Superside、Drataで初めてのSOC 2に取り組みチームとして数百時間を取り戻す

世界の300社を超える企業にデザインの仕事を提供し、顧客がSaaSのツールでそのデザインを引き続き作業できるようにしているSupersideは、初めてのSOC 2にDrataとともに取り組み、SOC 2 Type Iへの準拠を達成しました。満たすべきコントロールとその満たし方を素早く把握でき、チームとして数百時間を取り戻しています。機密データにアクセスする立場にある同社には、その情報を守るために必要な手を打っていることを示す証拠としてSOC 2が必要でした。

導入前：SOC 2は全くの初めて

同社にとってSOC 2は全くの初めてでした。コントロール、ポリシー、フレームワークの全体をよりよく理解し、手続きを整理して必要な手順を簡単にしてくれるパートナーを探していました。手探りで一つ一つの手順を考えるだけでは、大きな前進が見込めない状況でした。

選定の判断軸：最初から最後まで導いてくれるパートナー

Drataは最初から、同社のセキュリティーポスチャーの現状の把握から監査パートナーのSchneider Downsの選定と協力まで、全体を通して同社を導きました。質問にはいつも素早く応え、手続き全体を通して本当のパートナーだったといいます。チームの支援に加えて、ポリシーテンプレートなどプラットフォームの手引きも大きな価値がありました。AWSの技術基盤やGitLabのワークフローとの連携、従業員のオンボーディングのひな形によって、セキュリティーの取り組みの全体を見渡せるようになりました。

数字で見た導入効果

満たすべきコントロールと方法をすぐに把握

Drataによって、満たすべきコントロールとその満たし方を特定する時間が大幅に減りました。DrataはSOC 2への道筋を実行できるものにしてくれたと同社は評価しています。

チームとして数百時間を取り戻す

SOC 2への準拠を自動化して簡単にしたことで、大きな前進のないまま手順を考えることに費やしていたはずの数百時間を、チームとして取り戻しました。

SOC 2 Type Iを達成し、Type IIへ

同社はSOC 2 Type Iへの準拠を達成し、次はType IIを目指しています。必要な作業の多くはDrataで既に進んでいます。Type Iで得た教訓を生かし、セキュリティーや監査などに注力するチームを拡大しています。

この導入事例からの学び

同社の事例で特徴的なのは、SOC 2が初めての組織が、ツールの機能だけでなく、監査法人の選定まで含めた手続き全体の導き手を求めている点です。Type Iの段階で進めた作業が、そのままType IIへの準備になっています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、満たすべきコントロールとその満たし方を、手探りではなく把握できているかどうかです。2つ目は、監査法人の選定や協力の進め方について支援を得られるかどうかです。3つ目は、Type Iで行った作業をType IIにどう生かすかです。

出典：Drata