Katalon、DrataでSOC 2への道のりをリアルタイムに可視化

以前の親会社のもとでISO/IEC 27001とSOC 2の監査を経験したKatalonは、独立企業として改めてSOC 2に取り組むにあたりDrataを選び、監査の準備の段階から、成長につながる知見を得ています。

導入前：独立企業として一からやり直すSOC 2

同社は以前の親会社の傘下にあったときにISO 27001とSOC 2の監査を経験しており、完全に手作業の進め方には改善の余地があると分かっていました。独立企業として同じことをやり直すにあたり、効率よく進めたいと考えていました。重視したのは、顧客のサードパーティーリスクへの保証の要求に応えること、ブランドの保護、利害関係者の信頼の構築、営業とオンボーディングの加速です。急成長、世界に分散した従業員、規制のリスクの幅が広い大小の顧客の増加にも対応する必要がありました。進み具合をすばやく示し、チームが使いやすく、外部の監査人と信頼できる唯一の情報源で作業できる自動化のツールを選ぶことが、欠かせないと考えていました。

選定の判断軸：最新の自動化と分かりやすいダッシュボード

調べた結果、Drataは最も新しく、自動化を重視したコンプライアンスのプラットフォームだと分かりました。使いやすさと読みやすいダッシュボードによって、セキュリティーポスチャーの構成要素のうち、ほかに何を仕上げる必要があるかをすぐに把握できました。

導入効果

コントロールの分類で担当者と流れを明確に

同社はまだSOC 2の取得に向かう途中ですが、監査の準備の段階で、Drataは既に成長につながる知見を示しています。コントロールが分類されているため、担当者を簡単に割り当てられ、作業の流れも把握できます。

GitHubやAWSとの連携と組み込みのリスクアセスメント

GitHub、AWSなどのアプリケーションとの連携は、同社の技術スタックに無理なくなじみました。リスクアセスメントなどの機能は非常に使いやすく、プラットフォームに組み込まれているため、さらに手軽に使えます。Drataと監査人との提携も、取り組みを進めるうえでの安心につながっています。

この導入事例からの学び

同社の事例で特徴的なのは、親会社の傘下での監査経験から手作業の限界を知ったうえで、独立後の取り組みに自動化のツールを選んでいる点です。同社の事例から読み取れる確認軸は2点あります。1つ目は、コントロールごとに担当者を割り当て、流れを把握できるかどうかです。2つ目は、外部の監査人と同じ情報源で作業できるかどうかです。SOC 2 Type Iの取得後は、Drataの継続的モニタリングで準拠を保ち、HIPAAやISO 27001への拡大も検討する予定です。

出典：Drata