SaaSのセキュリティは何を確かめる？導入前の確認項目と権限の管理

SaaSのセキュリティは、導入前に扱う情報と事業者、契約を確かめ、導入後は権限と退職者を管理します。作業を担当者ごとに分けておくと、情シス兼任の担当者に全部が集まらずに済みます。

今日は、会社で使っているSaaSを表に書き出してください。列は、サービス名、契約した部署、管理者、扱う情報、多要素認証の有無の5つです。経費の明細と部署への聞き取りで、大半は埋まります。空欄が残るサービスが、最初に確かめる相手です。

SaaSは事業者任せにできないのか

設備やアプリの運用は事業者が担いますが、誰に何を見せるかの設定は利用者に残ります。IPAの中小企業のためのクラウドサービス安全利用の手引き（2026年6月）⁠は⁠、事業者と利用者が役割を分担して安全を保つと説明しています。

設定が原因になった例は公的機関の資料に載っています。個人情報保護委員会は、クラウド製品の権限設定に関する注意喚起で、アクセス権限が適切に設定されていないことを原因に個人データが漏えいした事案を受けて注意を促しました。クラウド型ID管理サービスの注意喚起（2024年10月）⁠で⁠は⁠、複数の大学で、相互の閲覧を意図していない利用者間で氏名とメールアドレスが長期間閲覧できた事案を挙げています。

利用者が何もしなくても状況が変わることもあります。総務省のクラウドの設定ミス対策ガイドブックには、SaaS事業者の機能変更で既定の設定のセキュリティレベルが下がり、そのまま使っていた利用者の機密情報が流出した事例が載っています。

導入前：確認項目を担当者に分ける

IPAの手引きのチェックシートには15の確認項目があります。これを担当者ごとに分けます。全部を1人⁠で確かめようとすると、形だけの確認になりやすいからです。

導入する部署から始めるのは、扱う情報で確認の深さが変わるからです。カタログの置き場と給与データの処理では、同じ確認は要りません。

事業者を見る材料として、手引きはISMAP、ISMSクラウドセキュリティ認証、クラウド情報セキュリティ監査制度、ASP・SaaS情報開示認定制度を挙げています。あれば判断しやすくなりますが、見られているのは事業者の側です。自社の設定までは見てくれません。

契約の前に、販売元へ文面で次の4つ⁠を聞くと、後の手間が減ります。

• 多要素認証やシングルサインオンは、どのプランで使えるか
• 操作の記録は、何か月分を、誰が見られるか
• 利用者が入れたデータに、事業者が触れるのはどんな場合か
• 解約時にデータを受け取る方法と、消去の扱い

導入直後：設定の担当とチェックの担当を分ける

契約したら、使い始める前に初期設定を確かめます。総務省のガイドブックは、設定をする人とチェックする人を置くことが必要だとしています。担当者が設定し、責任者が確かめる形でも構いません。

確かめる項目は次の6つです。

• 管理者を2人以上⁠にする（1人⁠の退職で管理できなくなるのを防ぐ）
• 全員の多要素認証を有効にする
• 社外共有とリンクの既定の設定を確かめる
• 一般の利用者の権限を必要な範囲にする
• 操作の記録が残っていることを確かめる
• 重要なデータの書き出し方を確かめる（IPAの手引きは、サービス停止や消失に備えて手元に確保するよう挙げている）

共有の設定をどこまで縛れるかは製品の差が大きく、ファイルの置き場では法人のクラウドストレージ比較の7項目⁠に分けました。

導入後：権限は定期的に棚卸しする

権限は、放っておくと増えます。異動しても前の部署の権限が残り、一時的に渡した管理者権限が戻らないまま残ります。四半期に1度、次の3つ⁠を見ると決めるだけでも、ずれに気づけます。

1. 管理者の一覧を責任者が確かめる
2. 長く使われていないアカウントを止める
3. 社外のユーザーの一覧を、取引の担当者に確かめてもらう

連携アプリも棚卸しの対象です。IPAのクラウドサービスのサプライチェーンリスクマネジメント調査（2022年5月）⁠は⁠、OAuthでSaaSを連携するときに、利用者が意図した以上の権限を許可してしまう場合があると指摘しています。

連携は、社員の判断でできる場合があります。Microsoft Entra IDの説明では、既定で利用者は管理者の同意を要しない権限のアプリに同意でき、悪意のあるアプリに対するリスクを下げるため、検証済みの発行元のアプリに限ることが勧められています。

事業者の変更にも目を配ります。IPAの10大脅威 2026の解説書は、クラウドの利用で追加する対策として、選定前の事前調査、責任範囲の理解、停止時の代替案、更新情報を確かめて意図せず変わった設定を直すことを挙げています。お知らせメールの受信者を担当者1人⁠にせず、共有のアドレスにします。

退職者の管理：申請を待たずに動かす

総務省のガイドブックは、退職者から設定の変更や削除の申請が来ることは少なく、人事部門と情報システム部門の連携が必要だと述べています。消し忘れれば、現役時代の権限で機密情報に入れる状態が残ります。逆に、管理者だった人の情報が分からず業務が止まることもあります。

人事の退職情報を起点に、次の一覧で進めます。

消す順番はサービスごとに確かめます。Microsoft 365の説明では、ユーザーを削除すると既定でマネージャーにOneDriveへのアクセスが渡り、既定で30日間ファイルをダウンロードできます。Google Workspaceでは、ユーザーの削除時にファイルのオーナーを移管できます。

サービスが10を超えてくると、この一覧を手で回すのは大変です。入口を1つ⁠にまとめるIDaaSの製品比較を見ると、止める作業をどこまで減らせるかが分かります。IDaaSにつないでいないSaaSは別に残るので、一覧はなくしません。

製造業の場合：協力会社のアカウントを忘れない

たとえば、部品メーカーが受発注や図面の共有にSaaSを使い、協力工場の担当者にもアカウントを渡している場合を考えます。社員は人事の情報で追えますが、協力工場の担当者の退職は自社に届きません。

ここは取引の担当者の仕事にします。半年に1度、協力工場へ利用者の一覧を送って確かめてもらい、不要なアカウントを止めます。共用のIDを渡している場合は、誰が操作したかを追えないので、1人ずつのIDへ切り替えます。

2027年3月⁠に受付開始予定のSCS評価制度は、クラウド環境で運用するIT基盤も対象としています。取引先から管理の状況を聞かれたときも、この一覧がそのまま答えの材料になります。

手で回らなくなったら使う製品

一覧と棚卸しが回らなくなったら、製品で補います。総務省のガイドブックの整理では、CASBはクラウドの利用状況を可視化するもの、SSPMはSaaSの設定や状況を管理するものです。

• 社員が何を使っているか分からない：CASBの製品比較
• 使っているSaaSの設定を点検したい：SSPMの製品比較

同じガイドブックは、SSPMが日本のSaaSには対応していないこともあると述べています（2024年4月時点）⁠。候補を比べるときは、自社が使うSaaSに対応しているかを最初に確かめます。

社員が個人のサービスを使っている場合は無料クラウドストレージの利用を止める手順⁠、AWSなどの基盤を使う会社はAWSで最初に確かめる設定⁠を見てください。クラウド全般はクラウドのセキュリティのカテゴリ⁠で整理しています。