Bito、DrataでSOC 2を加速しベンダーレビューの時間を80%削減

ソフトウェアエンジニア向けにAIの開発ツールを提供するBitoは、Drataで証跡の収集を自動化し、DevOpsの担当者1人でSOC 2を最初から最後まで進めました。Trust Centerで見込み顧客が自分でセキュリティーの情報を確認できるようになり、ベンダーレビューは80%速くなっています。

導入前：正式なGRCのプロセスがない中でのSOC 2

同社は、GitHub、GitLab、BitbucketのプルリクエストやIDEでのAIコードレビューなどのツールを提供しています。セキュリティーを重視する大企業の利用者に応えるには、少人数のチームへの影響を抑えながら、すばやくSOC 2を達成する必要がありました。急成長の最中にコンプライアンスの専任チームを雇うことは避けたく、エンジニアに負担をかけずにSOC 2の要件を満たし、大企業の買い手向けの質問票（セキュリティーチェックシート）への対応も効率化したいと考えていました。Drataの導入前、同社には正式なGRCのプロセスがありませんでした。

選定の判断軸：1つのプラットフォームとAPIによる自動化

Drataは、コントロール、継続的モニタリング、ベンダー管理、監査人とのやりとりを1つのプラットフォームにまとめています。GitHub、GCP、Google Workspace、SlackなどとのAPIによる自動化と、あらかじめマッピングされたSOC 2のコントロールによって、少人数のDevOpsのチームの手作業を減らせました。

数字で見た導入効果

DevOpsの担当者1人でSOC 2

同社は、リポジトリーとコードレビューのGitHub、コミュニケーションのGoogle WorkspaceとSlack、チケット管理のJira、インフラのGoogle Cloudにまたがって、証跡の収集をDrataで自動化しました。Drataは継続的に証跡を取り込み、コントロールの状態を追跡し、すき間を知らせるため、エンジニアは製品づくりを止める必要がありません。シニアDevOpsエンジニアのShubham Singh氏は、SOC 2のプロセスを実質的に1人で管理したものの、全てが連携しているため証跡の収集がとても簡単になったと述べています。スプレッドシートである時点の状態を追うのではなく、コントロールの状態を継続的にモニタリングできています。

Trust Centerでベンダーレビューが80%速く

DrataのTrust Centerでは、ポリシー、レポート、認証をまとめたポータルを共有でき、見込み顧客は文書を依頼せずに自分でセキュリティーの情報を確認できます。ベンダーレビューにかかる時間は80%減りました。Singh氏は、顧客ごとに20のセキュリティーの質問に答える必要がなくなり、顧客は前もってコントロールを確認できるようになったと話しています。

この導入事例からの学び

同社の事例で特徴的なのは、専任のコンプライアンスチームを置かずに、ツールの連携と自動化でDevOpsの担当者1人がSOC 2を担っている点です。同社の事例から読み取れる確認軸は2点あります。1つ目は、使っているツールと連携して証跡を継続的に収集できるかどうかです。2つ目は、見込み顧客が文書を依頼せずにセキュリティーの情報を確認できるかどうかです。同社は今後、ISO 27001など新しいフレームワークにも広げていく考えです。

出典：Drata