SafeBaseは、自社のセキュリティーの取り組みを社外に示すTrust Centerと、質問票への回答を支援するAI Questionnaire Assistance（AIQA）を提供する、Drataの製品群の一つです。このページでは、Trust Centerで自社のセキュリティーの情報を社外に示す仕組み、質問票への回答の効率化、Drataとの連携を説明します。
SafeBaseの2つの画面
SafeBaseは、次の2つの画面で構成されています。
| 画面 | 使う人 | 内容 |
|---|---|---|
| Trust Center | 顧客、見込み客などの社外の人 | 独自のURLで公開する、自社のブランドの画面。閲覧者はここで情報を見て、必要に応じてアクセスを申請する |
| 管理用の画面 | Trust Centerを運営する自社の社員 | Trust Centerの内容、アクセス申請、ナレッジベース、質問票などを設定・管理する |
なお、SafeBaseのブランドはDrataに統合され、safebase.ioのサイトはdrata.comに転送されます。製品とサービスに変更はなく、ログインの画面（app.safebase.io）とヘルプセンター（help.safebase.io）もそのまま使えます。ヘルプセンターの記事は、順次Drataの名称に合わせて更新されます。
Trust Centerで社外に示す仕組み
Trust Centerは、自社のセキュリティーへの取り組みを1カ所にまとめて示すページです。顧客や見込み客は、購買の検討や毎年のセキュリティーレビューの際に、Trust Centerで必要な情報を探して確認します。
Trust Centerの画面。上部のGet accessからアクセスを申請でき、OverviewやComplianceなどのカードに情報が並ぶ
Trust Centerの内容は、次の4つの部分で構成されます。
| 部分 | 内容 |
|---|---|
| 文書（Documents） | SOC 2のレポート、ポリシーなど、閲覧やダウンロードの対象になる文書 |
| カードと項目（Cards & Items） | カードは「Compliance」「Policies」「Infrastructure」などの分類、項目はカードの中の個々の情報（SOC 2、ISO 27001、ペネトレーションテストのレポート、再委託先など）。項目ごとに説明を書き、文書を紐づけられる |
| ナレッジベース（Knowledge Base） | よく聞かれる質問と回答。公開の範囲を決めて、Trust Centerで検索できるようにする |
| 更新情報（Trust Center Updates） | 新しい監査報告書の公開や、話題になった脆弱性の影響の有無などを知らせるお知らせ。閲覧者はメールで購読できる |
全てのカードと項目を埋める必要はありません。自社に当てはまる情報から、基本的な内容を載せるだけでも役に立ちます。
公開の範囲とアクセス申請
項目ごとのアクセスレベル
Trust Centerの項目には、次の3つのアクセスレベルを設定できます。
| アクセスレベル | 見られる人 |
|---|---|
公開（Public） | Trust Centerを訪れた全ての人 |
制限付き（Restricted） | アクセス申請が承認され、NDA（秘密保持契約）に署名した人 |
制限付き（非表示）（Restricted Hidden） | Trust Centerには表示されず、特定の権限プロファイルを割り当てられた人だけが見られる |
Trust Centerの文書の一覧。公開の文書と、アクセスの承認が必要な文書が並ぶ
アクセス申請の流れ
制限付きの情報を見たい閲覧者は、次の流れでアクセスを得ます。
- 閲覧者が、Trust Centerの
Get accessを選び、氏名、勤務先のメールアドレス、会社名を入力して申請する。 - 組織の担当者が申請を承認または拒否する。
- 承認すると、申請者のメールアドレスのドメインを単位に、閲覧者の企業を表すアカウントが作られる。
- 申請者に、マジックリンクを含むメールが届く。
- 申請者がマジックリンクからTrust Centerに戻り、NDAが必要な場合は署名する。
- 制限付きの情報を閲覧できるようになる。
同じドメインの人が後から申請すると、同じアカウントに自動で追加されます。そのアカウントで既にNDAが署名されていれば、後から加わった人は改めて署名する必要はありません。社外の閲覧者は、メールで届くマジックリンクでTrust Centerに入るため、SafeBaseのアカウントやパスワード、SSOは必要ありません。
アクセス申請の承認は手作業で行うほか、CRMとの連携で自動化することもできます。CRMとの連携は一部のプランで使えます。ご契約のプランで使えるかどうかは、正規販売代理店（デジタルアクセルズ）にご相談ください。
運営する人と閲覧する人
SafeBaseを使う人は、組織メンバーとアカウントメンバーの2種類に分かれます。
| 種類 | 誰か | 入り方 |
|---|---|---|
| 組織メンバー（Organization Members） | Trust Centerを運営する自社の社員。Trust Centerに登録したドメインのメールアドレスを持つ人だけがなれる | 管理用の画面にサインインする。ロールで操作できる範囲を分ける |
| アカウントメンバー（Account Members） | 顧客、見込み客、ベンダー、パートナーなど、社外の企業（アカウント）に属する人 | アクセス申請が承認された後、メールのマジックリンクからTrust Centerに入る |
【運用のポイント】 自社の社員がアカウントメンバーとしてアクセスを申請すると、承認などの運用が乱れ、閲覧状況の指標も偏ります。自社のドメインからのアクセス申請をブロックし、社員には管理用の画面を使うよう案内することが推奨されています。
質問票への回答の効率化
ナレッジベース
ナレッジベースは、質問と回答をためておく、社内の情報の拠り所です。セキュリティーと営業のチームが共通で使い、Trust Library Search（社内向けの検索）とAIQAの主な情報源になります。
過去に回答した質問票は、ファイルのままアップロードするか、インポート用のテンプレートに整えてナレッジベースに取り込めます。テンプレートを使うと、回答ごとに公開の範囲、タグ、見直しの周期などを設定できます。AIQAの回答の質はナレッジベースの内容に左右されるため、古い内容や不正確な内容を入れず、整えた回答だけをためることが大切です。
AI Questionnaire Assistance（AIQA）
AIQAは、顧客や見込み客から届いた質問票に、Trust Libraryの内容をもとにAIで回答を作る機能です。回答の情報源には、次のものを使えます。
- SafeBaseの文書、ナレッジベース、Trust Centerの内容、更新情報
- 外部のウェブサイト
- Drataから同期したポリシーとコントロール
ファイルで届いた質問票のほか、Chrome拡張機能を使うと、質問票の入力サイト（第三者のポータル）で回答することもできます。AIQAを使うには、SafeBaseの設定で生成AIを有効にする必要があります。
【運用のポイント】 AIQAを使い始める前に、情報源を整えておくと回答の精度が上がります。1年以上前の古い内容はアーカイブし、実際に届いている質問票の種類（AI、RFP、プライバシー、セキュリティー、製品など）を把握したうえで、直近に回答した質問票のうち、やり取りを重ねて仕上げたものをナレッジベースに取り込みます。回答が「はい」の場合は詳しく説明し、「いいえ」の場合は代わりの対策を、「該当しない」の場合はその理由を書いておくと、AIの回答の質が上がり、閲覧者からの追加の質問も減ります。
Trust Library Search
組織メンバーは、Trust Library Searchで、文書、ナレッジベース、Trust Centerの内容、Drataから同期したコントロールなどを横断して検索できます。検索の結果から、出典を示したAIの回答を作ることもでき、質問票やメールへの回答に使えます。Slackとの連携を設定すると、Slackからも同じように質問できます。
Drataとの連携
SafeBaseのDrataの連携を使うと、Drataで管理している内容をSafeBaseに同期できます。同期はDrataからSafeBaseへの一方向で、SafeBaseの内容はDrataに戻りません。同期は毎日、米国の夜間に実行されます。
連携を始めるには、SafeBaseのサポートに依頼し、DrataのアカウントIDとデータの保管場所（リージョン）を伝えます。有効になった後、SafeBaseのAdminロールのユーザーがSettings → IntegrationsでConnectを選びます。接続すると、次の3つの同期を選べます。
| 同期 | 同期する内容 |
|---|---|
| ポリシーの同期 | Drataの公開済みのポリシー。SafeBaseのTrust Libraryに文書として保存され、Trust Centerでも使える |
| AIQA用のコントロールの同期 | Drataの主ワークスペースの、対象（In scope）で準備完了（Ready）のコントロール。AIQAが回答の根拠として使い、出典としてDrataを示す |
| AIQA用の会社の情報の同期 | Drataに登録した会社の情報。AIQAが文脈に合った回答を作るのに使う |
SafeBaseのDrataの連携の設定。ポリシー、AIQA用のコントロール、AIQA用の会社の情報の3つの同期を切り替える
【注意】 同期したポリシーは、Trust Centerの項目に自動では紐づきません。同期の後に、SafeBaseの文書の一覧で内容を確かめ、関係する項目に手作業で紐づけてください。SOC 2のレポートなど、Drataのポリシー以外の文書は、SafeBaseに別途アップロードします。
このほか、次のつながりもあります。
| 機能 | 内容 |
|---|---|
| 証跡の同期 | DrataのEvidenceページから、ファイルの証跡を選んでSync to Trust Libraryを選ぶと、SafeBaseの文書に同期できる。対象は主ワークスペースの証跡で、SafeBaseで確認して公開するまでTrust Centerには表示されない。Drataのヘルプには、Drataのテナントが北米リージョンにあることが条件と書かれている |
Trust Userロール | Drataのロールの一つで、SSOのリンクからSafeBaseに入るためのもの。Drataの権限は増えず、SafeBaseのロールはDrataのロールとは別に管理する |
| ベンダーのTrust Center | Drataのベンダー管理で、ベンダーのSafeBaseのTrust CenterのURLを登録すると、ベンダーの情報の画面にTrust Centerのタブが表示され、TPRM Agentがその内容を使ってレビューを進められる |