3rdRisk、DrataとSensibaとともに2週間でSOC 2 Type Iを取得

アムステルダムを拠点に、サードパーティーリスクと内部統制の管理に特化したリスク管理のSaaSを提供する3rdRiskは、DrataとDrataを通じて出会った監査法人Sensibaとともに取り組み、2週間足らずでSOC 2 Type Iを取得しました。市場で競合の製品を比べるのにかかった時間よりも、SOC 2 Type Iに準拠するまでの時間の方が短かったといいます。

導入前：スプレッドシートとSharePointでの手作業

同社の顧客は機密性の高いデータを同社に預けています。データが同社のプラットフォームで安全に守られていることを示し、情報セキュリティーの扱いとデータの完全性の守り方を顧客に対して透明にすることが、同社の責務です。業界の性質からも、これは特に重要でした。売上と成長の観点からも、SOC 2 Type Iは欠かせないと同社は考えていました。

しかし、外部資本に頼らずに運営するスタートアップの同社は、当初スプレッドシートでコンプライアンスの活動を管理し、SharePointを使ってメールの送付と手作業での確認をしていました。やがてチームは、こうした手作業にとらわれているように感じるようになりました。少人数のチームでスプレッドシートのやり方を続ければ、非常に高くつくおそれがありました。事業に集中すべき従業員、開発者、技術チームの時間がコンプライアンスの作業に使われ、負担にもなっていました。そこで同社は、管理を楽にし、自動化で進み具合を速められる製品を探すことにしました。

選定の判断軸：継続的モニタリング、連携の多さ、誠実な営業

同社はまず、パートナーであるBig 4の会計事務所に、市場にある製品とサイバーセキュリティーの最新の動向について意見を求めました。共同創業者兼CEOのBram Ketting氏は、継続的モニタリングを組み込んだ製品を特に求めており、目標ははっきりしていました。そうしてDrataが候補に挙がりました。

上位2つの候補を直接比べた結果、Drataが選ばれました。決め手の1つは、信頼できるコンプライアンスのパートナーとして急速に評判を高めていたことです。また、ほかのプラットフォームよりも連携が多く、同社の技術基盤に最も合った選択肢を備えていました。クラウドで生まれた同社には、コントロールの環境に合う連携が必要でした。さらに、営業も誠実でした。最初の営業の会話は、同社の環境、コンプライアンスの取り組みで実現したいこと、そしてDrataがどう役立つかを知ることに重点が置かれ、Drataを使ってSOC 2 Type Iをすばやく達成できる道筋がはっきりと示されました。

数字で見た導入効果

2週間足らずでSOC 2 Type Iを取得

SOC 2 Type Iの取得にかかった時間は、最初から最後まで2週間足らずでした。監査法人のSensibaは、監査の数日後にクリーンなSOC 2 Type Iのレポートを提出しています。立ち上げも速く、開始から数日でDrataのプラットフォームのログイン情報を受け取りました。導入作業は比較的簡単で、同社のCTOが数時間で設定を終え、連携もすぐに準備が整いました。システムを接続すると、チェックマークと要件が赤から緑に変わっていく様子をすぐに確認でき、満たしていない要件と、何を直せばいいかの明確な手順も示されました。オンボーディングの間もその後も、Drataのチームによる技術面と専門面のサポートを受けられ、サポートの担当者は自ら連絡を取って状況を確かめ、必要なときは手を貸しています。Ketting氏は、2週間でSOC 2 Type Iを取得するうえで節約できたリソース、時間、コンサルタントの費用は前例のないものだと述べ、コンプライアンスと監査の管理に苦労しているEUのスタートアップや組織に、DrataとSensibaを強く勧めています。

月に数十時間の節約を見込む

インフラの規模が大きくなれば、チームが節約できる時間は月に数十時間になると同社は見込んでいます。浮いたリソースは技術基盤のさらなる成熟に振り向け、イノベーションと事業の商業面に集中できます。技術人材を確保し、つなぎとめるのが難しい中で、Drataの自動化によって技術的なコントロールが手作業を介さずに確実に検証されることは、チームの時間を解放しています。

継続的モニタリングとTrust Centerで透明性を確保

Drataは、コンプライアンスにとどまらず、インフラの状況をいつでもリアルタイムで把握できるようにしています。ある時点のサンプルではなく、全てのコントロールを継続的に確認し、いつでも検証できるモニタリングです。DrataのTrust Centerでは、顧客と見込み顧客がtrust.3rdrisk.comで、プラットフォームのセキュリティー、最新のパッチの適用、脆弱性管理のスキャンの実施、継続的モニタリングの状況を確認し、特定のポリシーを選んで閲覧できます。待つ必要も、長いレポートを読み込む必要もありません。商業的な成長の観点でも、Trust Centerは顧客にいつでも必要な可視性を提供しながら、売上目標の達成を後押ししています。

SOC 2の取り組みでGDPRへの準備状況も把握

ヨーロッパを拠点とする同社にとって、GDPRは今後取り組むべき重要なフレームワークです。SOC 2 Type Iを進める間、ダッシュボードには、SOC 2の取り組みがGDPRなどほかの規格への準備状況にどれだけ寄与しているかが表示されました。当初は、同じ期間にほかの規格に取り組む余裕はないと考えていましたが、ダッシュボードの情報を見て、2つ目、3つ目の規格にも取り組もうと考えるようになりました。

Drataに慣れた監査人とDrata上で協力

同社は、DrataのAuditor Directoryを通じてSensibaと出会いました。Auditor Directoryには、Drataのプラットフォームを使う訓練を受けた監査法人が並んでおり、その中から選べます。Sensibaは、クラウドで生まれ先進的な技術スタックを持つ同業の企業との経験があり、同社が重視する技術の活用を理解していました。従来型の監査であれば、インフラやサーバー、クラウドの仕組みについてあらゆる文書を求められ、最終的なレポートの受領が遅れていたはずです。同社は、Sensibaが新たに提供するDrata Starter Programも利用しました。SOC 2 Type Iに必要な手間のかかる文書作りを先取りできる、Drataのプラットフォームに合わせたベストプラクティスの設計図です。監査では、SensibaがDrataに直接ログインしてコントロールの環境を確認し、連携について質問し、継続的モニタリングで集められている証跡を確かめました。最初の打ち合わせで進め方が明確に示されていたため、監査で求められることに驚きはありませんでした。SensibaはDrataの使い方の訓練を受けていたため、同社が適切なコントロールを整え、規格の達成に向けて順調に進んでいることを示しやすく、監査人も探している情報をすぐに見つけられました。

監査への不安がなくなる

Ketting氏は、キャリアの初期には監査が誰にとっても不安の種で、監査人がいつ来るのか、チームの準備はできているか、何か忘れていないか、問題が出たらどう直すかと、心配が尽きなかったと振り返っています。Drataでは継続的モニタリングでコントロールと要件の状況をいつでも確認できるため、驚きがなく、自信を持って監査に臨めます。同氏は、Drataによって、通常は多くの時間、労力、費用がかかるコンプライアンスの規格の達成が、より簡単に、より速く、事業への負担も小さくなったと述べています。DrataとSensibaは、独立性、透明性、信頼、品質を犠牲にすることなく、コンプライアンスと監査に全体的に取り組む方法を作り上げたと評価しています。

この導入事例からの学び

同社の事例で特徴的なのは、プラットフォームの選定と監査法人の選定を組み合わせている点です。Drataに慣れた監査人がDrataに直接ログインして証跡を確認できたことで、文書を一からそろえる従来型の監査で生じる遅れを避けています。ダッシュボードでSOC 2の取り組みがGDPRへの準備にもつながっていると確認できたことが、次の規格に取り組む考えにつながっています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、コンプライアンスの作業が、事業に集中すべき開発者や技術チームの時間を奪っていないかどうかです。2つ目は、監査人がプラットフォームを使い慣れているかどうかです。3つ目は、ある時点のサンプルではなく、コントロールを継続的に確認できるかどうかです。同社は、継続的モニタリングによってコントロールと要件の状況をいつでも把握できるため、問題があっても事前に気付き、オンラインのガイドとDrataのサポートチームのライブチャットで是正できるとしています。

出典：Drata