Measurabl、監査の途中でDrataに乗り換えコンプライアンスの作業の80%を自動化

大規模なオフィスやビルのエネルギー、ガス、電力、太陽光の使用状況をモニタリングするソフトウェアを提供するESG企業Measurablは、監査の途中で前のコンプライアンス自動化のプラットフォームからDrataに切り替え、コンプライアンスの作業の80%を自動化しました。前のツールでは「準備率90%」と表示されていたのに、監査人から110件の追加の証跡を求められていました。同社の顧客とサイバー保険の保険会社は、SOC 2とISO/IEC 27001への準拠を求めています。

導入前：信頼できない「準備率90%」

情報セキュリティー担当シニアマネージャーのTy Nickel氏が入社したとき、同社は別のコンプライアンス自動化のプラットフォームを使っていました。同氏の最初の大きな仕事は、1年という厳しい期限でSOC 2とISO 27001への準拠を達成することでした。10年以上の監査の経験を持つ同氏は、監査を通るのに何が必要かを分かっていましたが、前のツールは約束を果たしませんでした。

フレームワークの要件をこなすにつれて準備率は上がるのに、実際に集まっている証跡はそれに見合っていませんでした。提供されるポリシーは少なく信頼性も低く、フレームワークのコントロールと証跡の対応付けも分かりにくいものでした。リスク管理の機能も範囲が限られ、手続きの効率化には役立ちませんでした。サポートに質問しても、PDFへのリンクが付いたメールが届くだけで、それ以上の手引きはありませんでした。経営層は、この製品ならSOC 2 Type IIを簡単に素早く取得できると説明を受けていましたが、証跡の収集の欠陥とサポートの不足を見た同氏は、SOC 2までの道のりは険しくなると分かっていたといいます。プラットフォーム上で「準備率90%」とされた証跡を提出すると、監査人からは110件の追加の証跡を求めるスプレッドシートが返ってきました。クリーンな報告書を期待していた経営層は不満を抱き、セキュリティー以外のチームにも影響が及んで、事業の前進が大きく止まりました。サポートからは、なぜ証跡が足りないのかの説明もなく、経営層の不満は募るばかりでした。監査人は前のツールの画面を好まず、110件の追加の証跡に対応するためのスプレッドシートを用意したため、チームには重く時間のかかる作業が残りました。

選定の判断軸：今だけでなく3〜5年先まで使えること

監査の途中で前のプラットフォームの更新時期が来たため、同社は切り替えを決め、大企業に適した多くのプラットフォームを比較しました。最終的に選んだのがDrataです。同氏は、今だけでなく3〜5年先まで使えるプラットフォームを求めていたと述べています。コンプライアンスは継続的な取り組みのため、毎年ツールを替えることは避けたかったといいます。Drataとならコンプライアンスの取り組みを広げていける将来が見えたことが、重要な違いでした。

監査法人のSAVとは前のツールを通じてつながっていたため、移行には不安もありましたが、Drataは監査期間中の切り替えも円滑に進めました。SAVは今ではDrataを積極的に勧める立場になり、自社の顧客にも頻繁にDrataを推薦して、業界の強力なツールだと評価しています。監査法人のこうした評価が、Drataへの乗り換えは正しい判断だったという同社の確信をさらに強めました。導入の過程でDrataが提供する資料を詳しく見るほど、ポリシー、コントロール、要件の品質の高さと正確さが分かったと同氏は述べています。証跡の自動収集やコントロールのマッピングを気にする必要もなく、Drataが全てを担ってくれるといいます。

数字で見た導入効果

コンプライアンスの作業の80%を自動化

Drataによって、SOC 2とISO 27001への取り組みの時間は確実に短くなり、コンプライアンスの作業の80%を自動化できました。前のツールではほとんど監査への準備を進められなかったのとは対照的です。DrataのSOC 2とISO 27001のポリシーセットは、監査を通るのに必要な水準を上回る品質で、ISO 27001向けのISMSの文書も大きな価値をもたらしています。以前は従業員一人一人の準拠を確かめるのに6〜7個のツールを見る必要がありましたが、今ではDrataで、セキュリティー研修が必要な従業員や多要素認証が有効になっていない端末をまとめて確認できます。

サポートの回答は2分で

同氏は、Drataと他社の最大の違いはサポートチームだと述べています。経験を積んでいても行き詰まることはありますが、製品内のチャットで2分ほどで回答が得られます。エンジニアリング側で準拠から外れているものがあればDrataが知らせてくれるため、ほかのチームの領域に踏み込まずに済み、是正の方法もDrataの手引きで分かります。完了すべきタスクが明確になり、事業ごとに簡単に割り当てられるため、コンプライアンスの管理を端から端まで効率化できています。同氏は、Drataはコンプライアンスにとどまらず事業のあらゆる面を高め、組織全体の透明性を確かなものにしていると話しており、経営層も切り替え後の大きな改善に非常に満足しています。

Workspacesで買収した2社の準拠もまとめて管理

同社は前回の監査中に2社を買収し、その2社もSOC 2への準拠が必要になりました。Drata Workspacesで事業ごとに環境を分け、同社が既に行った作業を生かしながら、異なる環境のコンプライアンスを1カ所で管理しています。事業ごとの準拠を追跡していた複雑なJiraのボードは不要になり、1つの信頼できる情報源にまとまりました。

この導入事例からの学び

同社の事例で特徴的なのは、プラットフォーム上の準備率と実際に集まっている証跡がかけ離れていたことが、監査の途中での乗り換えにつながった点です。表示上の数値ではなく、監査人が求める証跡がそろっているかが問われました。

同社の事例から読み取れる確認軸は3点あります。1つ目は、ツールが示す準備状況と、実際に集まっている証跡が一致しているかどうかです。2つ目は、質問したときにサポートから具体的な回答がすぐに得られるかどうかです。3つ目は、買収などで事業が増えたときに、既存の作業を生かしながら環境を分けて管理できるかどうかです。

出典：Drata