Trust & Will、急成長の中でDrataを使い初めてのSOC 2 Type Iを達成

できるだけ多くの家族が将来に備えられるよう支援することを使命とするTrust & Willは、提携の拡大と資金調達に伴って高まるSOC 2のレポートへの需要に応えるため、Drataで初めてのSOC 2に取り組み、SOC 2 Type Iへの準拠を達成しました。オンボーディングとツールとの深い連携によって、Drataがない場合より数カ月先を進めており、ほかのレポートの確認や調査にかかる数百時間も節約しています。急成長の中でも、顧客とそのデータに誠実に向き合うことを重視しています。

導入前：経験のないSOC 2に圧倒される

同社にはSOC 2の経験がほとんどなく、何カ月も調べましたが、その結果はSOC 2が圧倒されるほど大きな仕事になるという感覚を裏付けるだけでした。急成長を続ける中で、将来慌てて取り組むのではなく、前もってSOC 2に備えておきたいと考えていました。

選定の判断軸：専門家でなくても監査への備えを保てること

同社が求めたのは、SOC 2の監査への備えを整えて保つ手続きを効率化し、セキュリティーとコンプライアンスの専門家である必要をできるだけ減らせる仕組みでした。セキュリティーの取り組みには多くの作業が伴うため、コンプライアンスの部分を大きく自動化し、年次の監査の期間中もその合間も、自社の態勢を効果的に示せることを重視しました。

Drataを選んだのは、市場で最良の製品であり、チームが素晴らしく、同じサンディエゴのスタートアップを応援したいという思いもあったからです。継続的なSOC 2への準拠に向けて最も効率的な道筋を示してくれると確信し、増え続ける顧客のデータセキュリティーを優先し続けられると考えました。

導入効果

Drataがない場合より数カ月先へ

Drataのチームは同社のSOC 2の取り組みを大きく支え、質問があればいつでも手を貸してくれました。全てのデータがダッシュボードにまとまり、進み具合のモニタリングに欠かせないものになっています。素晴らしいオンボーディングとツールとの深い連携によって、Drataがない場合より既に数カ月先を進めています。

数百時間を節約し、優先すべきことに集中

ほかのレポートの確認や調査にかかる数百時間を節約できただけでなく、初めてSOC 2に取り組む同社にとって最も必要な分野を見極められました。入力した内容に基づくポリシーテンプレートの生成から端末の自動モニタリングまで、Drataが重要な課題を解決したことで、成長に集中しながら正しいことを優先できています。継続的モニタリングによるテスト結果の通知と、プラットフォーム内のセキュリティー研修も高く評価しています。

SOC 2 Type Iを達成し、Type IIへ

SOC 2 Type Iへの準拠の達成は、データセキュリティーへの同社の姿勢を示すものです。最近AARPと結んだ提携のような大きな提携を考えると、事業にとって非常に重要です。製品全体への信頼を高め、より大きな提携の機会を広げるものになります。コントロールはDrataで継続的にモニタリングされており、同社は近くSOC 2 Type IIの達成を目指します。

この導入事例からの学び

同社の事例で特徴的なのは、急成長の途中で慌てて取り組むのではなく、需要が高まり始めた段階で前もってSOC 2に備えている点です。技術やコンプライアンスの知識の程度にかかわらず使えることを重視しています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、提携や資金調達でSOC 2のレポートへの需要が高まる前に、備えを始められているかどうかです。2つ目は、年次の監査の合間にも態勢を示せる仕組みがあるかどうかです。3つ目は、初めての組織が最も必要な分野を見極められる手引きがあるかどうかです。

出典：Drata