Syncron、Drataで11のフレームワークのコンプライアンスを1つにまとめる

世界の製造業者と販売業者を支える製品とサービスを提供するSyncronは、ばらばらのシステムで管理していた11のフレームワークのコンプライアンスをDrataの一元化されたコントロールライブラリーにまとめ、新しいフレームワークを素早く取り入れられるようにしました。SafeBaseのTrust Centerは、公開から2カ月以内にアクティブな顧客の70%が訪れ、約300社で計1,500回閲覧されています。同社の製品とサービスには、強固で信頼できるコンプライアンスの態勢が欠かせません。

導入前：ばらばらのシステムと11のフレームワーク

同社は、SOC 2、ISO/IEC 27001、GDPR、CCPAなどを含む複雑な規制環境の中で事業を営んでいます。導入前は、資産は従来のツールに、証跡は共有ドライブに保管され、スプレッドシートで手作業で情報をまとめていました。こうした方法は一時はうまく機能したものの、成長するにつれて一元化されていないことが支障となり、チーム間で状況を明確にし、足並みをそろえることが難しくなりました。

同時に、ヨーロッパと米国で要件が変わり続け、新しいフレームワークが加わるたびにコントロールと証跡への独自の要求が生まれていました。フレームワークはそれぞれ独立して運用されており、要件の重なりを理解し、スプレッドシートで突き合わせ、新しい版や規制が出るたびに手作業で文書を保守する必要がありました。組織が成熟し、コンプライアンスへの期待が高まるにつれて、この進め方はますます難しくなっていきました。社内外でのコンプライアンスに関するやりとりのたびに手作業の準備が必要で、規模を広げることができなかったのです。経営層や顧客から状況を問われるたびに、ダッシュボードやレポートも手作業で作っていました。証跡の保管、コントロールの追跡、状況の更新が複数のシステムに分散していたため、意思決定が遅れ、誰かが探しに行くまで不足や傾向に気付けませんでした。顧客にコンプライアンスへの備えを示すにも、手作業でまとめた資料と同じ説明の繰り返しが必要で、同社の態勢を一貫したリアルタイムの形で示すことは困難でした。社内でも、エンジニアリングや経営層の関係者と状況をそろえ、進み具合を伝える際に同じ課題を抱えていました。

情報セキュリティー・技術リスク担当バイスプレジデント兼CISOのAlex Korotkov氏は、要件の複雑さ、フレームワークの複雑さとつながりのなさ、そしてそれら全てが実態からかけ離れていたことが問題だったと振り返っています。ヨーロッパは規制が多すぎ、米国もまもなくそうなるため、GRCのシステムなしで進めるのは非常に難しい仕事だという考えです。

選定の判断軸：フレームワークをつなぎ、自社の運営に合わせられること

同社が必要としたのは、世界規模の事業と増え続けるフレームワークを支えられる現代的な基盤でした。Korotkov氏によると、以前は仕事の約60%が、ばらばらの部分をつなごうとすることに費やされていました。全てのフレームワークをつなぐことは長年の願いで、Drataでようやく実現できたといいます。

同社にはそのまま使える標準の形では対応できず、コントロール、マッピング、ワークフロー、フレームワークの構造をほぼ全てカスタマイズする必要がありました。Drataは、同社が世界で運営している方法に合わせてこれらを調整できる柔軟さを備えており、確立した業務のプロセスを変えずにフレームワーク間の一貫性を保てます。同氏は、今ではフレームワークを追加購入し、コントロールライブラリーにマッピングすれば、コンプライアンスの取り組みが自動で始まると話しています。以前は、ばらばらのシステムをまたいでプロセスをカスタマイズするには、手作業の回避策と、要件が変わるたびの調整が欠かせませんでした。Drataの設計と柔軟さによって、GRCチームはコンプライアンスの取り組みの拡大に合わせて環境を見直し、素早く適応できるようになっています。

数字で見た導入効果

11のフレームワークを1つのコンプライアンスの取り組みに

Drataの一元化されたコントロールライブラリーによって、11のフレームワークの全てをまとまった形で管理し、規模が大きくなっても一貫した態勢を保てるようになりました。かつて大がかりな突き合わせが必要だった作業は、効率的で自動化されたプロセスに変わり、運用の負担を減らしながら新しいフレームワークを素早く取り入れられます。

コントロールとダッシュボードをリアルタイムで把握

コントロール、証跡、自動テストがダッシュボードとレポートにつながり、継続的モニタリングと信頼できる唯一の情報源が得られました。スプレッドシートを手作業で保守する必要も、静的な状況の要約を作り直す必要もなくなりました。チームは進み具合、リスク、注意が必要な箇所をすぐに把握でき、エンジニアリング、GRC、経営層、顧客対応の部門の足並みがそろうようになっています。同社では、ダッシュボードから連携の画面まで、コントロールが自動テストにつながり、自動テストの結果がダッシュボードに反映される流れの全体を日々使っています。

公開から2カ月以内に、アクティブな顧客の70%がTrust Centerを訪問

SafeBaseのTrust Centerによって、同社はコンプライアンスのデータを一元化し、社内外の利用者が滞りなく使える場を作りました。顧客はセキュリティーとコンプライアンスの情報を自分で確認できます。反応は予想を上回り、公開から2カ月以内にアクティブな顧客の70%がTrust Centerを訪れ、計1,500回閲覧されました。回答者の100%が役に立ったと答えています。Korotkov氏は、この結果を見て正しいことをしているとすぐに分かったと話しています。コンプライアンスは手作業で伝える取り組みから、信頼を強めて対話を速める、常に最新の透明な仕組みに変わりました。同社はDrataを世界のコンプライアンスの運用を広げる長期的なパートナーと位置付けており、今後も自動化を深め、取り入れるフレームワークを広げていく計画です。

この導入事例からの学び

同社の事例で特徴的なのは、フレームワークごとに独立していた運用を、1つのコントロールライブラリーへのマッピングに置き換えた点です。新しいフレームワークの追加が、一から始める作業ではなく、既存のコントロールへの対応付けになっています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、複数のフレームワークの要件の重なりを手作業で突き合わせていないかどうかです。2つ目は、コンプライアンスの状況を経営層や顧客に示すたびに、レポートを手作業で作っていないかどうかです。同社はダッシュボードで状況をすぐに把握できるようにしています。3つ目は、自社の運営の形に合わせてコントロールやワークフローを調整できるかどうかです。同社はほぼ全てをカスタマイズしており、標準の形のままでは対応できない組織だと自らを位置付けています。

出典：Drata