Softcat、Drataで監査に必要な人員の時間を40%削減

セキュリティーやデータ管理からクラウド、コラボレーションまで、数千社の企業にITソリューションを提供する英国の大手付加価値再販業者Softcatは、手作業に頼っていた複数のフレームワークのコンプライアンスをDrataで一元化し、監査に必要な人員の時間を40%削減しました。一度集めた証跡を複数の監査とフレームワークに使い回せるようになり、リアルタイムのモニタリングで問題が大きくなる前に対処できています。

導入前：同じ証跡をフレームワークごとに集め直す

急速な成長とサービスの拡大に伴い、同社はISO/IEC 27001、ISO 9001、GDPRなど、増え続けるフレームワークへの対応に追われていました。どのフレームワークも、データセキュリティーを保つために入念な文書化、証跡の収集、監査を求めます。社内のコンプライアンスのプロセスは大半が手作業で、スプレッドシート、共有フォルダー、そしてチームごとに縦割りで進める調整に大きく頼っていました。この分断された進め方は非効率を生むだけでなく、監査への備えにばらつきを招き、人手も不足させていました。

ITリスクマネージャーのDominic Powell氏は、多くの監査が場当たり的で、フレームワークごとに同じ証跡を何度も集めており、非常に時間がかかっていたと振り返っています。もっと効率化できるはずのプロセスに、複数の部門が引き込まれていたといいます。

選定の判断軸：「一度集めて、複数に準拠する」

サービスと顧客基盤が広がるにつれ、規模に応じて広げられる効率的な方法が不可欠になりました。同社が必要としたのは、監査のプロセスを効率化するだけでなく、業務の効率とガバナンスも高め、潜在的なリスクに先回りしながら顧客の信頼を守れるプラットフォームでした。Powell氏とチームが最も魅力を感じたのは、「一度集めて、複数に準拠する」というDrataの考え方です。監査のサイクルのたびに一からやり直すのではなく、一度集めた証跡を複数の監査とフレームワークに使えます。自動化されたワークフローとカスタマイズできるコントロールのマッピング、独自のガバナンスの要件に合わせたカスタムフレームワークによって、同社の業務に合わせて取り組みを設定できました。

数字で見た導入効果

監査に必要な人員の時間を40%削減

導入後すぐに効果が表れ、監査の準備の時間は大幅に減りました。監査に必要な人員の時間は40%減り、監査の正確さと適時性を保ちながら、より価値の高い仕事に人手を振り向けられるようになりました。何カ月もかかり人手を多く使っていた作業は、先回りのモニタリングに変わっています。Powell氏は、Drataで全てを1カ所に示せるのは素晴らしく、手作業の非効率をなくし、反復作業に貴重な人手を取られることも減ったと話しています。

問題が大きくなる前に対処

Drataのリアルタイムのモニタリングによって、監査で見つかるのを待つのではなく、セキュリティーやコンプライアンスの不足が生じた時点で対処できるようになりました。同氏は、問題になる前に潜在的な課題が見えるため、監査の準備で慌てることが減ったと述べています。リアルタイムのモニタリングと即時のアラートで、監査の時期だけでなく1年を通して顧客のデータを守れています。

いつでも監査に備えられる状態に

証跡の収集とコンプライアンスの追跡を一元化したことで、ISO 27001、ISO 9001、そして今後のNISTやPCI DSSでも、常に監査に備えられる状態になりました。社内の関係者も効率よく協力でき、目詰まりが減っています。

この導入事例からの学び

同社の事例で特徴的なのは、フレームワークが増えるほど同じ証跡を集め直す手間が増えるという問題に、「一度集めて、複数に準拠する」考え方で対処した点です。部門ごとの縦割りの調整を、1つの場での証跡の収集と追跡に置き換えています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、フレームワークごとに同じ証跡を集め直していないかどうかです。2つ目は、監査のたびに複数の部門が引き込まれていないかどうかです。3つ目は、セキュリティーやコンプライアンスの不足を、監査を待たずに見つけられるかどうかです。同社はリアルタイムのモニタリングとアラートで、1年を通して対処できる体制を整えています。

出典：Drata