Gather Voices、DrataでISO 27001のコントロールの80%を2週間で実装

Gather Voicesは、3カ月かけても導入が進まなかった別のコンプライアンス自動化のプラットフォームからDrataに切り替え、評価の期間中にISO/IEC 27001のコントロールの80%を2週間で実装しました。GRCにかける費用と時間はいずれも半分になり、投資対効果（ROI）は4倍です。残った細かなコンプライアンスの作業にかける時間は、今では週に1〜2時間です。

導入前：手作業の監査と、進まなかった前のツール

同社は1年半前、ISO 27001の監査を手作業で準備し、社内のリソースを100時間以上費やしました。文書が正しく準備されていることを確かめるために、多額の費用をかけて外部のコンサルタントも雇っていました。手作業の負担を減らそうとコンプライアンス自動化の専用ソフトウェアに移りましたが、それでも準拠のために多くの時間とリソースがかかりました。

前のプラットフォームでは、3カ月にわたって導入を試みても進展がありませんでした。製品の中に説明の文書がなく、主要なコンプライアンスの用語を理解するのに苦労しても、必要な手引きや支援は得られませんでした。連携の設定でも何度も問題が起き、サポートのチケットを出しても一般的な返答しかなく、解決には至りませんでした。返答は遅く、重要な詳細を欠いており、一部の連携がなぜ失敗するのか、3カ月間説明も解決策もないままでした。

選定の判断軸：購入前に徹底的に試す

前の失敗を受けて、同社は通常の購買のプロセスから外れ、選ぶ予定のソフトウェアを時間をかけて徹底的に試すことにしました。価格から機能、ユーザーインターフェイスまで、懐疑的で批判的な目で評価しました。手間のかかる複雑な作業になると予想していましたが、Drataでの経験は驚くほど簡単でした。評価の期間中にISO 27001のコントロールの80%を実装でき、2週間でほぼ本番の運用に入れる状態になったことは、同社の予想を大きく超えるものでした。

数字で見た導入効果

ISO 27001のコントロールの80%を2週間で実装

ISO 27001を手作業で一度経験していたため、Drataを使い始めた時点でポリシーは全てそろっていました。それでも、Drataのポリシーテンプレートは非常によくできており、採用することで導入の時間を大きく減らせました。AWSなどとの連携も円滑で、数日で同期できています。製品・エンジニアリング担当バイスプレジデントのAri Block氏は、円滑な導入の過程でリスクは最初に全て抑えられ、今では残った細かなコンプライアンスの作業に週1〜2時間を使うだけだと述べています。

高額なコンサルタントを、すぐにつながるサポートに置き換え

以前は外部のコンサルタントに多額の費用をかけていましたが、今ではプラットフォーム上でチャットの画面を開けば、監査のアドバイザーと技術サポートのチームにすぐにつながります。疑問への手引きを手早く簡単に得られます。Block氏は、非常に高額なコンサルタントを、より速くすぐにつながるDrataのサポートとのチャットに置き換えられたと話しています。

費用と時間を半分にし、ROIは4倍

Drataによって、コンプライアンスの取り組みの具体的な進み具合を経営層に示せるようになり、経営層もその見通しのよさを高く評価しています。費用と時間はいずれも半分になり、投資対効果は4倍に達しました。同社は今後、ISO 27001に加えてGDPRにもDrataで取り組み、取り組みの質を損なわずに時間と費用を節約する計画です。

この導入事例からの学び

同社の事例で特徴的なのは、前のツールの導入に失敗した経験から、購入を決める前の評価の期間に実際の環境で徹底的に試している点です。その評価の期間のうちにコントロールの80%を実装できたことが、導入の判断を後押ししています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、製品の中に用語や手順の手引きがあり、チームが自分で学べるかどうかです。2つ目は、連携の設定で問題が起きたときに、サポートから具体的な回答が速く得られるかどうかです。同社は前のツールで、この2点に苦しんでいました。3つ目は、購入前の評価の期間に、実際のコントロールの実装まで試せるかどうかです。

出典：Drata