Scanner、Drataで専任者を雇わずにSOC 2 Type IIを取得

サイバーセキュリティーの分野で事業を営む若い小規模企業のScannerは、Drataを数日で立ち上げ、想定よりもはるかに早く、クリーンなSOC 2 Type IIのレポートを受け取りました。同社はDrataで得た最大の投資対効果として、コンプライアンスの取り組みを管理するための専任者を雇う必要がなくなったことを挙げています。

導入前：少人数で、できるだけ早くSOC 2が必要

サイバーセキュリティーの分野にいる同社にとって、最優先は自社のシステムと顧客のデータのセキュリティーです。対象とする市場はセキュリティーへの意識が非常に高い層で、事業を伸ばしてより大きな顧客に届くには、さまざまな厳しいコンプライアンスの期待に応える必要があります。セキュリティーを最優先にしていることを示すため、同社は早い段階でSOC 2 Type IIに取り組むことを決めました。

創業時から、SOC 2のレポートは顧客にとって当然の前提であり、成長するにはできるだけ早く必要になると分かっていました。しかし、同社にはコンプライアンスの取り組みの管理を手伝える人が多くありません。そこで、手作業の負担を減らせるツールを懸命に探しました。最高経営責任者（CEO）は組織全体にわたる多くの責任を抱えながら、SOC 2に必要な技術面の作業も自ら率いていました。

選定の判断軸：使いやすさ、価格、そして学べる営業とサポート

同社はコンプライアンス自動化のプラットフォームを探す中で、ほかの3社のベンダーを検討しました。初めての取り組みだったため、後で乗り換えずに済むよう各社を入念に比べています。別の競合とほぼ契約しかけていたところで、的確なコミュニケーション、満点の営業チーム、一流の製品説明でDrataが目に留まりました。使いやすさ、手ごろな価格、知識が豊富ですぐに応える営業とサポートのチームが、Drataを際立たせていました。

営業チームとの最初のやりとりは、これまでで最もいい営業のプロセスの1つでした。押しつけがましくない姿勢で専門知識を示し、プラットフォームの機能を丁寧に案内してくれました。担当者は、Drataの連携、システムの設定、SOC 2のコンプライアンスの細かな点まで説明できる技術的な知識を備えていました。ユーザーインターフェイスも、すっきりとして直感的で分かりやすく、準拠するために何をすべきかを明確に理解したい企業にとって操作しやすいものでした。一部の競合のインターフェイスはぎこちないものでした。

同社が特に重視したのは、Drataがコンプライアンスについて教えてくれたことです。最初の会話から、SOC 2に準拠するための具体的な要件と、Drataの製品がコンプライアンスの達成にどう役立つかを、視覚的にも理解できました。ほかのツールは、そこまで分かりやすい道筋を示していませんでした。例えば、SOC 2 Type IIのトラストサービス規準について、Drataは顧客にとって最も重要な規準を示し、同社が顧客に最も響く規準に集中できるよう導きました。同CEOは、Drataは自社の課題を本当に理解し、明確な解決策への道筋を教えてくれたと述べています。

数字で見た導入効果

数日で立ち上げ、想定より早くType IIのレポートを取得

同社はDrataを数日で稼働させ、想定よりもはるかに早く、クリーンなSOC 2 Type IIのレポートを受け取りました。SOC 2 Type Iの取得後、同社はすぐにType IIに進みました。Type IIには3カ月の監査対象期間が伴うため、複雑さが増して取得の時期に影響することを少し心配していました。そこで役立ったのがDrataのAudit Hubです。監査人のPrescient Assuranceは、Drataに保管された全ての証跡と情報にアクセスでき、重要なコントロールを示して、大きな課題になりそうな要件を事前に指摘しました。同社は準備ができた状態で監査に臨み、SOC 2 Type IIを自信を持って乗り切りました。同CEOは、受け取ったSOC 2 Type IとType IIのレポートに非常に満足しており、Audit Hubが円滑な監査に大きな役割を果たしたと話しています。

テンプレートがポリシーの定型部分の約90%をカバー

DrataのPolicy Centerには、ポリシーの定型部分の約90%をカバーするテンプレートが用意されていました。新しい会社である同社は、本来ならポリシーを一から自社で作る必要がありましたが、テンプレートを使えたことで時間とお金を大きく節約できました。自社の人手を使わずに済んだことは大きな負担の軽減になり、SOC 2 Type IIに向けて勢いを保ついい出発点になりました。

コンプライアンスの専任者が不要に

同社がDrataで得た最大の投資対効果は、コンプライアンスの取り組みを管理するための専任者を雇う必要がなくなったことです。ポリシーテンプレートによる時間の節約から、あらかじめマッピングされたSOC 2のコントロールまで、Drataの進め方によって、少人数のチームでもコンプライアンスを無理なく管理できています。同CEOは、日々のコンプライアンスの作業にかかる時間が減ったことで、コンプライアンスと製品開発のバランスを取りやすくなったと述べています。接する全ての利用者がSOC 2について尋ねてくることから、SOC 2の取得は社内にとどまらない戦略的な価値を持つといいます。

連携、ヘルプセンター、ベンダー管理で日々の負担を軽減

Drataの連携も大きな時間の節約になりました。GitHubとの連携では、全てのコミットがレビューされているかを追跡でき、コードをプッシュする前にコードレビューを受けることを徹底できます。Amazon Inspectorとの連携では、コンテナの脆弱性の検出結果を全てDrataの中で確認し、対応の優先順位を1カ所で決められます。同社はアプリ内のヘルプセンターも頼りにしました。Pulumiのようなインフラをコードで管理するツールを使っていても、AWSのコンソールで手作業でコントロールを設定する例を通じて、S3バケットに適切なモニタリングとバージョン管理を加える手順を理解できたことは、コンプライアンスに欠かせませんでした。Drataのベンダー管理の機能は、リスクの高いベンダーのSOC 2のレポートの評価を効率化し、評価で考慮すべき点も示しています。毎日届くDrataのメールは、同CEOが1日の始めに最初に読むものの1つで、全てが合格しているかをざっと確認し、必要なときだけプラットフォームを開いています。

この導入事例からの学び

同社の事例で特徴的なのは、CEOが技術面の作業を自ら率いる少人数の体制でも、テンプレート、あらかじめマッピングされたコントロール、連携を組み合わせて、専任者を雇わずにSOC 2 Type IIまで進めている点です。監査人がDrataの証跡に直接アクセスできたことも、3カ月の監査対象期間を伴うType IIへの不安を和らげています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、選定の段階で、フレームワークの要件とその満たし方を分かりやすく説明してもらえるかどうかです。2つ目は、ポリシーを一から作らずに済むテンプレートがあるかどうかです。3つ目は、監査人と証跡を共有する仕組みがあるかどうかです。同社は今後、ヨーロッパからの関心の高まりを受けてGDPRを取り組みに加える計画で、今後のフレームワークでもDrataと協力していく考えです。

出典：Drata