Connective、DrataでSOC 2の監査を5カ月から5週間に短縮

住宅ローンの仲介業者が住宅ローンなどの融資をエンドツーエンドで扱えるよう、業務支援サービスとCRMのプラットフォームを提供するオーストラリアの住宅ローンアグリゲーターConnective Broker Servicesは、手作業に頼っていたSOC 2の準備をDrataで日々のモニタリングに切り替え、4〜5カ月かかっていたSOC 2の監査を5週間に短縮しました。監査期間は75%短くなり、導入の開始から最初の監査までは2カ月足らずでした。貸し手からの監査の依頼には、Trust Centerを案内することで約30秒で応えられるようになっています。機密性の高い本人確認情報や金融情報を扱う金融サービス企業として、同社にとって顧客とパートナーの信頼は事業の土台です。

導入前：毎年の「火事場」になっていたSOC 2の準備

同社は2022年に初めてSOC 2の証明を取得しました。しかしその後の2年間、監査への備えは手作業で煩雑なもので、スプレッドシート、ファイル共有、メールに頼っていたため、コントロールを一貫してモニタリングし、監査人が来たときに証跡をそろえるのが困難でした。SOC 2の準備はスプレッドシート、SharePoint、カレンダーのリマインダー、メールで進められ、証跡は管理しにくく、漏れやすい状態でした。

監査の準備は毎年の火事場のような作業になり、Trelloのボードには約500枚のカードが並び、監査の完了には4〜5カ月かかっていました。コントロールの状況が見えにくく、忙しくなると課題が放置されがちで、監査の時期にはふりだしに戻っていることもよくありました。最高情報責任者（CIO）のAshley Jackson氏は、同社はデータを危険物として扱っていると述べており、信頼とコンプライアンスを日々確実に保つ方法が必要でした。

選定の判断軸：1人に頼らず、常に監査に備えられる仕組み

特に消耗の大きかった監査のサイクルを経て、Jackson氏はよりよい方法を探しました。Drataは、継続的に監査に備え、証跡を一元化し、1人に頼らずに担当を広げられる統合されたプラットフォームでした。毎年慌てて準備しなくても、組織として常に監査を受けられる状態を保てます。

同社はDrataでSOC 2の証跡を一元化し、人事、法務、コンプライアンス、エンジニアリングにコントロールオーナーを割り当て、タスクを1カ所で追跡するようにしました。もともと1人で担っていた取り組みは、コントロールに最も近いチームが責任を持つ形に変わっています。リスク登録簿の全体もDrataで管理し、ポリシーと証跡を1カ所にまとめたことで、情報の分散が減り、必要なことについてチームの足並みがそろうようになりました。Jackson氏は、リスク管理を集約でき、SOC 2のコントロールオーナーをそれぞれのチームに割り振れたと話しています。

数字で見た導入効果

SOC 2の監査期間を75%短縮

同社は日々の運用のリズムに移りました。チームは毎日ダッシュボードを確認し、準備状況が下がると、担当のコントロールオーナーがすぐに調べて是正します。コンプライアンスは年に1度のプロジェクトではなく継続的な実践になり、監査が始まるずっと前に問題を見つけて対処できるという確信が持てるようになりました。SOC 2の監査は4〜5カ月から合計5週間に短縮され、監査期間は75%短くなっています。Jackson氏は、コンプライアンスを保つための作業が年に1度の抜き取り確認から、ほぼ日々のモニタリングに変わったと述べています。

導入の開始から最初の監査まで2カ月足らず

同社はオンボーディングから最初のSOC 2の監査までを2カ月足らずで進めました。以前は手作業で何カ月もかかっていた準備を、素早く実行に移せる形で置き換えています。

Essential Eightの成熟度レベル1への準備を約2時間で

SOC 2が順調に回るようになると、同社はDrataにNIST AI RMFとオーストラリアのEssential Eightを加えました。セキュリティーチームはEssential Eightの成熟度レベル1を目指すプロジェクトを立ち上げる予定でしたが、Jackson氏はDrataのクロスマッピングされたコントロールで進められると考えました。どれくらいの手間かを確かめようとある晩に取りかかったところ、約2時間で成熟度レベル1への準備の差を埋められ、プロジェクトの立ち上げそのものが不要になりました。

貸し手の監査への対応を約30秒に

同社は貸し手やパートナーからの頻繁な監査にDrataのTrust Centerで応えています。繰り返し届く長い監査の依頼に1件ずつ回答する代わりに、SOC 2の資料とセキュリティー情報にアクセスできるTrust Centerのリンクを1つ渡すだけです。貸し手とサードパーティーからの監査の依頼への対応は、約2.5〜3時間の手作業から約30秒になりました。Jackson氏は、少なくとも年に10回は監査を受けるが、今はTrust CenterのURLを伝えるだけで3時間が30秒になったと話しています。

この導入事例からの学び

同社の事例で特徴的なのは、年に1度の監査の準備を、毎日ダッシュボードを確認して準備状況が下がればすぐに是正する運用に変えた点です。コントロールオーナーをコントロールに最も近いチームに割り振ったことが、1人に頼らない日々の運用を支えています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、監査の準備が特定の1人に集中していないかどうかです。同社は人事、法務、コンプライアンス、エンジニアリングにコントロールオーナーを割り当てています。2つ目は、新しいフレームワークに取り組むとき、既存のコントロールを生かせるかどうかです。同社はクロスマッピングされたコントロールを使い、予定していたプロジェクトを立ち上げずに済ませています。3つ目は、繰り返し届く第三者からの監査の依頼にどう応えているかです。同社はTrust Centerのリンクを渡すことで、1件あたりの対応時間を大きく減らしています。今後は人による確認の仕組みを残しながら、自動化をさらに進める計画です。

出典：Drata