Zūm Rails、Drataで10週間でSOC 2 Type Iを取得

フィンテックと決済の分野で台頭するZūm Railsは、終わりのない顧客の質問票（セキュリティーチェックシート）への回答とコントロールの維持に追われていた状況をDrataで改め、10週間でSOC 2 Type Iを取得しました。コントロールの状況をすぐに把握できるようになり、全てを整理して継続的にモニタリングできる状態で、次はSOC 2 Type IIとISO/IEC 27001を目指しています。セキュリティーに非常に敏感なフィンテックと決済の分野で、同社は顧客のデータを最高水準で守るためのインフラとコントロールを整えてきました。

導入前：質問票への回答とコントロールの維持に追われる

同社は自社のインフラとコントロールに自信を持っていましたが、終わりのない顧客の質問票への回答と、コントロールを常に維持して把握し続けることに、どうしても時間を取られていました。広く受け入れられているコンプライアンスのフレームワークを満たすことが、顧客の信頼を築き、営業のサイクルを速めるうえで欠かせないと分かっていたものの、最初に調べた段階では、費用と作業の大きさから非常に時間がかかるように思えました。

選定の判断軸：自動化と継続的なコンプライアンス、そしてDrata自身の姿勢

同社はすぐにコンプライアンス自動化の製品の価値に気付き、早く価値を得られ、成長しても継続的にコントロールをモニタリングできるツールを求めました。Drataの自動化の水準と継続的なコンプライアンスの考え方は、同社にとって大きな意味を持ちました。全てを自動化できるわけではないものの、Drataの連携と非常に分かりやすいユーザーインターフェイスで、予想をはるかに上回る簡単さで進められたといいます。Drata自身がセキュリティーとコンプライアンスに真剣に取り組み、自社の技術を使ってSOC 2を達成するなど、言葉通りに実践していたことも印象的でした。

数字で見た導入効果

10週間でSOC 2 Type Iを取得

導入後は、カスタマーサクセスチームの手厚い支援も印象に残りました。打ち合わせの依頼、メール、Intercomでのサポートのメッセージにはすぐに、考え抜かれた回答が返ってきました。プラットフォーム、いつでも頼れるサポート、監査法人としてJohansen Groupを推薦してもらったことが合わさり、同社はコントロールの状況をすぐに把握し、監査に備え、10週間でSOC 2 Type Iを取得しました。

全てを整理して継続的にモニタリング

監査の期間中にDrataはISO 27001のフレームワークや、全てのコントロールと関連するマッピングを一度に確認できる機能を公開し、同社にとってちょうどよい時期になりました。SOC 2 Type Iの取得は、顧客にセキュリティーへの取り組みを示すうえで大きな成果です。全てがDrataで整理され、継続的にモニタリングされている今、次はSOC 2 Type II、ISO 27001、そしてその先を目指しています。

この導入事例からの学び

同社の事例で特徴的なのは、ツールの機能だけでなく、ベンダー自身が自社の製品でSOC 2を達成しているかどうかまで選定で見ている点です。導入後のサポートと監査法人の推薦も、短期間での取得を支えています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、質問票への回答とコントロールの維持にかかる時間を把握できているかどうかです。2つ目は、ベンダー自身がセキュリティーとコンプライアンスにどう取り組んでいるかです。3つ目は、最初の認証を取得した後、次のフレームワークにどうつなげるかです。同社はType Iで整えた継続的モニタリングを土台に、Type IIとISO 27001を目指しています。

出典：Drata