これは説明用のシナリオであり、顧客事例ではありません。 実在の組織も、実在の人物も、主張された結果も一切使用していません。その目的は、Threada の実行可能な Vendor Security パックが、日常的なセキュリティレビューを依頼から記録された決定までどのように運ぶかを示すことです。以下に説明する各サーフェスは実際の製品機能であり、状況は説明のために作り上げたものです。
セキュリティチームは、その週のうち驚くほど多くの時間を、たいていは日常的で時折深刻になるレビューに費やしています。新しい SaaS ツールには承認が必要です。あるベンダーは顧客データを処理したいと考えています。既存のポリシーに対して例外が要求されます。その多くは既知の形をたどります。いくつかは本物の精査を要します。難しいのは分析であることはまれで、すべてのレビューを一貫して、証拠に基づき、記録に残し続けることなのです。
その作業が Threada の Vendor Security パックを通じてどのように進むかを以下に示します。
作業のかたち
Vendor Security は、case アーキタイプと 3 つの定義された intent を備えた workspace パックです。
- ベンダーレビュー — 新規または更新のベンダーをポリシーに照らして評価する。
- データ処理レビュー — ベンダーが特定のデータを処理してよいかを評価する。
- セキュリティ例外 — 既存のコントロールから逸脱する要求を処理する。
レビュアーはどのフォームを開くかを決める必要はありません。intent を述べると、ランタイムがそれをセキュリティキュー上の構造化された WorkItem に変えます。
ウォークスルー
ある依頼が届いたと想像してください。あるチームが、製品の利用データを受け取る新しい分析ベンダーを採用したいと考えています。このシナリオでは、それは構成された受付チャネルを通じて届き、WorkItem になります。
Intent。 レビュアー（またはチャネルを通じた依頼者）は必要な結果を記述します — 「この分析ベンダーをデータ処理承認のためにレビューする。」ランタイムはベンダー、関係するデータカテゴリ、初期のリスクフラグを抽出し、それを Vendor Security キューに登録します。
Canvas。 WorkItem は適応的な canvas 上で開きます。空白のフォームではなく、workspace はこの種のレビューが必要とするフィールドを組み立てます。データカテゴリ、処理場所、サブプロセッサ、関連するポリシープロファイルです。情報が欠けているところでは、画一的なアンケートを提示するのではなく、まさにそれを促します。
証拠。 証拠ドロワーには評価が拠って立つものが収められています — ベンダーが提出した文書、同じベンダーの過去のレビュー、適用されるポリシーへの引用です。システムが特定の主張を根拠づけられない場合、持たない確信を主張するのではなく、フォールバックの理由を記録します。レビュアーは各ソースがどれだけ新しいかを一目で確認できます。
コントロール。 ここでレビューが決定になります。新しいベンダーのデータ処理を承認することは結果を伴う action なので、ガバナンスされたコントロールサーフェスを通ります。提案、続いてアクティブなポリシーバージョンに対する明示的な承認です。ポリシーがこのデータカテゴリに第二の承認者を要求する場合、ゲートがそれを強制します。何も静かに実行されることはありません。
実行ログ。 すべてのステップが実行ログに蓄積されます — 受付、欠けている情報の促し、参照された証拠、承認とそれを与えた者、そして最終的に記録された結果です。AI 参加者の action は独立した actor イベントとして現れるため、ログはどのステップをシステムが処理し、どのステップを人間が決定したかを明瞭に示します。
チームに残るもの
最後に、セキュリティチームには、そうでなければ手作業で組み立てなければならなかった 3 つのものが残ります。
- 一貫したレビュー。 同じ intent は常に同じ workspace のかたちを生み出すため、忙しい週と静かな週の間でレビューの厳格さがぶれることはありません。
- 根拠のある決定。 承認はレビュアーの記憶ではなく、特定の証拠と名前のついたポリシーバージョンに結びついています。
- レシート。 レビュー全体が記録に残ります — 監査人に対して弁護でき、類似のケースを引き継ぐ次のレビュアーにとって読みやすいものです。
日常的なレビューは workspace が組み立てを行うので素早く進みます。深刻なものはコントロールサーフェスがそれを要求するので、十分な人間の精査を受けます。その区分け — 日常的なものを自動化し、本当に難しいケースを人へ振り分ける — こそが要点のすべてです。
なぜこれをシナリオとして公開するのか
私たちはこれを、印象的なパーセンテージを添えた顧客成功事例に仕立て上げることもできました。私たちはそうしません。実在し同意した顧客が実際の結果を共有するまで、ここに印刷するものはすべて説明であり、持たない証明をほのめかすよりも、正直にラベル付けする方を選びます。
実在するのはパックです。Vendor Security は、他のすべての Threada パックと同じガバナンスされたランタイム上にあるインストール可能なワークフローであり、上で説明した intent と 5 つのサーフェスを備えています。ウォークスルーではなく実行可能なバージョンを見たい場合は、パックカタログが出発点です。