Chameleon、DrataでSOC 2 Type IIを達成し数万ドルを節約

顧客のソフトウェアの中で使われる、ビジネスに欠かせないユーザーエンゲージメントの製品を提供するChameleonは、Drataを使ってSOC 2 Type IIへの準拠を達成し、外部のコンサルタントを雇わずに全てを社内で進めることで数万ドルを節約しました。Drataの標準化されたポリシーは導入初日から使え、証明書を受け取る前から商談で活用しています。同社の製品はユーザーデータを受け渡すため、強固なセキュリティーの実践を保ち、それを見込み顧客に分かりやすく示すことが商談をまとめるうえで欠かせません。

導入前：負担を恐れて先延ばしにしていたSOC 2

同社は、よいセキュリティーの実践ができている自覚はあったものの、それを見込み顧客により簡単に示すにはSOC 2への準拠という裏付けが必要だと考えていました。大きな見込み顧客のほぼ全てが購買の過程でセキュリティーの評価の段階を設けており、同社はその段階をできるだけ円滑に進めたいと考えていました。しかし、Drataに出会う前は、SOC 2 Type IIは大きな負担になると考えて先延ばしにしていました。手引きもほとんどなく、時間も費用もかかる外部のコンサルタントを雇う必要があると思い込んでいたといいます。

選定の判断軸：価値が出るまでの速さと、パートナーとしての支援

同社にとってDrataの最も魅力的な点の1つは、価値が出るまでの速さでした。調整して使える標準化されたポリシーによって、Drataを使い始めた初日から価値を得られました。Drataの継続的モニタリングは、セキュリティーの手順を守っていることを示す信頼できる方法で、顧客や見込み顧客が詳細を確認できるライブのレポートは非常に強力な機能だと評価しています。スプレッドシートでのやりとりから、準拠の明確な証拠を見せられる形に変わりました。

Drataのパートナーとしての姿勢も印象的でした。オンボーディングや、システムとプロセスの改善に取り組む中で、Drataは期待を超えてヒント、提案、人のつながり、支援を提供してくれました。同社は、ソフトウェアとコンサルタントの両方を得ているように感じたといいます。

導入効果

最初の数カ月でポリシーと継続的モニタリングを活用

最初の数カ月のうちに、同社はDrataで作ったポリシーを使い、質問票（セキュリティーチェックシート）では継続的モニタリングを参照し、チームのセキュリティー研修の検証にも役立て、インフラのアクセス制御も改善しました。標準化されたポリシーは、証明書を受け取る前から商談で使っています。1つのプラットフォームにまとまっていることで、システムを掘り返さずに、整えている手順とポリシーを顧客にすぐに示せるようになりました。

SOC 2 Type IIへの準拠をより身近に

Drataによって、SOC 2 Type IIへの準拠はより身近で分かりやすいものになりました。サポートチームは多くのベストプラクティス、提案、ツール、ヒントを提供し、同社がコンプライアンスの態勢を理解し、監査人とのやりとりの進め方を考える助けになりました。最高経営責任者（CEO）のPulkit Agrawal氏は、同社は以前からセキュリティーを重視してきたが、Drataを使ってSOC 2 Type IIへの準拠を達成したことで、その信頼性と権威を裏付けられたと述べています。

外部のコンサルタントを雇わずに数万ドルを節約

Drataは、外部のコンサルタントが必要だという思い込みをすぐに解消し、プロセス全体を分かりやすく示しました。自動化に頼って進め、全てを社内で対応したことで、同社は数万ドルを節約できました。今後は、見込み顧客がChameleonの購入を検討する際のセキュリティーの評価の段階での対応を、Drataを使って標準化する計画です。社内で運営しているバグバウンティのプログラムも広げています。

この導入事例からの学び

同社の事例で特徴的なのは、SOC 2の証明書を受け取る前の段階から、Drataで整えたポリシーや継続的モニタリングを商談で活用している点です。準拠の取り組みの途中から、見込み顧客へのセキュリティーの説明に役立てています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、SOC 2への取り組みを、負担の大きさを理由に先延ばしにしていないかどうかです。2つ目は、外部のコンサルタントに頼らずに、社内でプロセス全体を把握できるかどうかです。同社はDrataの手引きと支援でこれを実現しています。3つ目は、見込み顧客のセキュリティーの評価の段階で、準拠の証拠をどう示すかです。同社はスプレッドシートでのやりとりから、詳細を確認できるライブのレポートに移っています。

出典：Drata