ngrok、SafeBase by DrataのTrust Centerで規模に応じて広げられるセキュリティーレビューを実現

500万人を超える開発者が使うイングレスのプラットフォームを提供するngrokは、SafeBase by DrataのTrust Centerでセキュリティーレビューの進め方を変え、セキュリティーレビューを1日で終えられることもあるまでに短縮しました。SafeBaseはその後Drataに買収され、現在はDrataの製品群の1つです。

導入前：長く面倒で、繰り返しの多いセキュリティーレビュー

同社はリバースプロキシ、ファイアウォール、APIゲートウェイ、グローバルな負荷分散を1つにまとめたプラットフォームを提供しています。この1年で従業員が2倍以上に増え、Databricks、Zendesk、Microsoftなどの大きな組織との取引も広がっています。セキュリティー・リスク・トラスト担当シニアディレクターのArianna Willet氏は、本番のトラフィックを流すAPIファーストのイングレスのプラットフォームには非常に高い信頼が必要だと話しています。買い手はデューデリジェンスとして同社のセキュリティーの文書と情報を入念に確認しますが、従来のセキュリティーレビューは長く面倒で繰り返しが多く、買い手にとっても満足のいく体験ではありませんでした。

選定の判断軸：営業の拡大に合わせて広げられる仕組み

Willet氏が入社して最初に取り組んだことの1つが、SafeBaseのTrust Centerの導入でした。同氏は以前の職場でも質問票（セキュリティーチェックシート）に悩まされ、必要以上の手作業が多かったと振り返ります。チームの負担を減らし、サイバーセキュリティーへの真剣な姿勢を示し、ずっと大きな営業組織になっても対応できる仕組みが必要でした。Trust Centerには全てのセキュリティーの文書と情報がまとめられ、買い手と顧客は、SOC 2やペネトレーションテストのレポートなど機密性の高い文書へのアクセスを依頼し、プラットフォーム上でNDAに署名して、自分でレビューを進められます。Willet氏はTrust Centerを常に最新のセキュリティー文書に更新しているため、営業チームも買い手も顧客も、最も関連性の高い情報だけにアクセスできます。

数字で見た導入効果

3〜4週間かかったレビューが1日で終わることも

営業担当ディレクターのMark McAndrew氏によると、以前の経験では3〜4週間かかることもあったレビューが、今では1日で終わることもあります。買い手は必要なものが全てそろった1カ所を確認し、社内の手続きを進めるだけで済み、確認作業はチェックボックスにチェックを入れる程度になりました。Willet氏も、数週間かかっていたプロセスが数分で終わり、自分が関わる必要もほとんどなくなったと話しています。

質問票への回答をほぼ不要に

営業は商談の早い段階でTrust Centerを共有し、それを起点に会話を進めることで、質問票に回答する必要をほぼ毎回避けています。Trust Centerのナレッジベースにない質問に答えた場合は、その回答をナレッジベースに追加します。これにより、セキュリティーの情報が蓄積され、セキュリティーチームに閉じていた情報が営業の最前線にも届くようになりました。McAndrew氏は、以前のように社内の人に問い合わせ、ナレッジベースを探し、セキュリティーチームに確認してもらう必要がなくなり、安心できると述べています。

部門をまたいで好評

Willet氏によると、部門をまたいだパートナーから多くの好意的な反応があり、営業チームは気に入り、ブランドのチームも大いに喜びました。同氏にとっても使いやすく、商談を遅らせ、ほかの取り組みの時間を奪っていた顧客とのやりとりが大きく減りました。こうした先回りの透明な進め方によって、営業のサイクルは速まり、セキュリティー、営業、法務の各チームのレビューの負担も減っています。

この導入事例からの学び

同社の事例で特徴的なのは、Trust Centerの公開にとどまらず、新しい質問への回答をナレッジベースに蓄積し、営業が使える情報を増やし続けている点です。同社の事例から読み取れる確認軸は2点あります。1つ目は、営業組織が大きくなっても、セキュリティーレビューの負担が比例して増えない仕組みかどうかです。2つ目は、機密文書へのアクセスとNDAの締結を、買い手が自分で進められるかどうかです。Willet氏は、SafeBaseのTrust Centerが、言ったことを実行している誠実さを買い手と顧客に示していると述べています。

出典：Drata