部として送ります。
Vendors→Current vendorsかProspective vendorsを開きます。- ベンダーを選びます。
Security reviewsのセクションを開きます。New review→Security reviewを選びます。Questionnaireを選び、Send via Drataを選びます。- 送る画面で、質問票を選び、受け取る人のメールアドレスを5件まで入れます。必要なら、このベンダー向けにメッセージを変えます。
- 質問票を送ります。
ベンダーには、質問票に回答するための安全なリンクを含むメールが届きます。メールには、選んだ質問票の質問だけが含まれます。用意された標準の質問票には、あらかじめ決められたセキュリティーの質問が含まれることがあり、自社で作った質問票には、作った質問だけが含まれます。
複数のベンダーにまとめて送る
複数のベンダーに同じ質問票をまとめて送るには、Vendors → Current vendorsの一括操作を使います。
- 送るベンダーのチェックボックスを選びます。
- 画面の下に表示される操作のバーで、
Send questionnaireを選びます。Send questionnaireのページが開きます。 Recipientsのセクションで、送り先を整えます。Security review nameに、レビューの名前を入れます。この名前は、選んだ全てのベンダーのセキュリティーレビューの記録に使われます。既定では、今日の日付をもとにした名前が入っています。Questionnaire(s) to sendで、送る質問票を選びます。- 必要なら、
Subject lineとEmail contentを変えます。どちらも既定の文があらかじめ入っています。 - 設定を確かめ、
Send questionnaireを選びます。
Recipientsのセクションは、2つに分かれています。
| 区分 | 操作 |
|---|---|
Vendors with email address | 連絡先のメールアドレスが登録済みのベンダー。ベンダーごとに、Includeで送り先に含めるか、Excludeで外すかを選ぶ |
Vendors without email address | 連絡先のメールアドレスがないベンダー。ベンダーごとにメールアドレスを入れてIncludeを選ぶか、Exclude X vendorsでまとめて外す。メールアドレスは、ベンダーごとにコンマで区切って5件まで入れられる |
【注意】 メールアドレスのないベンダーの区分に、メールアドレスを入れていないベンダーも、外していないベンダーも残っていると、送ることができません。
定期レビューで自動で送る
ベンダーごとの定期レビューの設定でScheduled questionnairesを有効にすると、レビューの期間が始まる日に、選んだ質問票が自動で送られます。設定の方法は、セキュリティーレビューの進め方で説明します。
ベンダー側での回答
ベンダーは、メールのリンクから質問票を開いて回答します。回答の途中で、ベンダーは次のことができます。
| できること | 内容 |
|---|---|
| 進み具合を見る | ページの上部の「X of Y answered」で、回答した数を確かめる |
| 途中で保存する | Save for laterを選ぶと、保存されたことが確認の画面で示される。後で同じリンクを開き、Resume questionnaireで続ける |
| 同僚と分担する | リンクを同僚と共有し、別々の部分に回答する。ほかの人の変更を見るには、ページを再読み込みするようバナーで案内される |
必須の質問は、提出の前に確かめられます。回答のない必須の質問があると、「Required questions are missing answers」というバナーが表示され、回答のない欄に「is required」と示されます。Completeを選ぶと、最後の確認が求められます。回答を完了すると、質問票はそれ以上編集できなくなり、直ちに送った側に返されます。
ファイルの添付で、使えない形式のファイルは取り除かれ、.removedという拡張子が付きます。ベンダーにファイルを送り直してもらうか、必要ならDrataのサポートに連絡してください。
回答を催促する
ベンダーに、質問票への回答を自動で催促できます。
Vendors→Vendor settingsを開きます。Questionnaire remindersのセクションまでスクロールします。Editを選び、Follow-up remindersを有効にします。- 催促のメールを送る時期と頻度を決めます。
回答を確かめる
ベンダーが質問票を提出すると、次のようになります。
- 質問票を送った人に、メールで知らせが届きます。
- 回答が、ベンダーの情報の画面に表示されます。
ベンダーの情報の画面では、送った全ての質問票を確かめ、回答の一式をダウンロードできます。回答の一式には、編集できないPDFの回答が含まれます。
回答をセキュリティーレビューに反映する
質問票は、セキュリティーレビューの中で送ります。セキュリティーレビューは判断と資料をまとめる入れ物で、質問票はその中で使う手段の1つです（SOCレポートのレビューや、報告書のアップロードは、質問票ではなくレビューの種類です）。
| 進め方 | 回答の反映のしかた |
|---|---|
| セキュリティーレビューで判断する | ベンダーの資料と質問票の回答を確かめ、最終的な判断（Pending、Approved、Approved with conditions、Rejected）を選び、理由をメモに残す（セキュリティーレビューの進め方） |
| TPRM Agentを使う | ベンダーが質問票に回答し、資料をアップロードすると、エージェントがその資料を処理し、評価を自動で実行する。追加の質問票をエージェントに作らせることもできる（TPRM Agentによるレビュー） |
【運用のポイント】 質問票はベンダーの自己評価で、第三者による確認がないまま回答できるため、場面によっては質問票だけでは足りません。ヘルプでは、ベンダーにSOC 2レポートなどの独立した監査の報告書や認証がない場合に、質問票で評価する方法を挙げています。ベンダーに報告書や認証があるかを確かめたうえで、質問票を使うかを決めます。