Instacart、SafeBase by Drataでセキュリティーレビューを効率化し数千時間を節約

Instacartは、小売事業者から絶え間なく寄せられるセキュリティーレビューの依頼に、SafeBase by DrataのTrust Centerで応える仕組みを整え、わずか数カ月で500時間近くを節約しました。年間100社の小売事業者と年10件の大規模なセキュリティーインシデントを前提にした同社の試算では、削減できる時間は年間約5,000時間、金額にして約29万ドルにのぼります。同社は小売事業者に代わって数百万件の個人情報を処理しており、特に大手の小売事業者は厳しいセキュリティー要件を課しています。SafeBaseはその後Drataに買収され、現在はDrataの製品群の1つです。

導入前：セキュリティーレビューに追われる日々

導入前、同社のセキュリティーチームは小売事業者からのセキュリティーレビューの依頼に常に追われていました。デューデリジェンスの中でも、特に3つの作業が社内のチームの時間を大きく奪っていました。

1つ目は反復的な質問票（セキュリティーチェックシート）です。数十から数百の項目を含むカスタマイズされたスプレッドシートに回答する必要があり、その多くは以前の質問票とわずかに違うだけの内容でした。2つ目は非効率なNDA（秘密保持契約）の手続きです。相互のNDAを結ぶたびに、何通ものメール、修正のやりとり、複数のチームの関与が発生していました。3つ目は古い情報や不正確な情報です。営業担当者が古い版を送ってしまい、PCIやSOC 2のレポートを探し直して送り直すこともありました。

営業前の段階だけではありません。2021年末のLog4jのような大規模な脆弱性や情報漏洩が続いたことで、同社のGRCチームは小売事業者からの大量の問い合わせにも答えなければなりませんでした。同じ顧客からの複数のメールへの返信、経営層の名義での回答の作成、ときにはそのインシデントだけを扱う質問票への回答まで求められます。こうした対応は、影響を受けたソフトウェアを使っていない場合でも大きな手間になります。

選定の判断軸：顧客が自分で確認できる仕組み

同社がSafeBaseに声をかけたのは、別のベンダーのTrust Centerに触れたことがきっかけでした。SafeBaseのチームの支援を受けて自社のTrust Centerを素早く立ち上げ、小売事業者や見込み顧客が同社のセキュリティーポスチャーを確認し、SOC 2のレポートやSIGの質問票などの文書へのアクセスを申請できるようにしました。

効果はすぐに表れました。標準化されたCAIQ、VSA、SIGの質問票をダウンロードしてもらうよう小売事業者に促し、個別の質問票を大幅に減らしています。営業チームはSOC 2やPCI AOC（準拠証明書）などの最新の文書を、数時間や数日ではなく数分で共有できるようになりました。セキュリティーチームが常に最新の状態に保っているTrust Centerを案内すれば済むため、最新の文書をセキュリティーチームに問い合わせる必要もありません。法務の面では、SafeBaseに組み込まれたクリックラップ方式のNDAによって、メールの往復で数時間かかっていたNDAの締結が数分に短縮され、法務チームが個別のNDAの確認に追われることもなくなりました。

数字で見た導入効果

SafeBaseと同社のチームは、10社の小売事業者をサンプルとして削減した時間を数値化しています。

標準の質問票で約375時間を削減

CAIQ、VSA、SIGを共有したことで、同社のGRCチームは平均500問の個別の質問票3件への回答を省けました。以前は回答の作成や他チームへの確認を含め、1問あたり平均約15分かかっていました。標準化された質問票によって節約できた時間は約375時間、営業日にして47日分と同社は見積もっています。

NDA1件あたり平均20分を短縮

シンプルで読みやすいクリックラップ方式のNDAによって、署名、修正内容の確認、メールの作成に費やしていた時間を、NDA1件あたり平均20分減らせました。これだけで、GRCチームと法務チームは3時間以上を節約しています。

Log4jへの対応で約120時間を削減

SafeBaseのTrust Center Updatesの機能を使い、GRCチームは2021年末のLog4jの脆弱性について、同社は影響を受けていないという告知を公開しました。以前は大きなインシデントが起きるたびに、小売事業者1社につき約6時間をメールへの返信、公式な回答の作成、侵害や脆弱性に特化した質問票への回答に費やしていました。懸念を寄せた20社の小売事業者にこの告知を共有したことで、約120時間の反復作業を省けています。

年間約5,000時間、約29万ドルの削減を見込む

合計すると、同社はわずか数カ月で500時間近くを節約しており、この数字は今後大きく増えると見込んでいます。年間100社の小売事業者と、年10件の業界全体に及ぶ大規模なセキュリティーインシデントを前提にすると、削減できる時間は年間約5,000時間です。若手メンバーの平均給与を11万ドルと仮定すると、年間約29万ドル、フルタイムの従業員3人近くに相当する削減になります。同社は、年10件という前提を控えめな見積もりとしています。

この導入事例からの学び

同社の事例は、セキュリティーレビューの負担が営業前の質問票だけでなく、業界全体に及ぶインシデントのたびに繰り返し発生することを示しています。個別に答えていた内容をTrust Centerでの公開に置き換えたことで、1件ごとにかかっていた時間を削減の効果として数値で示せています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、寄せられる質問票のうち、標準化された質問票で代替できるものがどれだけあるかです。同社はCAIQ、VSA、SIGを共有することで個別の質問票を減らしています。2つ目は、営業や法務の手続きのうち、セキュリティーチームを経由しなくても済むものがあるかどうかです。同社では最新の文書の共有が数分で済み、NDAの締結も組み込みの機能で数分に短縮されています。3つ目は、効果を数値で示せるかどうかです。同社は1問あたりや小売事業者1社あたりの所要時間を基に、削減した時間と金額を試算しています。

出典：Drata