Lemonade、Drataで監査人とのやりとりを想定の10分の1に

米国とヨーロッパで事業を展開する消費者向けの保険会社Lemonadeは、Drataで証跡の収集を自動化し、SOC 2の監査の準備にかかる時間を大きく減らしました。監査人との電話は約4時間で済み、想定の10分の1でした。証跡の収集にかけた時間は約35〜40時間で、監査は不適合ゼロの報告書の草案で終わっています。自身とチームが費やす時間は60〜80%ほど減らせる見込みです。

導入前：1回のSOC 2の監査に500〜600時間

最高情報セキュリティー責任者（CISO）のJonathan Jaffe氏は、Drataを使う前は、SOC 2の監査の準備と対応だけで200時間をはるかに超える時間を費やしていたと振り返っています。ほかのメンバーの時間も加えると、コンプライアンス自動化のプラットフォームを使う前は、1回の監査の準備に500〜600時間かかっていたと同氏は大まかに見積もっています。

新しい製品の開発を続けながら市場に追いつこうとしている同社のような後期の成長企業にとって、これは製品を届ける仕事から多くの時間を奪うものでした。効率の面で無駄が大きく、会社全体のセキュリティーの向上のような重要なプロジェクトの妨げにもなっていました。

選定の判断軸：証跡の収集の自動化と、自社のフレームワークを作れる柔軟さ

Jaffe氏は、Drataは証跡の収集の自動化に優れ、非常に柔軟で、自社のコントロールのフレームワークを作れる点を評価しています。同氏は、Sarbanes-Oxley法のIT全般統制に特化したフレームワークを作っており、以前は手作業だった作業にかける時間が減っています。コンプライアンスの世界では自動化の約束が長く語られてきたものの、本当に実現したことはなく、Drataがそれを現実にしたと同氏は述べています。

数字で見た導入効果

監査人との電話は想定の10分の1の約4時間

同社は、1月に完了したSOC 2の監査をDrataで実施しました。1月下旬まで監査人からほとんど連絡がなく、届いたのは最終の監査報告書の草案ができたという知らせでした。Jaffe氏が監査人と電話で話したのは約4時間で、想定していた時間の10分の1でした。

証跡の収集は約35〜40時間、不適合はゼロ

同氏が証跡の収集にかけた時間は約35〜40時間で、ほかのメンバーに頼る時間も大幅に減りました。監査人からは、監査はほぼ終わっており、不適合ゼロの草案を確認してほしいという連絡がありました。同氏はその状況を、解放された気分だったと表現しています。

チームが費やす時間を60〜80%削減する見込み

同氏は、自身とチームが費やす時間を60〜80%ほど減らせると見込んでいます。

この導入事例からの学び

同社の事例で特徴的なのは、監査にかかっていた負担を、CISO個人の時間とチーム全体の時間の両方で具体的に示している点です。製品開発を続ける成長企業にとって、監査の負担はセキュリティーの向上などの重要な取り組みを妨げるものとして捉えられています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、1回の監査に組織全体でどれだけの時間を費やしているかを把握できているかどうかです。同社は自動化の前に500〜600時間と見積もっていました。2つ目は、SOC 2以外の要件にも、自社でコントロールのフレームワークを作って対応できるかどうかです。同社はSarbanes-Oxley法のIT全般統制に特化したフレームワークを作っています。3つ目は、監査人とのやりとりにかかる時間がどれだけ減るかです。同社では想定の10分の1で済んでいます。

出典：Drata