Unblocked、Drataでスタートアップのチームが回せるコンプライアンスの仕組みを築き、監査を数カ月から数週間に

Unblockedは、スタートアップのチームで運営できるコンプライアンスのプログラムをDrataで作り、SOC 2とEU一般データ保護規則（GDPR）への対応を終えて、ISO/IEC 27001を内部監査から第三者監査の準備へと進めました。同社は、エージェント型のソフトウェア開発のためのコンテキストレイヤーを提供しています。チームのコード、プルリクエスト、Slack、課題、ドキュメント、本番環境のシステムにつながり、それらの関係を踏まえて推論することで、AIエージェントが人の手をあまり借りずに作業を正しく終えられるようにします。エージェントからはMCPサーバー、CLI、APIで利用できます。こうした重要なシステムにつながる以上、信頼と強固なセキュリティーポスチャーが欠かせません。

導入前：顧客が求めるSOC 2を自分たちで運営する必要

Unblockedのメンバーは、専任のチームや法務の担当者、各分野の専門家がコンプライアンスを支える大企業の環境を経験してきました。スタートアップとしての初期の商談では、ホワイトペーパーなど顧客向けの資料で対応していました。

本番環境で同社の製品を使う顧客が出てくると、SOC 2が事業上の必須条件になりました。製品の開発とエンタープライズの顧客の支援を続けながら、プログラム全体を自分たちで作り、運営しなければなりません。顧客と市場の求めに応じて、GDPRとISO 27001へ対象を広げる必要もありました。コントロール、証跡、ポリシー、ベンダーのレビュー、顧客からの質問票（セキュリティーチェックシート）を、速いペースで動きながら最新に保つことも課題でした。

選定の判断軸：人による支援と構造化されたコントロール

同社は複数のプラットフォームを比較したうえでDrataを選びました。重視したのは、人に相談できること、構造化されたコントロールのモデル、自動テストとモニタリング、ポリシーテンプレートです。インフラストラクチャー主任のMahdi Torabi氏は、「コンプライアンスのプログラムを初めて作るときは曖昧なことが多く、タスクの海にいるように感じます。長いメールのやりとりを追うのではなく、プロセスを導いてくれる人に相談したいと考えていました」と振り返ります。同氏は、Drataの支援が今の強固なコンプライアンスの基盤の大きな理由だと話しています。

導入では、製品の説明を受けるのではなく、コンプライアンスを深く理解したDrataの専門家と打ち合わせを重ねました。同社は現状を評価して不足を洗い出し、必要な作業に優先順位を付けました。システムを連携させてモニタリングでインフラの不足を見つけ、失敗したコントロールへの対処、足りない証跡の特定、関連するポリシーの整備を繰り返しました。Torabi氏は、専門家の知見とプラットフォームの組み合わせで既存の不足とコンプライアンスの対応範囲の全体が見え、すぐにDrataの価値を実感したと話しています。疑問が出たときはPolicy Centerや人によるサポートを使い、やがて日々の判断は製品内のサポートで済ませるようになりました。

数字で見た導入効果

時間：監査が数カ月から数週間に

Unblockedのインフラチームは、コントロールの状態の確認、失敗したモニタリングテストの調査、証跡のレビュー、ポリシーの見直しの管理をDrataで日常的に回しています。Evidence Libraryのアラートがサイバー保険などの更新期限を事前に知らせるため、監査や顧客の問題になる前に対処できます。

監査では30〜40件の証跡やスクリーンショットを求められることがあり、手作業のモニタリング1件分の証跡を用意するのに30分ほどかかります。自動テストを整え、継続的に証跡がそろっている状態では、監査をおよそ1〜2週間で終えられたケースもあります。Torabi氏は、手作業で証跡を集めると1日のうち何時間も取られて依頼が大量にたまるが、自動化で時間が浮き、監査人とのやりとりも減ったと話しています。

コンプライアンス：GDPRは60%まで進んだ状態から

Unblockedは、コントロール、証跡、ポリシーをSOC 2、GDPR、ISO 27001の間で再利用しています。Torabi氏によると、SOC 2の証明を得た後にGDPRに取り組むと決めたとき、既存のコントロール、証跡、ポリシーで、すでに60%まで進んでいることがDrataで分かりました。同氏は、Drataが複数のフレームワークに対応していなければ、GDPRまでたどり着けなかったと思うと話しています。プログラムの拡大は、一から立ち上げるプロジェクトの連続ではなく、積み上げになりました。

人員：コンプライアンスの担当を1人から複数のチームへ

ISOの監査に向けた取り組みでは、エンジニアリング担当バイスプレジデントとDevOpsのメンバーが関係するコントロールを受け持ち、Torabi氏はインフラと技術の作業に集中しました。コントロールと監査の作業をエンジニアリングと運用に割り振り、コンプライアンスの責任が1人に集中しない体制になっています。

営業：Trust Centerで商談を前に進める

導入後は、Trust Centerが重要な機能になりました。Unblockedは、顧客へのセキュリティー文書の提供、NDA（秘密保持契約）の手続きの管理に使い、承認した組織が自分で情報を確認できるようにしています。質問票で繰り返し聞かれる質問にはFAQで先回りして答え、手作業のやりとりが増えないようにしています。

デベロッパーリレーションズ担当のBrandon Waselnuk氏は、Trust Centerによって、エンタープライズとの商談でコンプライアンスが果たす役割が変わったと話します。見込み客は早い段階で同社のセキュリティーポスチャーを確認でき、顧客対応のチームは文書の受け渡しに割く時間が減って、商談を進めることに時間を使えます。同氏は、セキュリティーポスチャーとコンプライアンスの対応範囲をリアルタイムで示すページで、これまでにない速さで商談が進むようになり、コンプライアンスのプログラムを営業の手段や信頼の構築、成長の原動力に使えるようになったと述べています。社内の見積もりでも、Trust Centerは営業のプロセスを速めています。SOC 2を確認できなければ商談に進まない見込み客もいるため、Trust Centerは一部の商談の前提条件にもなっています。

この導入事例からの学び

Unblockedの事例から読み取れる確認軸は、導入時の支援、証跡の自動化、フレームワーク間の再利用、顧客への保証の仕組みです。同社が選定で人による支援を重視したのは、初めてプログラムを作るときの曖昧さを踏まえたものでした。証跡がそろっていれば監査がおよそ1〜2週間で終わったケースは、自動テストが監査の準備の作業を変えたことを示しています。GDPRに取り組んだ時点で既存の資産によって60%まで進んでいたことは、フレームワークを足すたびに一から始めずに済むことを表しています。

同社は今後、特定の顧客層や商談で求められるISO 27001を最優先とし、その先の認証は事業の目標と顧客の需要に応じて選ぶ方針です。管理を一元化しながら責任を分担する同社の体制は、監査への備えとエンタープライズ向けの成長の両方を支えています。

出典：Drata