Clair、DrataでSOC 2を取得し数百時間を節約

フィンテック企業のClairは、1人の従業員がほかの業務と並行してSOC 2を進める体制で、Drataを使ってSOC 2 Type Iを取得し、手作業で進めた場合と比べて数百時間を節約し、かかる時間を80%を大きく超えて短縮しました。

導入前：手作業では大仕事になるSOC 2と限られた人手

同社にとって顧客のデータを守ることは成功の鍵で、データセキュリティーと完全性は創業時から最優先でした。コンプライアンスは、全社の従業員にセキュリティーを重視する考え方を根付かせる効果的な方法でもありました。チームには以前の職場でSOC 2を経験した人もおり、その価値と、手作業で進めると大仕事になることを分かっていました。少人数で人手は限られていましたが、手厚い支援は欲しく、エンジニアリングチームの時間を奪って製品のロードマップを狂わせることなく目標を達成したいと考えていました。

選定の判断軸：自動化、使いやすさ、専門知識、サポート

同社は複数の製品を評価し、最終的にDrataの高い自動化、使いやすさ、業界の専門知識、サポートの担当者を決め手に選びました。同社はDrataを全てがそろったものと評価し、SOC 2の全ての段階でプラットフォームとチームが高い期待に応えたことに満足しています。

数字で見た導入効果

数百時間を節約し、かかる時間を80%を大きく超えて短縮

同社はSOC 2の取得に意欲的な目標を立て、プロセス全体を、ほかにも多くの優先事項を抱える1人の従業員が進めました。同社の試算では、Drataによって数百時間を節約し、手作業で最初から最後まで進めた場合と比べて、かかる時間を80%を大きく超えて短縮しています。

数秒で準拠の状況を確認

担当者は、Drataのプラットフォームのゲームのような要素を気に入っていました。全ての連携が稼働してからは、ダッシュボードを開けば数秒で、準拠が100%を下回ったときに気付けます。完全な準拠に戻すために何が必要かもDrataが正確に示すため、すばやく対応できます。

Auditor Viewで監査人との調整を削減

DrataのAuditor Viewにも同社は驚きました。監査人はデータにアクセスし、それがどのコントロールに対応するかを確かめ、より効率よくフィードバックを返せます。これがなければ必要だった多くのメール、打ち合わせ、何時間もの調整を省けました。

この導入事例からの学び

同社の事例で特徴的なのは、1人の従業員がほかの業務と兼ねながらSOC 2を進め、エンジニアリングチームの時間を奪わずに取得している点です。同社の事例から読み取れる確認軸は2点あります。1つ目は、準拠が100%を下回ったときにすぐに気付き、何をすべきかが分かるかどうかです。2つ目は、監査人がデータとコントロールの対応を直接確認できるかどうかです。同社はSOC 2 Type IIにも進み、継続的なコンプライアンスを成長するセキュリティーの取り組みの標準にしていく考えです。

出典：Drata