Merge、DrataのTrust Centerで営業のサイクルを加速

B2B企業向けにUnified APIを提供するMergeは、SOC 2とHIPAAで使っていたDrataでISO/IEC 27001の認証に取り組み、DrataのTrust Centerで顧客への証跡の提供とNDA（秘密保持契約）の手続きを効率化して、営業の進め方を大きく変えました。

導入前：大企業向けの拡大と、顧客が求めるISO 27001

同社は顧客層を上位の市場に広げており、より大規模な企業との取引が増えるほど、セキュリティーの重要性が高まっています。社内には信頼できるコントロールが多く整っていると考えていましたが、それを顧客に示し続ける必要があり、顧客から求められたISO 27001に取り組みました。一方で、顧客への証跡の提供とNDAの締結には多くの時間がかかっていました。

選定の判断軸：既に使っていたDrataと連携の多さ

同社は既にSOC 2とHIPAAにDrataを使っていたため、ISO 27001でもDrataを選ぶのは自然な流れでした。監査の準備と証跡の収集の多くをDrataが肩代わりしてくれる点に加え、連携の数と自動化も高く評価しています。同社は身元調査からAWSの環境まで、使っているプラットフォームを次々に接続し、できる限り自動化を進めてきました。

導入効果

Trust Centerで営業の進め方が一変

同社は、DrataのTrust Centerを、顧客が求めていたものを形にした新しい製品だと評価しています。以前は証跡の提供とNDAの締結に多くの時間を費やしていましたが、Trust Centerによって営業の進め方は劇的に変わり、多くのチームメンバーに負担をかけずにこの機能を拡充できています。

ISO 27001の審査で準備をDrataで確認

審査員は、ポリシーがあるだけでなく、バージョンが管理され、承認のプロセスが整っていることを確かめたいと考えていました。こうした場面で同社は、Drataに直接ログインし、審査に必要な準備がそろっているかを確かめています。対応できているか迷ったときも、Drataにログインすれば記録があると確認できたといいます。

この導入事例からの学び

同社の事例で特徴的なのは、既にSOC 2とHIPAAで使っていたDrataに、顧客の求めに応じてISO 27001を加えている点です。同社の事例から読み取れる確認軸は2点あります。1つ目は、ポリシーのバージョン管理や承認のプロセスのように、審査で問われる点をすぐに示せるかどうかです。2つ目は、顧客への証跡の提供とNDAの締結に、どれだけ人手を取られているかです。

出典：Drata