DailyPay、Drataでコンプライアンスを効率化し顧客の信頼を強化

従業員が働いた分の給与にリアルタイムでアクセスできるようにするフィンテック企業のDailyPayは、DrataでSOC 2 Type II、ISO/IEC 27001:2022、PCI DSSの証跡とコントロールのマッピングを一元化し、監査を効率化しました。GRCチームの生産性も高まり、顧客への信頼の伝え方も向上しています。

導入前：複数のフレームワークで担当と可視性が必要

機密性の高い金融データを事業の中核に据える同社にとって、信頼とコンプライアンスを保つことは欠かせません。複数のフレームワークへの準拠を保つには、GRCチームに明確な担当と可視性が必要でした。トラスト・GRC組織で全社のセキュリティーリスク、アイデンティティー・アクセス管理、事業継続を担うシニアセキュリティーアナリストのVictoria King氏は、金融データを扱う同社にとって信頼は欠かせず、データのプライバシーや金融のセキュリティーから透明性まで、双方がプラットフォームを安心して使えることの上に事業が成り立っていると述べています。

選定の判断軸：コントロールのマッピング、リスク登録簿、自動のコントロールチェック

同社は、Drataのコントロールのマッピング、リスク登録簿、自動のコントロールチェックを導入し、コンプライアンスの流れを一元化して効率化しました。自動のコントロールチェックはカスタマイズでき、フレームワークごとの要件に合わせて自動化を調整できます。King氏は、どの自動チェックを使うかを必要に応じてオンとオフで切り替えられることが大きな強みになっていると話しています。

導入効果

証跡を1カ所にまとめ、監査を効率化

DrataのEvidence Libraryで証跡の管理が簡単になり、監査人にアクセス権を付与しやすくなって、追跡もできるようになりました。King氏は、全ての証跡を1カ所にまとめて監査人にアクセスさせられ、証跡が関連するコントロールにマッピングされているため、GRCチームと監査チームの双方の時間を節約できていると述べています。監査は短く、チームにとってできる限り負担の少ないものになりました。

証跡の期限の追跡で生産性が向上

証跡の期限を把握しやすくなったことで、GRCチームの生産性が高まり、大幅に時間を節約できています。証跡を常に最新に保てるようになりました。

顧客に信頼を伝える

可視性と透明性が高まったことで、顧客に信頼を効果的に伝えられるようになりました。同社にとって信頼は、コンプライアンスの取り組みの土台であり、成果でもあります。

この導入事例からの学び

同社の事例で特徴的なのは、自動のコントロールチェックを一律に使うのではなく、フレームワークの要件に合わせてオンとオフを切り替えている点です。同社の事例から読み取れる確認軸は2点あります。1つ目は、複数のフレームワークの証跡がコントロールにマッピングされ、監査人と1カ所で共有できるかどうかです。2つ目は、証跡の期限を追跡し、常に最新に保てるかどうかです。

出典：Drata