Palantir、SafeBase by DrataのTrust Centerで最もセキュリティーに厳しい買い手にセキュリティーポスチャーを示す

国民保健サービス（NHS）や米国防総省などの組織を分析のプラットフォームで支えるPalantirは、監査法人SchellmanとSafeBase by DrataのTrust Centerを組み合わせ、最もセキュリティーに厳しい買い手にも自社のセキュリティーポスチャーを先回りして示しています。Trust Centerの閲覧は年間3万1,000回にのぼり、過去1年で3,500件の文書がダウンロードされました。SafeBaseはその後Drataに買収され、現在はDrataの製品群の1つです。

導入前：手作業で受け身だった買い手のセキュリティーレビュー

同社は顧客との協力で大量の機密データを統合し、その分析で顧客のミッションクリティカルな判断を支えています。顧客のデータのセキュリティーは同社の最優先事項で、コンプライアンスエンジニアのJohn Isgro氏は、同社のプラットフォームとアプリケーションは顧客の最も機密性が高く制限された情報の中核にあり、顧客は営業の過程で入念なデューデリジェンスをすると話しています。しかし多くのテクノロジー企業と同じく、同社は買い手のセキュリティーレビューと質問票（セキュリティーチェックシート）に手作業で、場当たり的に、さまざまな送付手段で対応していました。組織が大きくなるにつれ、セキュリティーと営業の責任者は、この受け身の進め方では事業の拡大についていけないと気付きました。

選定の判断軸：監査と情報の示し方の両方を整える

同社は、SOC 2、ISO、FedRAMPなどの監査と評価で、Schellmanと長く提携しています。Isgro氏は、Schellmanとの監査とレポートがセキュリティーへの姿勢をよく示し、調達のプロセスを全体に速めていると述べています。証跡の収集からフォローアップまで、レポートの作成の過程は常に円滑でプロフェッショナルだったといいます。Schellmanのサイバーセキュリティーへの深い理解と、同社の事業の細かな事情への配慮によって、同社は自らが掲げる高い基準をそのまま示せています。一方で、第三者の評価と認証を受けた後は、セキュリティーへの真剣な姿勢を反映した形で、買い手と顧客がその情報にアクセスできることが欠かせません。そこで同社が頼ったのが、SafeBaseのTrust Centerです。エンタープライズアカウント担当エグゼクティブのAndrew Burchett氏は、最高水準のセキュリティーを持つだけでなく、それを顧客に分かる形で示すことが最優先だと話しています。

数字で見た導入効果

Trust Centerの閲覧は年間3万1,000回

同社はTrust Centerに全てのセキュリティー文書、成果物、情報を集めて整理し、すっきりとした拠点を作りました。営業の過程で、買い手には1つのリンクで先回りしてTrust Centerを送り、買い手は必要な文書を自分の都合で入手できます。Trust Centerの閲覧は年間3万1,000回にのぼり、これまでに数万回閲覧されています。

過去1年で3,500件の文書をダウンロード

過去1年だけで3,500件を超える文書がダウンロードされました。Isgro氏は、顧客が求める情報を前もって提供できるほど、顧客は手作業を介さずに自分で確認し、結論を出せると話しています。Salesforceとの連携によって、営業のサイクルごとに各チームの時間を大きく節約しています。誰がどの文書にアクセスできるかを管理して把握できるため、従来の質問票につきもののやりとりもなくなりました。社内のチームにとってTrust Centerは大きな時間の節約になっています。

買い手からも評価

Isgro氏によると、買い手は確認すべきものが1カ所にそろい、多くの添付ファイルやリンク、メールをたどらずに済むことを評価しています。チームは、Trust Centerが、同社がセキュリティーをいかに重視しているかを強く伝えていると話しています。

この導入事例からの学び

同社の事例で特徴的なのは、監査法人による第三者の評価と、それを買い手に示すTrust Centerを組み合わせ、セキュリティーレビューを受け身から先手に変えている点です。同社の事例から読み取れる確認軸は2点あります。1つ目は、監査と認証の結果を、買い手が自分で確認できる形で示せているかどうかです。2つ目は、誰がどの文書にアクセスしたかを管理し、把握できるかどうかです。

出典：Drata