Seenons、DrataとTempo AuditsでISO 27001の認証を6週間で取得

廃棄物の回収をよりスマートで持続可能なものにすることを使命に2019年に創業したサーキュラーエコノミーのテクノロジー企業Seenonsは、大手企業の入札の期限に間に合わせるため、DrataとTempo AuditsとともにISO/IEC 27001の認証取得に取り組み、正式な認証のプロセスを6週間で終えました。監査の打ち合わせの時間は50%減り、ステージ2の審査では検出事項がゼロでした。ヨーロッパの大手企業のパートナーにプラットフォームを広げる中で、顧客の要件を満たし、データセキュリティーと業務の質への姿勢を示すために、認証の取得は欠かせないものになっていました。

導入前：入札の期限が迫る中、監査の経験はゼロ

同社のチームは社内で強固なセキュリティーの実践を保っていましたが、重要な入札の期限が迫り、ISO 27001への準拠を監査で証明できる正式な形が必要になりました。CTO兼共同創業者のMartin Kayser氏は、以前から認証の取得を計画していたものの、この入札で急ぐ必要が生じ、数週間でISO 27001を終えなければならなかったと振り返っています。社内の人員は限られ、監査の経験もなく、時間の制約も厳しい状況でした。証跡はスプレッドシートとフォルダーで手作業で追跡しており、構造も見通しも欠けていました。

選定の判断軸：自動化、連携、そして速く動けるパートナー

Kayser氏は、CTO仲間のつながりを通じて、既にいくつかのGRCのプラットフォームを比較していました。決め手になったのは、DrataとTempo Auditsで認証を取得したばかりのオランダのテクノロジー企業からの推薦です。同氏は、自動化、AWSとGoogle Workspaceとの連携、そして速く動けることが実証されたパートナーが必要で、Drataが強く勧められたことで選択は簡単だったと述べています。Drataの自動化とTempo Auditsの実践的な監査の進め方の組み合わせで、厳しい期限に間に合わせられるという確信が持てました。

同社はDrataを導入して中核のシステムを連携させ、コントロールのモニタリング、証跡の収集、リスクの追跡を自動化しました。Drataは、ばらばらの手作業の追跡を、リアルタイムの可視性、明確なタスクの担当、監査人との円滑な協力に置き換えています。同氏は、経験が少なくても、気が重くなるようなプロセスを整理して自動化でき、速く進みながら重要なことに集中するための歯止めが得られたと話しています。

数字で見た導入効果

正式な認証のプロセスを6週間で

Drataに全てを入れておいたことで、監査の段階では多くの質問がそもそも不要になり、証跡は既にそろっていたとKayser氏は述べています。正式な認証のプロセスは6週間に短縮されました。同氏は、多くの企業から6カ月かかると聞いていたが1カ月で終えられ、Drataがなければ不可能だったと話しています。

監査の打ち合わせの時間を50%削減

DrataのAudit Hubによって、監査の証跡を全て1カ所にまとめ、プラットフォームの中でTempoの監査人と直接やりとりできるようになりました。TempoがDrataの証跡の仕組みに慣れていたため、重複が少なく、監査を通じて明確なコミュニケーションが取れました。質問は速く解決し、準備の時間も大きく減りました。自動化と事前の検証によって、監査の打ち合わせの時間は50%減っています。同氏は、Tempoは独立性を完全に保ちながら、実践的で協力的だったと評価しています。

ステージ2の審査で検出事項ゼロ

DrataのRisk Managementのモジュールによって、潜在的な脆弱性が監査の妨げになる前に追跡、評価、是正できました。ステージ1では約40件の検出事項がありましたが、ステージ2ではゼロとなり、初回で完全な準拠を達成しています。同氏は、Drataで修正の一つ一つを追跡し、更新し、透明性を持って証明するのが簡単だったと述べています。認証の取得後は、大手企業の顧客からセキュリティーについて追加の打ち合わせを求められることが減り、ISOの認証を見せれば十分になったといいます。

この導入事例からの学び

同社の事例で特徴的なのは、監査の経験がない少人数のチームが、ツールと監査法人の組み合わせで厳しい期限に対応している点です。監査法人がDrataの証跡の仕組みに慣れていたことが、重複の少ない監査につながっています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、入札などで認証が急に必要になったとき、証跡を素早くそろえられる状態にあるかどうかです。2つ目は、監査法人と証跡の受け渡しや質問のやりとりをどこで行うかです。同社はAudit Hubで監査人とプラットフォームの中でやりとりしています。3つ目は、ステージ1の検出事項を、ステージ2までにどう追跡して是正するかです。同社は約40件の検出事項をRisk Managementで管理し、ステージ2でゼロにしました。今後はISO 9001とSOC 2も検討しています。

出典：Drata