ワークスペースは、1つのDrataのアカウントの中に、独立した運用と監査の環境を作る仕組みです。インフラや対象のフレームワークが異なる複数の製品や事業部門を、要員、ベンダー、資産などの会社全体の運用は共有したまま、別々に管理できます。このページでは、ワークスペースで適用範囲を分ける方法として、ワークスペースを分けるべき場面、共有できるものとできないもの、Workspace Managerの役割、後から構成を変える場合の注意を説明します。
ワークスペースを分けるべき場面
ワークスペースは、会社の組織図の階層を表すものではありません。分けることで、コンプライアンスの運用や監査の仕方が変わる場合に分けます。
| 分ける場面 | 分けない場面 |
|---|---|
| 事業部門、製品、法人ごとに、別々に監査を受ける | 部署や指揮系統ごとに分けたいだけ |
| コントロールの運用と検出事項の解決に責任を持つチームが異なる | 同じコンプライアンスのチームが運用している製品ごとに分けたいだけ |
| 利用者に、特定の環境のコンプライアンスの作業だけを見せたり管理させたりしたい | 監査の範囲とアクセスの仕組みが同じ地域ごとに分けたいだけ |
| 環境ごとに、連携、対象の要員、証跡の取得元が異なる | 一時的なプロジェクトのチームのため |
| グループごとに、コンプライアンスの作業の日程が異なる | コントロールの割り当て方の小さな違いのため |
必要な分離が得られる最小の数にしてください。ワークスペースを増やすと、設定、テスト、証跡の確認、管理の作業をする場所が増えます。報告、オーナー、絞り込みが目的なら、1つのワークスペースで、オーナーや報告の機能を使います。
ワークスペースを分けるかどうかの判断の進め方と、分ける前に確かめる質問は、フレームワークと適用範囲の決め方で説明しています。本当に別々のDrataの環境やアカウントを管理する場合は、ワークスペースではなく、Multiple-Instance Management（MIM）を使います。
ワークスペースを使う前に
ワークスペースは追加の機能で、使うにはアカウントで有効にする必要があります。有効にするまでは、複数のワークスペースを作ったり管理したりできません。有効にしたい場合は、正規販売代理店（デジタルアクセルズ）にご相談ください。
Drataのアカウントを用意した時点で、主ワークスペース（Primary）が自動で作られます。ワークスペースの機能を有効にすると、ここにワークスペースを追加していきます。
操作ごとに必要なロールは、次の通りです。
| 操作 | 必要なロール |
|---|---|
| ワークスペースの作成と削除 | Admin |
| ワークスペースへのフレームワークの追加と削除 | Admin |
| ワークスペースの詳細（名前、URLなど）の編集 | Admin、またはそのワークスペースのWorkspace Manager |
Workspace Managerの割り当てと解除 | Admin |
ワークスペースを作って設定する
ワークスペースを作る
Settingsを開き、Organization→Workspacesを選びます。Create workspaceを選びます。- 必要な情報を入力し、
Addを選びます。
Drataが新しいワークスペースに必要なフレームワークとテストを作る間、案内が表示されます。この処理には数分かかることがあります。
ワークスペースの詳細
Settings → Workspacesでワークスペースを選ぶと、次の情報を確認、編集できます。
| 欄 | 内容 |
|---|---|
Workspace details | 名前、ワークスペースのアイコン、URL（製品や会社のウェブサイトなど）、説明（任意）。URLは監査の背景の説明や、Trust Centerなどの顧客向けの場面でよく使われる |
Managers | ワークスペースのWorkspace Manager。1人以上を割り当てられる |
Frameworks | ワークスペースに割り当てたフレームワーク。1つのワークスペースで複数のフレームワークを扱える |
Settings → Workspacesでワークスペースを選んだ画面。Workspace details、Managers、Frameworksの欄が並び、それぞれEditから編集する
詳細を変えるときは、Workspace detailsの欄でEditを選び、変更して保存します。変更は直ちに、選んだワークスペースだけに反映されます。
フレームワークを割り当てる
フレームワークは、Frameworksページからではなく、ワークスペースごとに有効にします。各ワークスペースで、その製品や事業部門に関係するフレームワークだけを運用できます。
Settings→Organization→Workspacesで、ワークスペースを選びます。Frameworksの欄でEditを選びます。- フレームワークを外す場合はその横の
Xを、加える場合は探して選びます。 Saveを選びます。
有効にしたフレームワークは、そのワークスペースのFrameworksページで選べるようになります。使えるフレームワークは契約の内容によって決まり、アカウント全体で有効になっているフレームワークだけを、個々のワークスペースで有効にできます。契約したはずのフレームワークが一覧に表示されない場合は、正規販売代理店（デジタルアクセルズ）にご相談ください。フレームワークの有効化の流れは、対応フレームワークと有効化で説明します。
連携をワークスペースに割り当てる
連携の種類によって、ワークスペースとの関係が異なります。
| 連携の種類 | ワークスペースとの関係 |
|---|---|
| クラウド基盤（Infrastructure）、オブザーバビリティー（Observability）、課題管理（Ticketing）、バージョン管理（Version Control）、コードベース（Codebase）、CSPM、脆弱性（Vulnerability）、カスタム（Custom） | 連携を設定するときに、関連付けるワークスペースを選べる |
| それ以外の種類 | 全てのワークスペースに適用され、一部のワークスペースに限れない |
例えば、クラウド基盤の連携を設定するときは、ワークスペースを使っている場合、設定の最初の段階でどのワークスペースに関連付けるかを選んでから、残りの設定に進みます。連携の種類は、連携の全体像で説明します。
ワークスペースを切り替える
画面左上のワークスペースの切り替えから、作業するワークスペースを選びます。主ワークスペースにはPrimaryと表示されます。
画面左上のワークスペースの切り替え。ほかのワークスペースが一覧に並び、主ワークスペースにはPrimaryと表示される
ワークスペースを使っている場合、ナビゲーションは2つの見出しに分かれます。
| 見出し | 並ぶ項目 | 内容 |
|---|---|---|
Workspace | Quick Start、Dashboard、Recommendations、Tasks、Compliance、Events、Personnel | 選んでいるワークスペースに固有の情報 |
Organization | Risk、Vendors、Governance | 全てのワークスペースに共通の情報 |
共有できるものとできないもの
ワークスペースはコンプライアンスの運用を分けますが、全てのものが同じように分かれるわけではありません。ワークスペースごとのもの、選んだワークスペースの間でリンクできるもの、アカウント全体のものがあります。
| 対象 | 範囲 | ワークスペースをまたぐときの扱い |
|---|---|---|
| フレームワーク | ワークスペースごと | 当てはまるワークスペースで有効にする |
| コントロール | ワークスペースごと（リンクできる） | 同じコントロールを表す場合に、選んだワークスペースの間でマッピングできる |
| コントロールの情報 | マッピングしたコントロールの範囲 | マッピングしたコントロールの間でまとめて管理できる。全てのワークスペースに引き継がれるわけではない |
| ポリシー | ワークスペースとコントロールの範囲 | マッピングしたコントロールの間で、コントロールとの対応をまとめて設定できる |
Evidenceページの証跡 | 証跡とコントロールの範囲 | マッピングしたコントロールの間で、まとめてマッピングできる |
| その他の証跡（Miscellaneous evidence） | 証跡の種類による | 全ての証跡が自動でワークスペースをまたいで反映されるとは限らない |
| テスト | ワークスペースごと | 実行されたワークスペースに結び付いたまま |
| モニタリングの動作と結果 | ワークスペースごと | 製品が明示している場合を除き、ワークスペースごとと考える |
| 連携 | 連携の種類による | 上の「連携をワークスペースに割り当てる」の通り |
| 要員、ベンダー、資産 | 設定や対象による | 共有されるか分かれるかを、対象ごとに確かめる |
| イベント | 対応している場合はワークスペースごと | 下の「ワークスペースごとのイベント」の通り |
| チケット | 作られた作業による | コントロールやテストのチケットはワークスペースの情報を持つ。一部のリスクの作業と自動化はアカウント全体 |
【注意】 2つのコントロールをマッピングしても、関係する全てのものが同じになるわけではありません。マッピングで共有されるのは、コントロールの情報、ポリシー、
Evidenceページの証跡です。テスト、モニタリングの動作、権限、運用の作業は、ワークスペースごとのままです。あるワークスペースのテストやモニタリングの結果が、別のワークスペースの状態を変えることはありません。
コントロールをワークスペースの間でマッピングする
同じコントロールを複数のワークスペースでマッピングすると、コントロールの情報、ポリシー、証跡を1カ所で管理できます。それぞれのワークスペースで同じ更新を繰り返す代わりに、1回の更新を選んだワークスペースにも反映できます。複数の製品や事業部門を管理していて、同じコントロールが複数のワークスペースに当てはまる場合に、証跡やポリシーの重複を避けられます。
マッピングできる条件
- 同じコントロールのコード（例：DrataのDCF-1や、独自に作ったABC-10）が、複数のワークスペースにある場合にだけマッピングできます。コードが異なるコントロールはマッピングできません。
- マッピングできるのは、
Admin、Workspace Manager、Control Manager、Information Security Leadのロールのユーザーです。Workspace Managerは、自分が割り当てられたワークスペースだけを扱えるため、1つのワークスペースだけに割り当てられたWorkspace Managerはマッピングできません。
ワークスペース1と2にある同じコードのコントロール（DCF-1）はマッピングできるが、コードが異なるコントロール（DCF-2）とはマッピングできない
マッピングの手順
Controlsページで、マッピングするコントロールを選びます。Mapped Workspacesの欄でManageを選びます。この欄がない場合は、同じコードのコントロールがほかのワークスペースにまだありません。- マッピングするワークスペースを加えたり外したりして、保存します。選べるのは、同じコードのコントロールがあるワークスペースだけです。
マッピングの後は、コントロールの情報を更新すると、マッピングしたワークスペースにも自動で反映されます。コントロールオーナーは、既定ではマッピングした全てのワークスペースで共通です。Control owners are unique per workspaceを選ぶと、ワークスペースごとに別々にオーナーを割り当てられます。
ポリシーと証跡をまとめてマッピングする
コントロールをマッピングした後は、ポリシーと証跡のコントロールへのマッピングを、ほかのワークスペースにもまとめて反映できます。
| 対象 | 手順 | 注意する点 |
|---|---|---|
| ポリシー | コントロールのPoliciesタブでMap policiesを選び、ポリシーとマッピングするワークスペースを選んで保存する | ポリシー自体はワークスペースに固有ではなく、どのワークスペースからも選べる。ここで反映するのは、コントロールとポリシーの対応。ほかのワークスペースで別のポリシーがその要求事項を扱っている場合は反映しない |
| 証跡 | コントロールのEvidenceタブでAdd evidenceを選び、Map from Evidence Libraryでワークスペースを選ぶ | ワークスペースを選べるのはMap from Evidence Libraryだけ。Create new evidenceは今のワークスペースのコントロールだけに付き、Miscellaneous evidenceはそのコントロールだけに付く |
ワークスペースの間でマッピングした証跡を更新すると、マッピングした全てのワークスペースの、全てのコントロールに反映されます。更新によって、それらのコントロールの準備状況が変わることがあります。証跡のマッピングの考え方は、証跡とコントロールのマッピングで説明します。
Workspace Managerの役割
Workspace Managerは、特定のワークスペースで日々のコンプライアンスの作業を管理する人のためのロールです。割り当てられたワークスペースだけで作業できます。
Workspace Managerを割り当てる
Workspace Managerを割り当てられるのは、Adminロールのユーザーです。
Settings→Workspacesで、ワークスペースを選びます。Managersの欄でEditを選びます。Workspace Managerを加えたり外したりします。- 必要に応じて、読み取り専用（
Read-only）の権限を有効にします。 Saveを選びます。
1つのワークスペースに複数のWorkspace Managerを割り当てられます。Workspace Managerがいないワークスペースがあっても構いません。
【注意】
Workspace Managerロールは、同じワークスペースでほかのロールと併用できません。割り当てると、そのワークスペースでユーザーが持っていたほかのロールは自動で外れます。割り当ての前に、Settings→Role administrationで、そのユーザーにほかのロールが付いていないかを確かめ、付いている場合は先に外してください。
Workspace Managerができること
| 権限 | 通常 | 読み取り専用 |
|---|---|---|
ワークスペースのページ（Dashboard、Controls、Frameworks、Monitoring、Auditsなど）の閲覧 | できる | できる |
Events、Evidence、Auditsからの報告や証跡のダウンロード | できる | できる |
| コントロールの作成と編集 | できる | できない |
| フレームワークと要求事項の範囲の編集（カスタムフレームワークを含む） | できる | できない |
| モニタリングテストの実行と通知の管理 | できる | できない |
| 証跡のアップロードと編集 | できる | できない |
| 監査の管理（監査人の割り当て、依頼の送付、監査の作成） | できる | できない |
| リスクアセスメント、リスク、ベンダー、資産の管理 | できる | できない |
| 要員の記録の閲覧と編集 | できる | できない |
| ポリシーの作成、編集、管理 | できる | できない |
| ワークスペースに対応した連携の閲覧と、検出事項の再同期 | できる | できない |
| コントロールとテストのチケットの作成と管理（課題管理の書き込みを許可している場合） | できる | できない |
| 割り当てられたワークスペースのタスクの作成と管理 | できる | 閲覧だけ |
| アカウント全体のワークスペースの設定（ワークスペースの作成と削除、Workspace Managerの割り当て、フレームワークの構成） | できない（Adminだけ） | できない |
ロール全体の考え方は、ロールと権限の設計で説明します。
ワークスペースの状況を確かめる
全てのワークスペースの状況（ベータ版）
AdminとInformation Security Leadのロールのユーザーは、DashboardのAll workspacesタブで、全てのワークスペースの主な状況を比べられます。この機能はベータ版です。データは1時間ごとに集められ、ページの上部に集めた時刻が表示されます。
| 指標 | 内容 |
|---|---|
Non-ready controls | フレームワークにマッピングされた、準備未完了のコントロールの数 |
Control Readiness | ワークスペースの対象のコントロールの準備状況 |
Tests passing | 成功しているテストの数 |
Tests failing | 失敗しているテストの数（エラーのテストは含まない） |
Frameworks | ワークスペースのフレームワークと、それぞれの準備状況 |
ワークスペースごとのイベント
Eventsページには、ワークスペースごとのイベントと、組織全体のイベントがあります。Eventsページを開けるのは、Admin、Information Security Lead、Workspace Managerのロールのユーザーです。
| 種類 | 例 | 表示 |
|---|---|---|
| ワークスペースごとのイベント | テストの失敗や完了、モニタリングに関するイベント、監査に関するテストの作業 | 選んでいるワークスペースに合わせて変わる |
| 組織全体のイベント | ポリシーの作成や更新、一部のアクセスや設定のイベント | どのワークスペースを選んでいても表示される |
Categoriesの絞り込みでは、Autopilot（テストに関するもの）、Monitor、Audit、Report、GRC、Custom Frameworksの区分に、ワークスペースごとのイベントが含まれます。監査人のサインインとアクセスの記録は、常に組織全体のイベントです。イベントの見方は、イベントの確認で説明します。
後から構成を変える場合の注意
ワークスペースの構成は、運用を始めた後にも変えられますが、次の点に注意します。
| 変更 | 注意する点 |
|---|---|
| ワークスペースの削除 | 削除できるのはAdminロールのユーザーだけで、元に戻せない。主ワークスペースは削除できない。ワークスペースを選び、Delete workspaceを選んで確定する |
| フレームワークの追加と削除 | フレームワークを変えると、そのワークスペースで必要なコントロール、テスト、証跡が変わる |
| コントロールのマッピングの開始 | マッピングした時点では、既存の情報は自動でコピーされない。マッピングの後に、コントロールの情報、ポリシー、証跡を1回更新するか保存し直すと、ほかのワークスペースに反映される |
| コントロールのマッピングの解除 | Mapped Workspacesの欄で、外すワークスペースの横のxを選んで保存する。何も削除されず、そのワークスペースのコントロールが独立したものに戻る |
Workspace Managerの解除 | 外せるのは、今作業しているワークスペースの役割だけ。ほかのワークスペースの役割を外すには、そのワークスペースで操作する。ほかのワークスペースに役割が残っている場合は、Usersの一覧に引き続き表示される |
| IDプロバイダーのグループとロールの対応付け | 対応付けで、あるワークスペースのWorkspace Managerに別のロールが付くと、そのワークスペースでのWorkspace Managerの役割が外れる。詳しくはサインインとSSOで説明する |
【運用のポイント】 ワークスペースの間のマッピングは、ワークスペースを1つにまとめるものではなく、権限のないワークスペースへのアクセスを与えるものでもありません。全てのワークスペースに当てはまる共通のコントロールを作る機能でもありません。テストと連携は、引き続きワークスペースごとに設定して運用します。