DataScan、DrataでGRCをボトルネックから成長の基盤に

銀行や自動車・設備の融資会社向けにホールセールファイナンスのソフトウェアを提供するDataScanは、DrataのAIネイティブのプラットフォームでGRCを自動化し、監査の準備を3〜4カ月から2〜3週間に短縮しました。AI Questionnaire Assistance（AIQA）で月に1,500件を超えるセキュリティーの質問に回答し、営業のレビューにかかる時間も43%減らしています。

導入前：複数のツールに分散した手作業のGRC

同社は、複雑でリスクの高い環境を背景に、数十億規模の在庫融資を管理しています。数百人の現場監査員を抱え、厳しいコンプライアンスの要求に応える必要がある一方で、GRCの業務は手作業が中心で、SharePoint、Confluence、Excelに分散していました。監査の準備には3〜4カ月かかり、証跡の収集と確認は手作業でした。リスク、ポリシー、コントロールの仕組みはばらばらで、セキュリティーレビューは営業のサイクルの妨げになり、質問票（セキュリティーチェックシート）への回答も別のプラットフォームで管理していました。

選定の判断軸：相互運用性、拡張性、規模への対応

同社がDrataを選んだのは、自動化のためだけではなく、大企業向けの相互運用性と管理、そしてコンプライアンスを運用のコントロールに直接組み込めるためでした。DrataはJira、Azure AD、その他のインフラのシステムと連携し、既存のツールを手放さずに同社のワークフローの延長として機能しています。Custom Workflowsでは証跡の確認などの作業を自動化し、まず証跡から始めて、リスクにも広げる計画です。SOC 2からFedRAMP Moderateまで、すぐに使えるフレームワークと共通のコントロールの構成があり、フレームワークをまたいだ共有のコントロールとリアルタイムのモニタリングで、新しい市場に広がっても作業の重複をなくせます。

数字で見た導入効果

監査への備えが70%速く

監査の準備は3〜4カ月から2〜3週間に短縮され、監査にかかる作業は10週間以上減りました。リアルタイムのコントロールのマッピングと証跡の自動更新によって、チームは事後的な文書作りから先手のリスク管理に移り、GRCとエンジニアリングの手も空きました。

ポリシーとコントロールの運用を一元化

ポリシー、コントロール、担当をDrataにまとめたことで、SharePoint、ADP、手作業のフォルダー、散らばったスプレッドシートに頼る必要がなくなりました。Jira、Azure AD、AWSとの連携で、チームとフレームワークをまたぐ信頼できる唯一の情報源を作っています。ポリシーの承認と同意の追跡が効率化され、本社と400人を超える現場監査員が時間を合わせずに協力できるようになりました。

AIQAで営業のレビューの時間を43%削減

AI Questionnaire Assistanceを使い、以前は数カ月かかっていた量にあたる1,500件を超えるセキュリティーの質問に1カ月で回答しました。回答までの期間は30日から17日に短くなり、営業のサイクルの加速と顧客の負担の軽減につながっています。セキュリティーレビューの滞留による商談の遅れも防げています。

この導入事例からの学び

同社の事例で特徴的なのは、既存のツールを手放さずにDrataをワークフローの延長として組み込み、ポリシー、コントロール、質問票への回答を1つのプラットフォームにまとめている点です。同社の事例から読み取れる確認軸は2点あります。1つ目は、複数のフレームワークでコントロールを共有し、作業の重複をなくせるかどうかです。2つ目は、証跡の確認のような定期的な作業を、自社の流れに合わせて自動化できるかどうかです。同社は、Custom Workflowsで1年ごとの確認を自動化し、証跡の収集を10週間から2〜3週間に短縮する見込みです。社長兼ゼネラルマネージャーのBrian Koprowski氏は、Drataがより速く賢く成長するための基盤を与え、コンプライアンスを競争上の強みに変えていると述べています。

出典：Drata