MyOutDesk、Drataで散らばったセキュリティーのコントロールを1つの取り組みにまとめる

運用、営業、マーケティング、カスタマーサービス、バックオフィスの業務に熟練したバーチャルの専門人材を提供し、企業のチームの拡張を支援するグローバルなアウトソーシングとオフショアリングのパートナーMyOutDeskは、個別のシステムに散らばっていたセキュリティーのコントロールをDrataにまとめ、1つのまとまったセキュリティーの取り組みに作り変えました。自力で運用すれば必要だったフルタイム約3人分の人員を割かずに済み、端末管理とセキュリティー運用の費用を年間約10万ドル抑えています。Trust Centerの公開後の四半期には、セキュリティーレビューのための通話がゼロになりました。

導入前：強固なコントロールがあっても、つながっていなかった

同社は少人数のITとエンジニアリングのチームで、インフラ、アプリケーション開発、セキュリティー、ベンダー管理を担っています。ITディレクターのJayson Lindsley氏は技術に関わる全てを受け持ち、実質的にCTOに相当する立場で開発者4人とIT関連の担当者5人を率いています。

導入前から、同社はクラウドネイティブのコントロール、CRMのセキュリティー機能などのツールを使い、データの持ち出しの検知や重要なシステムの保護に大きく投資していました。しかし、こうした安全対策は別々のシステムにあり、文書やポリシーとの対応付けもツールごとに散らばっていて、1つのまとまった取り組みとして示せる状態ではありませんでした。要員のコンプライアンスも体系的に管理されておらず、ポリシーへの同意、侵害通知の手順、継続的な保証に抜けがありました。

質問票（セキュリティーチェックシート）が届くたびに、同氏とチームは同じコントロールを見込み顧客ごとに書き直さなければならず、営業が遅れ、少人数のエンジニアリングチームがコンプライアンスの作業に引き込まれていました。既存のセキュリティーツールが出す大量の検出事項は範囲を絞りにくく、優先順位も付けにくいため、最も重要なコントロールに集中するのが困難でした。重要だと分かっていた仕組みを技術面で整えてきたものの、文書化されておらず、ポリシーとの橋渡しの仕方も分からなかったと同氏は振り返っています。

選定の判断軸：人員を増やさずに体系的な取り組みへ

同社はSOC 2の準備を進めており、準備状況を常に98%前後に保ち、監査を特別な出来事にしないことを目標にしていました。HIPAAとISO/IEC 27001も計画にあり、場当たり的なコントロールを、人員を増やさずに構造化された測定可能な取り組みに変える方法が必要でした。そこで、現在の用途と将来の監査への備えの両方を見据え、SOC 2、HIPAA、ISO 27001を扱う統合プラットフォームとしてDrataを導入しました。

まず中核のインフラとSaaSのシステムを連携させ、その上にSOC 2のコントロールとポリシーを重ねていきました。コントロールをマッピングし、証跡をアップロードするうちに、必要なものの多くは既に整っていて、欠けていたのは構造だと分かったといいます。Drataのポリシーテンプレートを出発点に、自社の運営の形と侵害通知の義務に合わせて文言を調整し、ポリシーへの同意と要員のコンプライアンスを1つのプラットフォームで追跡できるようにしました。同氏はDrataを、既にやっていたことをより成熟した構造的な形で理解させてくれる家庭教師のようだったと表現しています。

数字で見た導入効果

フルタイム約3人分の人員を割かずに済む

ベンダーの記録、ユーザーアクセスレビュー、証跡の作成をDrataにまとめたことで、多くの手作業がなくなりました。ユーザーの一覧の書き出し、部署ごとのライセンスの照合、監査人向けのスクリーンショットの取りまとめは、一元化されたモニタリングとワークフローに置き換わり、ITとCRMの管理チームはより価値の高い仕事に集中できます。同氏は、Drataがなければ今のように運用するのに、技術インフラ、ポリシーと取り組みの運営、ベンダー管理と証跡の担当でフルタイム約3人が必要だったと見積もっています。それを既存のチームでまかなえています。

端末管理とセキュリティー運用の費用を年間約10万ドル回避

Drataの専門家の助言を受けて、同氏は端末管理とエンドポイントセキュリティーのツールの効果的な組み合わせを選び、全てをMSPにまかせる高額な方法を避けました。適切なMDMのプラットフォームとセキュリティーベンダーを組み合わせ、その設定をDrataの求める状態にそろえたことで、外部委託の管理に回るはずだった年間約10万ドルの支出を回避しています。

セキュリティーレビューのための通話をゼロに

以前は6カ月で10〜12回のセキュリティーレビューのための通話がありましたが、DrataのTrust Centerを公開した後の四半期にはゼロになりました。見込み顧客は一元化されたTrust Centerでセキュリティーポスチャーを確認し、SOC 2のレポートを申請し、実際に話す前にデューデリジェンスの大半を済ませられます。以前は常にセキュリティーの通話で説明していたが、今では多くの見込み顧客がTrust Centerを見てSOC 2のレポートを申請するだけで済み、電話の前に信頼の問題が解決していると同氏は話しています。

検出事項の雑音を減らし、重要なコントロールに集中

以前はクラウドのセキュリティーポスチャーを見守るために複数のツールに頼っており、自社のリスクの特性に実質的に関係のない推奨事項もアラートとして上がっていました。日々の確認をDrataのモニタリングに移したことで、クラウド、ID、業務システムからの情報を、フレームワークの具体的なコントロールの文脈で見られるようになりました。生の検出事項を何ページも読む代わりに、SOC 2などの要件に直接結び付いた課題の一覧から作業を進められます。同氏は、関心のあるコントロールについてはDrataのモニタリングに頼っており、雑音を取り除いて本当に重要なことに集中できると述べています。

同氏は今、Drataの準備状況の指標とコントロールの状態を毎週の経営会議で使い、関係者にセキュリティーポスチャーを一貫した形で示しています。SOC 2 Type Iを取得し、運用の周期も定まりました。次の大きな節目はBAA（ビジネスアソシエイト契約）の義務に基づくHIPAAで、ISO 27001も計画にあります。

この導入事例からの学び

同社の事例で特徴的なのは、技術的なコントロールが既に強固だったにもかかわらず、それをポリシーやフレームワークに結び付ける構造がなかった点です。Drataでマッピングを進めた結果、必要なものの多くは既に整っていたことが分かっています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、既存の技術的なコントロールが、ポリシーやフレームワークの要件とどう対応しているかを1カ所で示せるかどうかです。2つ目は、セキュリティーツールの検出事項を、自社のリスクやフレームワークのコントロールに照らして絞り込めているかどうかです。同社は日々の確認をDrataのモニタリングに移すことで、課題の一覧を絞っています。3つ目は、ベンダーの記録、アクセスレビュー、証跡の作成をどれだけ手作業でこなしているかです。同社はこれらをまとめることで、フルタイム約3人分の人員を割かずに済んでいます。

出典：Drata