Adam Markowitzが監査前の証跡集めをContinuous Trustへ変えたDrata

Adam MarkowitzはNASAの航空宇宙エンジニアとPortfolium創業を経て、文書化・検証・信頼がなければ重要なシステムは前へ進めないという経験を持っていた。

Drata公式aboutは、Portfolium時代にsecurity complianceの証跡集めが人員より速く膨らみ、2020年にその手作業を自動化するDrataを立ち上げたと説明している。出典

創業のきっかけ

監査準備では、cloud、identity、HR、code repositoryなどに散った証跡を集め、controlに対応付ける作業が繰り返される。

Drataはこの反復をcontinuous control monitoringとevidence automationの問題として切り出した。出典

転機・苦労

complianceは一度認証を取れば終わりではない。

組織・vendor・frameworkが変わるたび、証拠の鮮度と監査可能性を保つ必要がある。

DrataはSOC 2からISO 27001、third-party risk、AI governanceへ対象を広げた。出典

成長・成功の要因

公式aboutは8,000超の顧客、30超のframeworks、1日1,570万件のevidence items処理を掲げる。

数字の絶対値は公式発表として読む必要があるが、プロダクトが監査担当だけでなく営業・顧客信頼・vendor管理のworkflowへ広がったことは読み取れる。出典

今

DrataはAgentic Trust Managementを掲げ、compliance、internal and third-party risk、customer assuranceを一体化しようとしている。

Adam Markowitzの原点にある「文書化・検証・信頼」を、年次監査ではなく日々更新する運用へ置き換える試みだ。出典

Drataは、SOC 2やISO 27001のために複数ツールから証跡を集め、監査前に手作業で整えるsecurity teamの痛みに刺さる。

Cloud infrastructure、identity provider、HR system、code repositoryなどへ接続し、evidenceをcontrolへmapするため、監査準備を単発作業から継続運用へ変えられる。出典

顧客向けTrust Centerやquestionnaire対応まで同じ証拠を再利用できる点が、compliance担当だけでなく営業・顧客対応にも価値を広げる。

8,000超の顧客という公式訴求は、この課題が一定の市場規模を持つことを示すが、独立検証値ではない。出典

特許よりも、各社のtool stackに接続して蓄積されるevidence mapping、framework知識、監査workflowへの組み込みが障壁になる。出典

ただしcompliance知識自体は模倣可能で、継続監視の精度と監査・顧客双方の信頼を更新し続ける必要がある。

強い直接network effectはない。

顧客が増えることでTrust Centerや監査人との共通理解が広がる間接効果はあるが、価値の中心は各社のdata接続と運用にある。出典

SOC 2・ISO 27001などを求められるstartupからenterpriseのCISO、GRC、security teamが中心。出典

監査・顧客security review・vendor riskを横断して管理したい企業には合うが、規制要求がまだなくself-hostを必須とする小規模チームには優先度が低い。

第一に、SOC 2のように要求が明確なframeworkから入り、ISO 27001や第三者リスクへ横展開した。出典

第二に、evidence collection、control monitoring、audit workspaceを一つのworkflowにした。

第三に、Trust CenterとAI questionnaire assistanceで、監査の内側だけでなく顧客のsecurity reviewまで接続している。出典

価格は公開されず個別見積もりで、初期導入の比較と予算化が難しい。出典

また、AIがevidenceやvendor reviewを支援しても、誤判定・data governance・audit責任を人間が確認する必要がある。

複数frameworkとthird-party riskを統合するほど、設定の複雑さと運用責任は増える。出典

SOC 2・ISO 27001という検索されやすい入口を、contentとpartner、salesで獲得する。

導入後はframework追加、risk management、Trust Center、AI questionnaireへland-and-expandする。出典

第三者リスク管理を加えることで、社内統制の監査対応からvendor評価まで予算範囲を広げる一方、機能拡張は設定負荷とのトレードオフになる。出典

主要チャネル: content, partner, sales

狭い監査準備の痛みを解くとき、証拠を一度集めて終わりにせず、control monitoring・顧客へのproof・vendor riskへ同じdataを再利用できる設計が効く。出典

一方、AIを導入しても信頼領域では説明責任が残る。

自動化の範囲と人間の承認点を先に設計することが、単なる効率化との差になる。

日本ではISMS、Pマーク、取引先のsecurity questionnaire、委託先管理を一つのevidence workflowにまとめる余地がある。出典

国内の監査法人・security vendorとのpartner、個人情報保護法や日本語質問票のtemplate、AI回答を人が承認する履歴を揃えることが導入条件になりそうだ。