Timeless Medical Systems、Drataでベンダーのリスク管理の効率を2倍に

医療の現場で欠かせない臨床栄養管理の業務を支える専門性の高いソリューションを提供するヘルスケアテクノロジー企業Timeless Medical Systemsは、スプレッドシートと手作業に頼っていたコンプライアンスとベンダーのリスク管理をDrataに集約しました。ベンダーの評価と継続的な評価の効率は2倍になり、セキュリティーチームの人員を増やさずに1年足らずでSOC 2の監査を受けられる状態に到達しています。信頼が顧客と患者に直接影響する環境で事業を営む同社は、強固なセキュリティーとコンプライアンスの実践を常に示す必要があります。

導入前：スプレッドシートから抜け出せない日々

SOC 2への取り組みを始めた当初、コンプライアンスの責任は、複数の優先事項を抱える少人数のチームが担っていました。SOC 2とHIPAAは最初から欠かせず、事業の成長に合わせてGDPRやISOの規格も加わりました。過去のコンプライアンスのデータはスプレッドシートと共有ドライブに散らばり、進み具合の把握や、要件が広がる中での一貫性の維持が困難でした。情報セキュリティープログラムマネージャーのJodi Page氏は、当時のチームが「スプレッドシートの煉獄」にいたと表現しています。

ベンダーのリスク管理も手作業でした。1人が何役もこなす小さなチームにとって、サードパーティーのリスクを手作業で評価して追跡することは非効率で、見通しも悪くしていました。同氏は、医療の分野で機密性の高い情報を扱う以上、顧客との信頼を築くことが欠かせないと述べています。

選定の判断軸：人員を増やさずに素早くSOC 2に備える

同社に必要だったのは、セキュリティーチームを少人数のまま保ちながら、素早くSOC 2に備えることでした。Drataでは、コントロール、ポリシー、証跡を1つのプラットフォームにまとめ、導入を素早く進めました。組み込みのガイダンスと構造化されたワークフローによって、ほかの事業の優先事項を遅らせずに、自信を持って監査への備えを進められたといいます。組み込みのAWSとの連携でインフラのコンプライアンスもモニタリングしています。Page氏は、Drataのおかげで人員を増やさずに素早くSOC 2に備えられたと話しています。

数字で見た導入効果

ベンダーの評価の効率が2倍に

同社で最も大きく変わった分野の1つが、ベンダーのリスク管理です。DrataのVendor Risk Managementによって、文書の確認、不足点の記録、追加の確認事項の追跡ができ、カスタムフィールドを追加して特定のベンダーのリスクのデータをダッシュボードに直接取り込み、1つの画面で見渡せるようになりました。ベンダーの評価と継続的な評価の効率は2倍に向上しています。Page氏は、自身にとって最大の効果はベンダーの分野で、本当の意味でベンダーのリスクを見渡せるようになったと述べています。リスクからベンダー管理、コンプライアンスまでを1つの画面で見られる情報にまとめた点を評価しています。

1年足らずでSOC 2の監査に備える

セキュリティーチームを増やさずにコンプライアンスの取り組みを広げ、1年足らずでSOC 2の監査を受けられる状態に到達しました。事業の拡大に合わせて、SOC 2とHIPAAに加え、GDPR、ISO/IEC 27001、ISO/IEC 42001のフレームワークも加え、全てをDrataで管理しています。

4つの製品のセキュリティー情報をTrust Centerで提供

同社は4つの製品を抱えており、セキュリティーの依頼に手作業で応えることは時間がかかり、営業とプロジェクトの日程を遅らせるおそれがありました。そこでTrust Centerを導入し、顧客と社内のチームが一貫した最新のセキュリティー情報に自分でアクセスできるようにしています。顧客が自分でコンプライアンスの状況を確認できる形にしたいと考えていた同氏は、社内的には営業の商談を遅らせる心配をしなくて済む点に価値があると話しています。今後は、コントロールを広げ、フレームワークを追加し、製品ごとにTrust Centerを整えて、透明性をさらに高める計画です。

この導入事例からの学び

同社の事例で特徴的なのは、自動化によって人を置き換えるのではなく、少人数のチームの効率を高める手段としてDrataを位置付けている点です。Page氏は、Drataは人の要素を取り除くのではなく、人をより効率的にすると述べています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、コンプライアンスのデータと証跡がスプレッドシートや共有ドライブに散らばっていないかどうかです。2つ目は、ベンダーのリスクの評価を、文書の確認から不足点の記録、追加の確認事項の追跡まで1カ所で管理できているかどうかです。同社はこの分野で評価の効率を2倍にしています。3つ目は、製品が複数あるときに、セキュリティーの依頼への対応が営業や日程の遅れにつながっていないかどうかです。同社はTrust Centerによる自分で確認できる形でこれに対処しています。

出典：Drata