概要
Drata はコンプライアンス自動化とトラストマネジメントのプラットフォームです。クラウドアカウント、ID プロバイダー、人事システム、コードリポジトリ、端末に接続し、SOC 2、ISO 27001、HIPAA、GDPR などのフレームワークのコントロールを継続的にテストし、監査人がサンプリングする証跡を保管します。Vanta と同じく、報告書そのものは発行しません。発行するのは独立した監査法人や認証機関で、費用は別請求です。
現在購入する製品の中身は、2件の買収と2026年の3つのリリースで決まります。
- SafeBase Trust Center。 Drata は2025年2月に SafeBase を約 $250M で買収しました。現在は SafeBase が公開 Trust Center と AI Questionnaire Assistance を運営しており、後者は 2026-04-30 に Drata 独自の質問票ベータを置き換えました。2026-10-14 には SafeBase MCP Server が一般提供となり、Claude などの MCP クライアントに、Trust Library、Trust Center、アカウント、ドキュメント、質問票への権限範囲を限定したアクセスを提供します。この MCP サーバーが扱うのはトラスト側だけで、GRC のコントロールは対象外です。
- エージェント型サードパーティリスク管理。 2026-09-16 から単独製品として一般提供されています。自社で文書化した基準を各ベンダーの証跡に適用し、引用とリスクスコアを返します。すべてのベンダーに固有リスク評価を無料で提供し、課金はベンダー数ではなく、完全なセキュリティレビューが必要になったときだけです。
- AI Agent Governance。 2026-06-10 に発表され、2026-08-04 から Anthropic 上でエージェントを動かす企業向けに限定提供されています。OpenAI、Google Vertex AI、AWS Bedrock への対応はまだ開発中です。端末センサーと MCP プロキシがエージェントを棚卸しし、それぞれにオーナーと権限をひも付け、ポリシー違反をインラインでブロックし、改ざん防止ログに記録します。
Drata によると、利用組織は 8,500 以上です。最後に公表された売上指標は2025年2月の ARR $100M、最後の価格付きラウンドは2022年12月の評価額 $2B での $200M のシリーズ C で、ICONIQ Growth と GGV Capital が共同リードしました。
オペレーションのスタックに入る理由
- ディールデスクはセキュリティレビューを待っている。 SOC 2 報告書がない、あるいは長い質問票が来ると B2B の商談が止まり、最初に影響を受けるのは RevOps です。Trust Center と Salesforce・HubSpot 連携により、営業担当がチケットを切らずにドキュメントへのアクセスを許可できます。
- エンジニアリングはコントロールをコードで管理したい。 Compliance as Code と Open API は全プランに含まれ、カスタム接続とカスタムテストは Advanced から使えます。チェックを自社リポジトリに置きたいチームは、Vanta よりもこちらを選ぶ傾向があります。
- ベンダー関連の書類は Legal Ops の担当。 エージェント型 TPRM は証跡の引用付きのベンダーレビューキューを提供します。プライバシー担当や調達担当の弁護士が判断の根拠を示すのに必要なものです。
価格
Drata はプランの内容は公開していますが、価格は公開していません。Foundation は従業員 50 名まで、事前マッピング済みのフレームワーク1つ(SOC 2、ISO 27001、Cyber Essentials、HIPAA、GDPR のいずれか)に対応し、Trust Center Standard と最大 100 件の質問票支援が付きます。Advanced ではすべてのフレームワーク、カスタム接続とテスト、標準質問票の無制限利用が可能になります。Enterprise では Risk Management Pro、Compliance as Code Pro、ユーザーアクセスレビューが加わり、エージェント型 TPRM 評価はアドオンです。
実際の支払額:Vendr によると、236 件の購入で年間の中央値は $24,934、範囲は $9,415 から $68,250 です。従業員 50 名未満で $12,000〜$28,000、50〜250 名で $25,000〜$50,000、複数フレームワークのプログラムで $40,000〜$65,000、250 名超で $60,000〜$120,000 以上です。導入支援を購入する場合は $5,000〜$20,000 を、さらに監査人の報酬を加算してください。Vendr は複数年契約の割引を 15〜25%、更新時の一般的な値上げを 5〜10% としています。
最適な利用者
従業員 50〜1,000 名の B2B SaaS 企業で、エンジニアがコンプライアンステストをコードで管理したく、営業チームが質問票に回答し CRM の中からドキュメントアクセスを付与できる Trust Center を必要としているセキュリティまたは GRC の責任者。ベンダー数ベースのライセンスではなく、自社基準でベンダーを審査したい法務・調達チームにも向いています。
向かないケース:最小予算で初めての SOC 2 を目指す 15 名のスタートアップ。Comp AI や Sprinto のほうが安価です。また、現時点で AI エージェントの大半が OpenAI や Bedrock 上で動いているチームにも向きません。Agent Governance はまだそれらに対応していないためです。
注意点
- Foundation はすぐに上限に達する。 フレームワーク1つ、従業員 50 名の上限があるため、2つ目のフレームワークや採用拡大で Advanced の検討を迫られます。対策:最初の交渉で Foundation と Advanced の見積もりを同時に取り、2026-10-16 に追加されたアプリ内の「フレームワークを追加」ボタンを使う前に、フレームワーク単位のアドオン価格を書面で確定させてください。
- 更新価格は従業員数とともに上がる。 対策:注文書で従業員数の帯を固定し、更新時の値上げ上限を 5〜8% に設定してください。Vendr によれば、最初から求めた買い手はこれを獲得しています。
- 1つのロゴの下に2つの製品。 Trust Center、質問票ツール、MCP サーバーは SafeBase 由来で、コントロールと証跡は Drata 由来です。対策:デモで、コントロールの変更が手動の再アップロードなしに Trust Center へ反映される様子を見せてもらい、AI クライアントが実際に得られる MCP スコープを確認してください。
- AI の回答はあなたの名前で送られる。 対策:過去 12 か月以内に変更されたコントロールに関する質問票の回答は、指名された担当者の承認を必須にしてください。
代替製品と選ぶべき場面
Vanta は規模でセグメントのリーダーです。2026年4月時点で ARR $300M、顧客 16,000 社以上、Vendr の中央値は約 $20,000 です。最大の監査人・連携ネットワークと、コントロール自体にまで届くホスト型 MCP サーバー(まだベータ)が欲しい場合は Vanta を選んでください。
Secureframe は年間約 $7,500 から始まります。初回監査でベンダーによる手厚いサポートを求めるなら選択肢です。
Sprinto はコスト重視のチーム、特に米国外のチームを対象としています。従業員 100 名未満で初めての SOC 2 を取得し、ブランドより価格を重視する場合に選んでください。
最も急成長している新興勢力は Comp AI で、AGPLv3 のオープンソースプラットフォームとして 2026-09-17 に $34M のシリーズ A を調達しました。セルフホストしたい場合や、初めての SOC 2 に5桁ドルのライセンスを払いたくない場合に選んでください。
すでにプライバシー管理で OneTrust を使っているなら、2つ目の記録システムを追加する前に、その GRC モジュールの見積もりを取ってください。複数のモデルプロバイダーにまたがるエージェントガバナンスには、現時点では Zenity や WitnessAI のような専用レイヤーのほうがカバー範囲が広いです。プラットフォームなしでベンダーレビューを効率化するなら、ベンダー・デューデリジェンス質問票スキルを参照してください。