Jitterbit、Drataで数カ月かかっていた監査を数時間に短縮

自動化によってアプリケーション、データ、プロセスをつなぐソフトウェア企業Jitterbitは、スプレッドシートと共有フォルダーに頼っていたコンプライアンスの運用をDrataにまとめ、数カ月かかっていた監査を数時間で終えられるようにしました。Trust Centerで顧客がいつでもセキュリティーとコンプライアンスの情報を確認できるようになり、Drataによって数百時間の作業を節約しています。セキュリティーと信頼への顧客の期待が高まるにつれ、同社にとってコンプライアンスはサイバーセキュリティーの運用に欠かせない要素になりました。

導入前：スプレッドシートと個人の知識に頼る運用

導入前、同社はスプレッドシートと共有フォルダーでコンプライアンスを管理していました。証跡は複数の場所に散らばり、どの証跡があり、何が足りず、各コントロールの担当が誰なのかを把握するのが困難でした。監査は手作業での調整に大きく頼っており、証跡の手作業での収集とばらばらのワークフローのために、準備に数カ月かかっていました。

サイバーセキュリティーの運用も個人の知識に大きく頼っており、リスクと非効率を生んでいました。セキュリティーレビューが増えるにつれ、顧客からの信頼に関する依頼に手作業で応えることも負担になりました。依頼のたびに文書をそろえ、アクセスを確認し、回答を調整する同じ作業を繰り返していたのです。セキュリティー・コンプライアンス担当アナリストのAndrei Botez氏は、Drataの導入前はスプレッドシートと共有フォルダー、そしてその間の多くの混乱ばかりで、監査には数カ月かかっていたと振り返っています。

選定の判断軸：人員を増やさずに、成長に合わせて広げられること

同社の成長とともに、従来の方法を続けるのはますます難しくなりました。新しい要件をスプレッドシートで管理し続ければ、追加の人員が必要になり、リスクも増えます。同社が必要としたのは、手作業を増やさずに運用を広げられる方法でした。Botez氏は、信頼とコンプライアンスは表裏一体で、顧客はこれまで以上に、データを預けられる相手かどうかを見ていると述べています。そこで同社は、コンプライアンスの運用をDrataの自動化されたトラストマネジメントのプラットフォームにまとめ、継続的な可視性と自動化でサイバーセキュリティーの運用を支える基盤を整えました。

数字で見た導入効果

数カ月かかっていた監査を数時間で

Drataは、証跡を継続的に集めて整理する一元化された仕組みで、スプレッドシートに頼る管理を置き換えました。サイバーセキュリティーの運用では、いつでもコンプライアンスの状況を明確に把握できるようになり、個人の知識への依存が減り、監査の直前に慌てることもなくなりました。以前は数カ月に及んでいた監査は、数時間で完了しています。

顧客がいつでもTrust Centerで情報を確認

DrataのTrust Centerによって、顧客はセキュリティーとコンプライアンスの情報に直接、自分でアクセスできるようになりました。手作業を介さずにいつでも信頼に関する情報を確認でき、寄せられる依頼が減ると同時に、同社のセキュリティーポスチャーへの信頼も高まっています。Botez氏は、顧客が昼でも夜でも状況を確認できるTrust Centerがあることで、データを預けてもらいやすくなったと話しています。

数百時間の作業を節約し、人員を増やさずに拡大

Drataの自動化によって、コンプライアンスの機能をサイバーセキュリティーの運用とともに広げられるようになりました。コントロール、証跡、可視性は一元化されたままで、運用を複雑にせずにセキュリティーのガバナンスの水準を引き上げられます。Botez氏は、GRCのほぼ全ての部分で自動化を使っており、数カ月分の作業を節約し、業界の中で水準を引き上げられたと述べています。Drataによって数百時間の作業を節約でき、最も面倒なプロセスの一部が自動化されたことで、コンプライアンスがきちんと回るようになったという評価です。

この導入事例からの学び

同社の事例で特徴的なのは、コンプライアンスの課題を、証跡の散らばりだけでなく、サイバーセキュリティーの運用が個人の知識に頼っていることによるリスクとしても捉えている点です。証跡を継続的に集める仕組みに置き換えたことで、誰が見ても状況が分かる状態になっています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、どの証跡があり、何が足りず、各コントロールの担当が誰なのかをすぐに答えられるかどうかです。2つ目は、コンプライアンスの運用が特定の個人の知識に頼っていないかどうかです。3つ目は、新しい要件が増えたときに、人員を増やさずに対応できるかどうかです。同社は、スプレッドシートでの管理を続ければ追加の人員が必要になり、リスクも増えると判断していました。

出典：Drata