Zello、Drataで継続的なコンプライアンスを実現し営業のサイクルを3〜14日短縮

小売、航空、ホスピタリティー、運輸などの業界の組織が、スマートフォンや接続された機器で即座に連絡を取り合えるプッシュツートークの通信技術を提供するZelloは、SOC 2、ISO/IEC 27001、GDPR、HIPAAにまたがるコンプライアンスの運用をDrataで自動化しました。234のコントロールで年間700時間以上を節約し、セキュリティーレビューが速くなったことで営業のサイクルを3〜14日短縮しています。自動化されたコンプライアンスのワークフローによる効率化の効果は、7万ドル以上と見積もられています。

導入前：重なり合う複数のフレームワークを従来のツールで管理

大企業向けの事業を広げるにつれ、同社のセキュリティーとコンプライアンスの取り組みも規模を合わせて広げる必要がありました。重なり合う複数のフレームワークを管理するには、一貫したコントロールの管理、構造化されたポリシーの文書、効率的な監査の準備が欠かせません。最高情報セキュリティー責任者（CISO）のBryon Miller氏が着任した時点で、コンプライアンスの取り組みは既に複雑さを増しており、数百のコントロールを追跡しながら複数の証明について監査に備える必要がありました。

従来のプラットフォームには、柔軟なコントロールのマッピング、ポリシーとの整合、プロセスオーナー向けの効率的なワークフローといった、チームが必要とする機能が欠けていました。証跡の収集と監査の準備は手作業で、セキュリティーとコンプライアンスのチームの負担になっていました。大企業の見込み顧客は、セキュリティーレビューでコンプライアンスの文書にすぐにアクセスすることを求めるようになっていました。

選定の判断軸：重複するコントロールをまとめられるか

Miller氏の目標は、業務を遅らせずに事業とともに広げられるコンプライアンスの取り組みを築くことでした。多くのフレームワークは共通のコントロールの構造を持つため、重複するコントロールをまとめれば、重複が減り、継続的なコンプライアンスを保ちやすくなります。同氏は、フレームワークをまたいでコントロールの75〜90%が重複していることは誰もが知っているが、Drataはそれを非常にうまくまとめてくれると述べています。

数字で見た導入効果

234のコントロールで年間700時間以上を節約

Drataによって、証跡の収集、ポリシーの更新、監査の準備はいずれも大幅に自動化されました。Miller氏は証跡の責任をプロセスオーナーに割り当て、期限の近いタスクのリマインダーを自動化し、監査人がすぐに確認できる整理された文書を保てます。組織全体の手作業の調整が減り、チームは定期的な監査の準備ではなく、継続的なコンプライアンスの維持に集中できるようになりました。234のコントロールで年間700時間以上を節約しており、同氏は証跡の収集がより速く簡単になり、監査もはるかに楽で速くなったと話しています。

営業のサイクルを3〜14日短縮

同社はTrust Centerを公開し、顧客がセキュリティーとコンプライアンスの重要な情報に直接アクセスできるようにしました。見込み顧客はセキュリティーチームの手作業の回答を待たずに自分で文書を確認でき、セキュリティーレビューが速くなったことで営業のサイクルは3〜14日短くなっています。Trust Centerからは、見込み顧客がどのセキュリティーの資料をよく見ているかも分かるため、改善の優先順位を付け、セキュリティーポスチャーを強める手がかりにしています。

効率化の効果は7万ドル以上

自動化されたコンプライアンスのワークフローによる効率化の効果は、7万ドル以上と見積もられています。Miller氏は、Drataによってこれまで実現しなかったことを前例のない短期間で実現できたと評価しています。今後は連携による自動化を広げ、証跡の収集のプロセスを改善し、Trust Centerの内容を定期的に見直して、見込み顧客と顧客が常に最も関係のあるセキュリティー情報にアクセスできるようにする計画です。

この導入事例からの学び

同社の事例で特徴的なのは、複数のフレームワークに重複するコントロールをまとめることで、扱うコントロールの数そのものを管理しやすくしている点です。証跡の責任をプロセスオーナーに割り当て、リマインダーを自動化したことも、継続的なコンプライアンスを保つ土台になっています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、複数のフレームワークで重複するコントロールをまとめて管理できているかどうかです。2つ目は、証跡の収集を誰が担うかが明確になっているかどうかです。同社はプロセスオーナーへの割り当てとリマインダーの自動化で、組織全体の手作業の調整を減らしています。3つ目は、見込み顧客がどのセキュリティーの資料を見ているかを把握できているかどうかです。同社はTrust Centerで得られるこの情報を、改善の優先順位付けに使っています。

出典：Drata