Metadata、Drataで監査の準備を1カ月半から2週間に短縮

AIを活用したB2B向けのソーシャルメディアマーケティングのプラットフォームを提供するMetadataは、スプレッドシートとGoogle Driveに頼っていた証跡の管理をDrataで自動化し、コンプライアンスの80%を自動化しました。監査の準備にかかる時間は1カ月半から2週間に減って60%短縮され、カスタムのコントロールの取り込みにかかる時間も95%削減しています。人員を増やさずに、Drata上でSOC 2 Type IIの監査を6回、ISO/IEC 27001の監査を1回実施してきました。

導入前：入れ子のフォルダーで証跡を管理

導入前、同社のコンプライアンスの取り組みは、スプレッドシート、Google Drive、入れ子になったフォルダーからなる扱いにくい仕組みで証跡を集めて管理していました。この手作業は時間がかかるだけでなく、DevOps、エンジニアリング、法務、コンプライアンスの各チームから多くの手を借りる必要がありました。手作業に追われることで、ほかの重要な分野に向けるべき注意と人手が割かれていました。監査の準備も、何カ月にもわたる証跡の収集と管理を伴う、負担の大きいものでした。

選定の判断軸：外部のツールと連携し、1年を通して証跡を集められること

同社はこうした課題に対応するため、Drataのコンプライアンス自動化のプラットフォームを導入しました。特に自動化の機能が決め手になりました。最高情報セキュリティー責任者のRaymond Taft氏は、外部のツールと連携し、1年を通してリアルタイムに継続して証跡を集められることが重要だったと述べています。Jira、Slack、AWSの環境と連携することで、手作業で手間のかかっていた証跡の収集が自動化されました。

数字で見た導入効果

監査の準備を1カ月半から2週間に

導入後、監査の準備にかかる時間は1カ月半から2週間に減りました。証跡の大半は既にDrataに集まっており、すぐに参照できます。同社はDrata上でSOC 2 Type IIの監査を6回、ISO 27001の監査を1回、円滑に実施してきました。

カスタムのコントロールの取り込みで少なくとも6カ月分の作業を節約

オンボーディングでは、Drataのサポートチームが100を超えるカスタムのコントロールの取り込みと、複数のフレームワークへのクロスマッピングを支援しました。この支援で少なくとも6カ月分の作業が節約され、その後も継続的な支援によって、新しいコントロールのフレームワークに効率的に対応できています。

法務は年1時間、DevOpsは年3時間に

自動化によって、同社は人員を増やさずに複雑なコンプライアンスの目標を保てています。以前はコンプライアンスの作業に追われていた同じメンバーが、監査に費やす時間を大幅に減らしました。法務チームが監査に費やす時間は年に約1時間、DevOpsチームは約3時間です。高いコンプライアンスの水準を保ちながら、ほかの重要な事業の分野に集中できるようになりました。

この導入事例からの学び

同社の事例で特徴的なのは、コンプライアンスの作業が法務やDevOpsなど本来は別の仕事を持つチームの時間を奪っていたことを、各チームが監査に費やす時間で示している点です。証跡を1年を通して自動で集めることで、監査の時期に作業が集中しなくなっています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、コンプライアンスの作業がどのチームの時間をどれだけ使っているかを把握できているかどうかです。2つ目は、証跡を監査の直前ではなく、1年を通して集められているかどうかです。3つ目は、既存のカスタムのコントロールを新しいツールに移す負担をどう抑えるかです。同社はサポートチームの支援で100を超えるコントロールを取り込み、複数のフレームワークに対応付けています。

出典：Drata