Magic、DrataとA-LIGNで監査の効率を10倍に

Web3のウォレットを提供するWallet-as-a-Service（WaaS）のMagicは、Drataと監査法人A-LIGNの組み合わせで監査の効率を10倍に高め、全てのフレームワークで指摘事項ゼロのまま、SOC 2 Type II、ISO/IEC 27001、HIPAAの証明を得ました。同社はWaaSのプロバイダーとして初めて、この3つを達成しています。

導入前：複数のフレームワークを支えられない従来の仕組み

同社にとって信頼は最も重要で、セキュリティーの規制と業界標準のフレームワークへの準拠は顧客のデータを守るうえで欠かせません。しかし、DrataとA-LIGNと組む前の仕組みには、事業の戦略的な目標を支えるうえで改善の余地がありました。著名な顧客に応えるには、厳格なセキュリティーのコントロールを示し、厳しいデューデリジェンスを通る必要がありました。複数の監査のフレームワークに取り組めるツールも必要でした。

選定の判断軸：元監査人による徹底した比較

同社はセキュリティーコンプライアンス担当プログラムマネージャーを専任で置き、より強力な製品を探しました。A-LIGNで監査人を務めた経験を持つ同マネージャーのBrendan Tottle氏が主要なコンプライアンス管理のツールを徹底して評価した結果、幅広い連携、ポリシーテンプレート、Trust Center、リスク管理のモジュール、コンプライアンスの専門家による継続的な支援を理由に、Drataが明らかな勝者になりました。同氏は、Drataと組んでからコンプライアンスのプロセスが目に見えて改善し、事業の成長とイノベーションにより集中できるようになったと述べています。

数字で見た導入効果

監査の効率が10倍に

同社は現在、5つのフレームワークでDrataを使い、Trust Center、リスク管理のモジュール、連携によるコントロールの継続的モニタリングを活用しています。インフラのプロバイダーとの連携で、コントロールの有効性をリアルタイムに把握できます。A-LIGNの監査チームにDrataの環境へのアクセスを提供したことで、監査人はコントロールを確認し、必要な証跡を自分で取り出せるようになりました。同社のセキュリティーチームが証跡を手作業でアップロードする必要はなくなり、大幅な時間の節約と効率の向上につながっています。Tottle氏は、A-LIGNの監査人がDrataに入って証跡をスムーズに確認し、取り出せることで、両社の組み合わせが大きな成果を生んでいると話しています。

外部の監査を有利な価格で

DrataとA-LIGNの提携によって、同社は外部の監査を優遇された価格で受けられ、費用対効果を高めてコンプライアンスの予算を最適化しました。DrataのTrust Centerの導入で、関係者へのコンプライアンスのレポートの提供もクリック1つで済むようになり、ベンダーや顧客とのレポートの共有などの手作業も自動化されています。

3つのフレームワークで指摘事項ゼロ

SOC 2 Type II、ISO 27001、HIPAAの証明を、全てのフレームワークで指摘事項ゼロのまま得たことで、同社の信頼性は高まり、大企業の顧客との提携にもつながっています。ISO 27001とHIPAAへの範囲の拡大は、海外の市場とヘルスケアの業界で新たな機会も開きました。

この導入事例からの学び

同社の事例で特徴的なのは、元監査人の担当者がツールを評価し、プラットフォームと監査法人を組み合わせて、監査人が証跡を直接取り出せる体制を作っている点です。同社の事例から読み取れる確認軸は2点あります。1つ目は、監査人が証跡を自分で取り出せる環境があるかどうかです。2つ目は、複数のフレームワークを1つのプラットフォームで扱えるかどうかです。

出典：Drata