DistillerSR、DrataとKnowBe4でSOC 2の監査関連会議を90%時短しセキュリティー意識を前年比10%向上

規制の厳しい製薬・医療機器の企業を顧客に持つDistillerSRは、Drataのプラットフォームを導入し、KnowBe4との連携も活用して、直近のSOC 2の監査で会議を90%、監査人からの依頼を75%、関わる社内の要員を40%減らしました。フィッシングのシミュレーションの合格率も前年比で10%上がっています。

導入前：成長に追いつかないスプレッドシートの管理

Drataの導入前、同社はチームとシステムにまたがるコンプライアンスを、手作業でばらばらのスプレッドシートで管理していました。事業の拡大につれてこの方法は非効率でミスも起きやすくなり、監査には時間がかかり、複数のチームが常に関わる必要がありました。一元的な可視性も自動化もない中で、規制の厳しい顧客の信頼を保ち、コンプライアンスの期待に応えることが、ますます難しくなっていました。

選定の判断軸：統合されたGRCのプラットフォームと既存のツールとの連携

Drataが際立っていたのは、リスク、ベンダー、ポリシーの管理を一元化しながら、既存のツールやインフラとも無理なく連携できる、統合されたGRCのプラットフォームを提供していた点です。直感的なUIと自動化の機能によって、チームをまたいで導入しやすく、Trust CenterとAudit Hubは見込み顧客や監査人との窓口になりました。SOC 2、GDPR、NIST AIなどのフレームワークに対応していることも、取り組みを成熟させるうえでの安心につながりました。コンプライアンス担当ディレクターのKelvin Fung氏は、コンプライアンスの取り組みを一元化し、Trust Centerで顧客と関われるようになったことで、社外とのやりとりが大きく効率化されたと述べています。

数字で見た導入効果

SOC 2の監査で会議を90%、監査人の依頼を75%削減

直近のSOC 2の監査では、関わる社内の要員が40%減り、監査人からの依頼は75%減り、監査に関わる会議は90%減りました。節約した時間は大きなコストの削減につながり、監査そのものも以前のごく一部の費用で終えています。

顧客とのやりとりの60%以上でTrust Centerを活用

Trust Centerは顧客との関わりの中心になり、顧客とのやりとりの60%以上でTrust Centerが使われています。中には、Trust Centerを通じて監査を最後まで終える顧客もいます。これにより、コンプライアンスチームは先手のリスク管理とフレームワークの拡大に集中できるようになりました。

KnowBe4との連携で研修を継続し、合格率が前年比10%向上

同社はまずKnowBe4のセキュリティー意識向上の研修で基準を作り、PhishER Plusでより高度なフィッシングのシミュレーションと対応のプロセスに広げました。Drataの導入とともにKnowBe4との連携を使い、研修のデータをコンプライアンスのモニタリングの流れに統合しています。NIST AI RMFなどの規制の変化に合わせて、AIに特化した研修も加えました。研修は当初年1回でしたが、全社集会で紹介する任意の短い月次の研修に切り替え、研修の修了や、その月にフィッシングを見抜けたことに応じて毎月の抽選に参加できるようにしました。この前向きな仕組みで研修が負担にならずに定着し、フィッシングのシミュレーションの合格率は前年比で10%向上しています。Fung氏は、KnowBe4とDrataを同期したことで、手作業も余計な負担もなく、研修の修了を毎日把握できるようになったと述べています。

この導入事例からの学び

同社の事例で特徴的なのは、監査の効率化と従業員の研修の定着を、同じプラットフォームでの継続的モニタリングで結び付けている点です。同社のCISOであるAlan Charlton氏とFung氏がこの取り組みを共同で運営しています。同社の事例から読み取れる確認軸は2点あります。1つ目は、監査人や顧客が必要な情報を、プラットフォームから直接得られるかどうかです。2つ目は、セキュリティー研修のデータを、コンプライアンスのモニタリングにまとめて追跡できるかどうかです。Fung氏は、Drataによってコンプライアンスの取り組みが継続的で、より入念なものになり、それをごく一部の時間でこなせていると述べています。

出典：Drata