Bettermode、DrataでSOC 2 Type IとType IIの両方を達成

SaaS、消費者向けのオンラインサービス、eコマースの企業に顧客コミュニティーのソリューションを提供するBettermodeは、Drataを使ってSOC 2 Type IとType IIの両方の準拠を達成し、問題のないクリーンな報告書を得ました。継続的なコントロールとコンプライアンスのモニタリングによって、チームの時間を大きく節約しています。多くの顧客データを扱う同社は、顧客のデータと、その顧客の先にいる利用者のデータの両方を守ることを最も重視してきました。

導入前：大きなプロジェクトになると思っていたSOC 2

同社がSOC 2に取り組んだのは、見込み顧客、顧客、パートナーが信頼できる安全なプラットフォームを提供していることを確かなものにするためでした。営業の過程で見込み顧客にセキュリティーの手順の証拠を示せれば、営業のサイクルを短くでき、セキュリティーの実践を示す文書もそろえられます。ただし、同社には豊富なセキュリティーの経験がなく、SOC 2への準拠は大きなプロジェクトになると考えていました。自力で取り組むことも検討しましたが、監査人が求める関与の程度を考えると、従業員の多くの時間が取られると分かりました。

選定の判断軸：既存のツールとの連携と、手頃な費用

中小規模のテクノロジースタートアップである同社にとって、Drataのような信頼できるパートナーとSOC 2に取り組めることは大きな意味がありました。製品の革新性に加え、業界の課題の解消に力を注いでいる姿勢も明らかでした。既存の技術基盤とよく連携し、社内のインフラとチケット管理のシステムの把握にも役立ちます。セキュリティーの観点から従業員のオンボーディングを円滑にできる点も決め手で、市場のほかの製品より手頃な費用で同社のニーズに合っていました。早い時期からの顧客として、製品の改良が継続的に公開されてきたことも、信頼できるパートナーであることの裏付けになっています。

導入効果

SOC 2 Type IとType IIの両方を達成

Drataは、SOC 2への準拠が同社にとって何を意味するかを明確に示しました。利用できるコンプライアンスのコントロールの一覧から、自社のセキュリティーの取り組みに関係するものを選べたため、対象範囲が分かり、期待される水準とベストプラクティスを明確にできました。監査人は必要な情報をDrataで簡単に入手でき、全ての文書を1つのダッシュボードにまとめてAuditor Viewで共有できます。同社はDrataでSOC 2 Type IとType IIの両方を達成し、問題のないクリーンな報告書を得ています。

連携で社内の情報を自動で取り込む

採用予定者の身元調査を行う提供元との連携は円滑で、多くの情報ファイルを手作業でアップロードする必要がなくなりました。Google Workspace、AWS、Jira、GitHubとの連携と、人事システム（HRIS）の提供元とのパートナーシップによって、社内の情報が自動で取り込まれ、チームは社内のプロジェクトに力を注げるようになっています。

継続的モニタリングで問題を早めに把握

同社はセキュリティーとコンプライアンスを長期的な取り組みと捉えており、最大の投資対効果は継続的なコンプライアンスのモニタリングだと述べています。不合格になったコントロールと必要な修正の通知は大きな変化をもたらし、社内のプロセスとコミュニケーションも効率化しました。大きな問題になる前にDrataが知らせてくれると信頼できています。今後は、会社と市場の成長に合わせて、ほかのフレームワークも検討する計画です。

この導入事例からの学び

同社の事例で特徴的なのは、利用できるコントロールの一覧から自社に関係するものを選び、対象範囲を明確にしたうえでSOC 2に取り組んだ点です。セキュリティーの経験が豊富でない組織でも、期待される水準を早めに把握できています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、自社のSOC 2の対象範囲にどのコントロールが含まれるかを明確にできているかどうかです。2つ目は、身元調査や人事システムなど、従業員のオンボーディングに関わる情報を自動で取り込めるかどうかです。3つ目は、監査の後も、不合格になったコントロールに気付ける仕組みがあるかどうかです。

出典：Drata