LetzChat、DrataとSafeBaseでSOC 2を取得し初年度に6対1の投資対効果

世界の企業の言語とコミュニケーションの壁を埋める技術を開発するLetzChatは、DrataでSOC 2の準備から証跡の収集、継続的モニタリングまでを自動化し、従業員7人の会社でCEOが1人でSOC 2を取得しました。SafeBaseのTrust Centerを4時間で立ち上げ、初年度の投資対効果は6対1、売上は前年比で約40%伸び、営業のサイクルは30日短くなっています。

導入前：質問票1件に1週間かかるCEOの手作業

2010年に創業し、Comcastのアクセラレーターのプログラムから生まれた同社は、顧客の需要が広がるにつれ、強固なデータセキュリティーと規制への準拠を求められるようになりました。大企業はSOC 2への準拠とペネトレーションテストを求めていましたが、社内にGRCやセキュリティーのチームはなく、専任のCISOを雇う費用も出せませんでした。CEOのJordan Orlick氏が全てのコンプライアンスの作業を1人で担い、顧客の質問票（セキュリティーチェックシート）1件ごとに、ホスティング、インフラ、アクセスの管理について何日もかけて手作業で情報を集めていました。同氏は、大企業の質問票1件に丸1週間かけており、成約はできても商談が遅れていたと振り返っています。コンプライアンスの作業も、大量のスクリーンショット、繰り返しのメール、はっきりしない期待値が入り組んだ迷路のようでした。初めての外部監査を前に、同氏は証跡が正しい基準を満たしているか分からず、不安を感じていたといいます。

選定の判断軸：専門家がいなくても進められるプラットフォーム

Orlick氏は、開発者からCEOになった自分にとって監査とペネトレーションテストは初めてだったが、Drataでは驚くほど直感的に進められたと話しています。Drataのコントロールの継続的モニタリングは、スプレッドシートとスクリーンショットで追っていた手作業の多くを自動化しました。Policy Centerでは、自社のインフラに合ったカスタマイズできるテンプレートをすぐに使え、ポリシーの作成に何日もかける必要がなくなりました。同氏は1日に10のコントロールを終える目標を立て、圧倒される作業ではなく繰り返せるプロセスにしました。外部のコンサルタントやGRCの経験がなくても、ダッシュボードで不足と進み具合をリアルタイムに把握でき、数週間で準備を整えています。

数字で見た導入効果

初年度の投資対効果は6対1

大企業との商談1件で、コンプライアンスへの年間の投資を全て回収しました。SOC 2の取得後、待っていたパートナーがすぐに商談を再開し、最初の1カ月で大企業との新しい商談が5〜6件生まれています。SOC 2の取得後に得た新しい大企業の顧客によって、売上は前年比で約40%伸びました。

監査の準備は約50時間、提出したコントロールの90%が一度で正しく

監査の準備は全てDrataで進め、約50時間で終えました。ポリシーテンプレートでは100時間以上を節約し、Orlick氏はプロセスの中で最も簡単な部分だったと話しています。準備が整うと、監査人はプラットフォームの中で直接証跡を確認し、メールのやりとりも重複したアップロードも不要になりました。提出したコントロールの90%は一度で正しく、監査の週はストレスではなく確認の場になりました。同氏は、緊張して臨んだものの、監査人が全てを案内してくれ、合否を決めるのではなく導いてもらう過程だったと振り返っています。

セキュリティーレビューは1週間から5分に、営業のサイクルは30日短縮

SOC 2の取得後、同社はSafeBaseのTrust Centerを4時間で立ち上げ、ウェブサイトに組み込みました。見込み顧客は認証や証明を確認し、文書をダウンロードして、数分でセキュリティーポスチャーを確かめられます。営業と技術のチームは長い質問票に答える代わりに、証跡の更新に合わせて自動で更新されるTrust Centerを案内しています。セキュリティーレビューは1週間から5分に短縮され、営業のサイクルは30日短くなりました。Orlick氏は、Trust Centerによって大企業と取引できるより大きな会社に見えるようになったと述べています。社内でも、営業はより早く動けるようになり、経営陣は繰り返しの依頼への対応ではなく事業の拡大に集中できるようになりました。同氏は、今の自信は計り知れず、Drataがコンプライアンスを事業の成長の原動力にしたと話しています。

この導入事例からの学び

同社の事例で特徴的なのは、専任者もコンサルタントもいない従業員7人の会社で、CEOが毎日の小さな目標を積み重ねてSOC 2を取得し、それをすぐに売上につなげている点です。同社の事例から読み取れる確認軸は2点あります。1つ目は、質問票1件にどれだけの時間を取られているかです。2つ目は、ポリシーテンプレートや監査人との共同作業の仕組みで、経験のない担当者でも監査を迎えられるかどうかです。同社は今後1年でISO 27001とGDPRにも取り組む計画です。

出典：Drata