Brex、DrataとSafeBaseでGRCを1つにまとめ内部監査を5倍速く

規制の厳しい環境で機密性の高い金融データとクレジットカードのデータを扱う急成長中のフィンテック企業Brexは、スプレッドシートやチケットに頼っていたGRC（ガバナンス、リスク、コンプライアンス）の業務をDrataとSafeBaseのTrust Centerにまとめ、約1,100社のベンダーの情報を一元化しました。継続的なテストの合格率は導入時点で81%に達し、内部監査のプロセスは5倍速くなっています。顧客を獲得して維持するには強固なセキュリティーとコンプライアンスを示す必要があり、同社にとって信頼は何より重要です。

導入前：つぎはぎのツールと手作業の証跡収集

同社のトラスト組織に属するGRCチームは、SOC 1、SOC 2、PCI、ISO/IEC 27001、IT全般統制、NIST、GDPRなどの複数のフレームワークとリスクの取り組みを管理しています。成長とともに、既存のツールとプロセスは増える要求に耐えられなくなりました。コントロールライブラリーには別の製品を使い、証跡の収集とワークフローはスプレッドシートとチケットのシステムで管理していました。このつぎはぎの方法では、コントロールを先回りしてモニタリングすることが難しく、顧客のセキュリティーレビューも遅れ、GRCチームは手作業に追われていました。

共有ドライブやチケットのシステムに分かれたツールは見通しの悪さと非効率を生み、コントロールの状態の変化をリアルタイムに捉えることもできませんでした。ベンダーのリスクのデータは複数のシステムに散らばり、重複したレビューと手作業の追跡が必要でした。見込み顧客ごとにNDA（秘密保持契約）の調整とファイルの共有を手作業で行うため、商談も滞っていました。シニアGRCリードのAllan Silva氏は、GRCを営業の目詰まりにせずに、サードパーティーのレビューを速め、コントロールを継続的にモニタリングし、市場開拓のチームを支える必要があったと述べています。

選定の判断軸：リスクとコンプライアンスを1つのプラットフォームに

同社は、コンプライアンスの取り組みを成熟させ、顧客の信頼を保つには、より堅牢で統合されたプラットフォームが必要だと判断しました。目標は、顧客のデューデリジェンスを効率化し、コントロールの継続的モニタリングを自動化し、リスクとコンプライアンスの全ての活動を1つのプラットフォームにまとめることです。そこで、統合されたGRCの自動化のプラットフォームであるDrataと、DrataのTrust CenterであるSafeBaseのTrust Centerを選びました。Silva氏は、Drataは成長していく同社の規模により適しており、包括的で完成度が高く、今後に合わせて広げられると評価しています。

移行はDrataのカスタマーサクセスチームと緊密に進め、手厚い支援のもと1カ月足らずでデータを失うことなく完了しました。AWS、Okta、Workday、GitHub、Jamf、CrowdStrike、Wiz、Confluenceを連携させ、コントロールを自動で継続的にモニタリングしています。

数字で見た導入効果

継続的なテストの合格率81%

同社に必要だったのは、定期的な手作業の監査から、複数のフレームワークにまたがる継続的モニタリングへの移行でした。DrataのContinuous Control Monitoringによって証跡の収集が自動化され、コントロールの状態が変化するとすぐにチームにアラートが届きます。SOC 1、SOC 2、ISO 27001、PCI、IT全般統制、NISTのモニタリングは、四半期ごとの抜き取り確認から日々の保証に変わりました。導入時点で継続的なテストの合格率は81%に達しており、各担当者は90%を目標にしています。Silva氏は、コントロールのモニタリングと中核のシステムとの連携が最も大きな効果をもたらしたと述べています。

約1,100社のベンダーを一元化し、内部監査は5倍速く

同社は、コントロールライブラリー、リスク登録簿、約1,100社のベンダーのデータをDrataに移しました。ベンダーはVendor Risk Management（VRM）でIroncladやOktaのアプリ検出と連携させ、レビューを効率化しています。内部監査はAudit Hubで実行し、成果物を次の監査のサイクルのために残せるようになり、スプレッドシートやメールのやりとりが不要になりました。内部監査のプロセスは5倍速くなっています。

数日かかっていた顧客の確認を数分に

SafeBaseのTrust Centerでは、顧客は自動化されたNDAに電子署名した後、最新のコンプライアンスの文書にアクセスできます。自社ブランドに合わせた窓口にセキュリティーとコンプライアンスの資料が全てまとまり、数日かかっていたことが数分で済むようになりました。Silva氏は、市場開拓のチームが社内で情報を探し回る代わりに、見込み顧客にTrust Centerのリンクを1つ渡せるようになったと話しています。GRCとトラストの組織は顧客の獲得と維持に欠かせない存在になり、守りの機能から事業を後押しする機能に変わったといいます。

この導入事例からの学び

同社の事例で特徴的なのは、コントロール、リスク、ベンダー、内部監査を1つのプラットフォームにまとめたことで、GRCの成果を指標とダッシュボードで示せるようになった点です。GRCの仕事が顧客の信頼、維持、売上にどう貢献しているかを示しやすくなっています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、コントロールの状態の変化をリアルタイムに捉えられるかどうかです。同社は四半期ごとの抜き取り確認から日々のモニタリングに移っています。2つ目は、ベンダーのリスクのデータが複数のシステムに散らばっていないかどうかです。同社は約1,100社のベンダーの情報を1カ所にまとめました。3つ目は、移行の負担をどう抑えるかです。同社はベンダーの支援を受け、1カ月足らずでデータを失わずに移行しています。今後は、DrataのAIによる自動化とVRMのAIエージェントで、分析担当者の負担をさらに減らす計画です。

出典：Drata