Surveil、DrataでISO 27001とSOC 2 Type IIをわずか6カ月で達成

Surveilは、Drataを使ってSOC 2 Type IIとISO/IEC 27001を全社で6カ月で達成し、監査の準備にかかる時間を手作業と比べて75%減らしました。Trust Centerによって、営業のサイクルの短縮にもつなげています。

導入前：5〜6人の中核チームで、手作業のISO 27001

同社の初代の最高情報セキュリティー責任者（CISO）であるLaurence Dale氏は、世界水準のコンプライアンスの取り組みを一から作り、世界中の大企業の買い手からの信頼を早く得るという2つの使命を担っていました。中核のチームはわずか5〜6人で、多くが複数の役割を兼ねていたため、動きを鈍らせずに規模に応じて広げられる仕組みが必要でした。以前に手作業でISO 27001に取り組んだ際には、多くの人手がかかり、業務にも支障が出ました。成長を支え、大企業からの信頼を得るには、SOC 2 Type IIとISO 27001を、すばやく効率よく、誤りなく達成する必要がありました。

選定の判断軸：自動化、使いやすさ、人を増やさずに進めること

同社は、自動化を重視した進め方、直感的なインターフェイス、コンプライアンスを日々の業務に組み込み、運用の負担なく全社で担えることを理由にDrataを選びました。従来の方法やほかのプラットフォームと比べて、Drataは連携のしやすさ、使いやすいダッシュボード（MyDrata）、人員を増やさずに速く動くチームを支えられる点で際立っていました。

数字で見た導入効果

SOC 2 Type IIとISO 27001を6カ月で

同社はDrataでSOC 2 Type IIとISO 27001の両方を6カ月で達成しました。DrataのAudit Hubでは外部の監査人が自分で証跡を確認できるため、重複する会議がなくなり、チームはイノベーションと成長に集中できました。Dale氏は、Drataがなければもっと長い時間と多くの人手がかかり、範囲もずっと狭くなっていたと述べています。DrataはSurveilに監査パートナーのPrescient Assuranceを紹介し、Drataに精通した同社によって負担が抑えられ、やりとりも効率化されました。

監査の準備にかかる時間を75%削減

Drataは準備の時間を4分の1にし、チームをまたいだ可視性を生み、常に監査に備えた状態で運用できるようにしました。Dale氏は、コンプライアンスは監査のためだけのものではなく日々の運営の方法であり、Drataは年に1度の監査のときだけでなく毎日高い水準を保たせてくれると話しています。

Trust Centerで営業のサイクルを短縮

DrataのTrust Centerは、営業を後押しする重要なツールになりました。主要なコンプライアンスの文書に即座に自分でアクセスできるようにしたことで、営業のサイクルを短くし、調達の障壁を乗り越え、大企業の見込み顧客に準備ができていると強く示しています。Dale氏は、Trust Centerが営業のプロセスを変え、最初から透明性と信頼を伝えていると述べています。

この導入事例からの学び

同社の事例で特徴的なのは、5〜6人の中核チームで、人を増やさずにSOC 2 Type IIとISO 27001を同時に全社で達成している点です。同社の事例から読み取れる確認軸は2点あります。1つ目は、監査人が証跡を自分で確認でき、会議を減らせるかどうかです。2つ目は、コンプライアンスを日々の業務に組み込み、全社で担えるかどうかです。同社は今後、ISO/IEC 27701とISO/IEC 42001に広げ、プライバシーとAIのガバナンスの基準にも取り組んでいきます。

出典：Drata