← エピソード一覧に戻る Episode 202 Chapter 1
Chapter 2
Chapter 3
Chapter 4
Chapter 5
0:00 / 0:00
スクリプト
Chapter 1 オープニング
タカシ
今日は SaaS 営業のセキュリティ審査突破です。実は GitLab はこの工程を整えたことで、平均の商談期間を10日から14日ほど短くしています。売れない原因が機能不足ではなく、審査の詰まり方にあるケースはかなり多いんです。
ミカ
セキュリティ審査って、受注直前に情シスさんから分厚い Excel が来る、あの胃が痛くなる時間ですよね。良い商談でも、そこから急に空気が止まるのはなぜなんでしょう。
タカシ
理由は単純で、買い手は製品の良し悪しより先に、自社で安全に扱えるかを確認したいからです。しかも見るのは証明書の有無だけではなく、データの扱い、権限、障害時対応、委託先管理まで広い。ここを営業工程として設計していないと止まります。
ミカ
なるほど。つまりセキュリティ審査は、契約直前の事務処理じゃなくて、商談を前に進めるための本編なんですね。今日はその突破の型を知りたいです。
Chapter 2 なぜここで止まるのか
タカシ
まず大事なのは、セキュリティ審査は質問票に答える作業ではなく、買い手の不安を短時間で解消する設計だという点です。GitLab の公開ハンドブックでは、まず Trust Center を案内し、それでも必要な質問票に10営業日の SLA で対応する運用を明示しています。
ミカ
SLA まで決めるんですね。たしかに、買う側からすると内容も気になりますけど、いつ返ってくるか分からないのもかなり怖いです。『確認します』が2週間続いたら、不安になります。
タカシ
その通りです。だから強い SaaS は、入口、責任者、標準資料、回答期限を工程化します。セキュリティ部門が英雄的に頑張る会社より、営業とセキュリティが同じ地図を持っている会社のほうが、商談は安定して前に進みます。
ミカ
逆に言うと、営業が受注確度が上がってから初めて情シス要件を聞きに行くと、最後の最後で地雷を踏むわけですね。終盤の surprise は、だいたい良くないですもんね。
Chapter 3 何を標準化すべきか
タカシ
ここで役立つのが標準フレームです。Cloud Security Alliance の CAIQ はクラウド事業者の自己評価票で、最新版の v4 は261問、短縮版の CAIQ-Lite でも124問あります。Shared Assessments の SIG も第三者リスク評価の代表的な標準質問票です。
ミカ
261問と聞くだけで肩が重いですね。でも逆に言えば、毎回ゼロから作文するんじゃなくて、その標準に沿って答えられる準備をしておけばいい、ということでもありますか。
タカシ
まさにそこです。Atlassian は Vendor Security Risk Response で CAIQ などを事前公開していますし、freee も検討企業が営業経由で Excel を送らなくても確認しやすい形を整えています。審査突破とは、強い統制を持つことと、見せやすくしておくことの両方なんです。
ミカ
なるほど。安全であることと、安心して確認できることは別なんですね。すごく堅牢でも、資料が散らばっていたら、相手から見れば『この会社、大丈夫かな』になりそうです。
Chapter 4 具体事例で見る勝ち筋
タカシ
成果が見えやすいのは GitLab と Instacart です。GitLab は self-serve 化で質問票を前年比50パーセント減らし、商談期間を10日から14日短縮しました。Instacart は CAIQ や SIG を標準化して、500問規模の custom questionnaire を3件回避し、約375時間を削減しています。
ミカ
375時間は大きいですね。もう『セキュリティの人が頑張る』というより、受注を支える生産性の仕組みです。営業組織の武器になっていますね。
タカシ
国内でも、サイボウズは公開チェックシートでマルチテナント構成、障害第一報の目標1時間以内、契約終了後の削除時期、TLS1.2と1.3、保存データ暗号化まで示しています。マネーフォワードは営業が数営業日かけていた一次回答を15分に短縮した事例を公開しました。
ミカ
ここまで来ると、セキュリティ審査突破って専門家の秘密技能じゃなくて、公開情報、標準回答、更新運用の組み合わせなんだと分かります。地味だけど、かなり経営っぽい仕事ですね。
Chapter 5 失敗とアクション
タカシ
よくある失敗は五つです。終盤まで要件を聞かない、SOC 2 があると言って終わる、営業ごとに回答が違う、証跡が散在している、そして回答期限が曖昧。このどれかがあると、買い手は不安になり、競合比較で不利になります。
ミカ
初心者の経営者が明日やるなら、何から始めるのがいいですか。全部いっぺんに整えるのは無理でも、止血の一手は欲しいです。
タカシ
まず discovery で SSO、監査ログ、データ保管地域、必要認証、セキュリティ窓口を確認すること。次に CAIQ か CAIQ-Lite、SOC 2、DPA、subprocessor 一覧、削除ポリシーを一か所に集約すること。そして標準回答集に更新日とオーナーを必ず持たせることです。
ミカ
今日は、セキュリティ審査は守りの壁じゃなくて、信頼を前倒しで渡す営業設計だと分かりました。リスナーの皆さんも、自社で最後に止まる案件があれば、機能ではなく審査の流れを見直してみてください。それではまた次回。