Oz Forensics、Drataで海外展開に向けて複数フレームワークのコンプライアンスを拡大

生体認証や本人確認の不正から人と組織を守るOz Forensicsは、コンプライアンスプログラムを最初からDrataで構築し、ISO/IEC 27001、SOC 2、EU一般データ保護規則（GDPR）の3つの独立した監査を12カ月未満で完了しました。現在はISO/IEC 27701とISO/IEC 27017を加えた5つのフレームワークをDrataで管理し、321のコントロールを継続的モニタリングの対象にしています。

同社はこの分野の世界的なリーダーで、将来の変化にも備えたライブネス検知の技術により、高いセキュリティーと滑らかなユーザー体験、規模に応じた柔軟な導入形態を提供しています。30以上の国で、70以上の企業や政府機関が同社を信頼しています。

導入前：海外展開を前に、少人数のチームで3つのフレームワークへ

2024年、海外市場への展開が同社の優先課題になりました。見込み客は、取引を始める前に第三者が検証したセキュリティーポスチャーを求めていました。そこで同社は、ISO 27001、SOC 2、GDPRを軸にコンプライアンスプログラムを正式に整えることにしました。

セキュリティーの取り組みや、コンプライアンスの要素の一部は既にありました。しかし、新しく立ち上げたばかりの少人数のセキュリティーチームで、12カ月未満のうちに3つのフレームワークに対応する必要がありました。重なり合う要求事項の整理、証跡の収集、ポリシーの作成、組織全体への定着を、スプレッドシートの運用を先に作ることなく進め、複数の独立した審査に備えられる、拡張性のある方法が求められていました。

選定の判断軸：最初のポリシーを書く前にDrataを選ぶ

最高情報セキュリティー責任者（CISO）のArtem Tulenov氏は、チームが最初のポリシーを書く前にDrataを選びました。同氏は、初日からDrataを導入したことで、手作業では無理なペースで複数のフレームワークにまたがるプログラムを作るための枠組みが得られたと話します。要求事項が増えてもプラットフォームが追随してくれる点が、まさに必要としていたものだったといいます。

同社はクラウドインフラストラクチャーをDrataに接続し、コントロールオーナーを決め、ポリシーの体系をDrataの中で直接書き上げました。連携機能が環境から証跡を取り込み、クロスマッピングによってISO 27001、SOC 2、GDPRの間の重複作業を減らしています。2025年末までに、3つ全てへの準拠を達成しました。

最初からDrataで構築したため、後で移行が必要になるスプレッドシートの運用を先に作ることはありませんでした。同氏は、最初からプラットフォームを選んでおけば、コンプライアンスプログラムに技術的負債がたまらないことが利点だと述べています。

数字で見た導入効果

コンプライアンス：12カ月未満で3つの監査を完了

同社は、最初の正式なコンプライアンスプログラムの構築から始めて、12カ月以内にISO 27001、SOC 2、GDPRの3つの独立した監査を完了しました。同氏は、正式なコンプライアンスプログラムが無い状態から、認証を取得し、継続的にモニタリングされ、顧客にも公開するプログラムへと、12カ月足らずで変えられたと振り返ります。

規模：5つのフレームワークと321のコントロール

現在は、ISO 27001、SOC 2、GDPR、ISO 27701、ISO 27017の5つのフレームワーク、認証、規制をDrataで管理し、321のコントロールを継続的モニタリングの対象にしています。ISO 27701とISO 27017を追加する際は、ISO 27001の基礎となるコントロールを再利用し、差分を特定して新たに必要な部分に集中しました。プログラムを一から作り直すことなく、当初の3つから5つへ広げています。

審査と審査の間も、どのコントロールが合格しているか、どれに対応が必要か、証跡の更新期限がいつかをリアルタイムで把握できます。サードパーティーのリスク管理も、リスク登録簿、ベンダーの一覧、レビューのワークフローを使ってDrataで運用しています。同氏は、クラウドインフラストラクチャーを接続するとすぐに、継続的モニタリングが環境の現状、引き締められる点、改善の余地をリアルタイムではっきり示してくれたと話します。

時間：アクセス申請への対応は平均約1時間

同社のセキュリティーレビューは、200問を超えることもある質問票（セキュリティーチェックシート）から始まり、その後も文書の依頼とやりとりが繰り返されていました。同社はtrust.ozforensics.comでTrust Centerを公開し、見込み客、顧客、パートナー、監査人が自分で情報を確認できる入り口にしました。

Trust CenterはDrataのコンプライアンスプログラムと連動し、セキュリティーの情報や、SOC 2のレポートなどの機密文書へのアクセスを管理したうえで提供します。Slackとの連携により、チームはスマートフォンから申請を確認でき、対応時間は平均で約1時間です。

同じ内容を繰り返し尋ねる依頼は大きく減りました。見込み客は必要な資料を自分で見つけ、要点を絞った質問を持って来るようになり、会話の中心は統合の話へ移っています。Trust Centerは、更新情報や購読者への通知による継続的な情報発信にも使われています。

この導入事例からの学び

同社の事例から読み取れるのは、コンプライアンスの基盤をいつ選ぶかが、その後の拡張のしやすさを左右するという点です。同社は最初のポリシーを書く前にDrataを選んだため、後でスプレッドシートから移行する必要がありませんでした。

フレームワークを増やす場面では、既にあるコントロールを再利用して差分に集中する進め方が有効です。同社はISO 27701とISO 27017の追加でこの方法を取り、プログラムを作り直さずに対象を広げました。クロスマッピングと継続的な可視化が、新しい要求事項に一から取り組まずに済む手段になっています。

また、同じ基盤にTrust Centerをつなげることで、監査に向けた準備が顧客への保証にも生きています。同社は現在ISO 27701とISO 27017の認証作業を進めており、今後も同じプラットフォームでプログラムを広げていく計画です。

出典：Drata