SaaS の管理

SaaS は申し込めばすぐ使えますが、一度広まると簡単にはやめられません。機能と値段だけでなく、安全に管理できるか・やめるときに困らないかまで確かめてから入れます。

導入が決まったら、台帳（SaaS 名・持ち主・管理者・契約の期限・扱うデータ・SSO の有無）に載せます。この台帳が、ライセンスの管理や退職時の手続き、棚卸しのもとになります。

多くの会社は、確認項目を並べたセキュリティチェックシートを用意して、導入の前にベンダーに答えてもらいます。項目が多すぎると答えが返ってこないので、扱うデータの重要さで質問の量を変えます（社外秘を入れないツールなら簡単な確認だけ）。第三者の認証や報告書があれば、それで多くの項目を代えられます。答えの中で「できない」とされた点は、リスクとして記録し、受け入れるか対策するかを業務の責任者と決めます。

チェックシートの答えは1回で終わりにせず、重要な SaaS は年に一度など定期的に見直します。第三者の報告書には期限があるので、新しいものを受け取ります。

SaaS の費用は人数で増えるものが多く、気づくと会社の IT の費用のかなりを占めます。使われていないアカウントと気づかない自動更新が、むだの主な原因です。

利用状況の把握

• 各 SaaS の管理画面か API で、アカウントごとの最終ログインを見ます。IdP の SSO のログからも、どの SaaS に誰がいつ入ったかが分かります。
• 「90日ログインがない」人を一覧にし、本人と部署に確認してから外します。上位のプランを付けている人が上位の機能を使っているかも確かめます。
• SaaS が多い会社では、SaaS 管理ツール（SMP）でアカウント・費用・更新日をまとめて見る方法もあります。
• 経費精算やカードの明細に出てくる SaaS も確認します。情シスを通らずに契約されたものが見つかります。

下の DB ラボで、SaaS のアカウントと在籍名簿・最終ログインを突き合わせる SQL を試せます。

契約は更新日の60〜90日前に見直しの予定を入れます。自動更新の契約は、解約の通知の期限（例：30日前まで）を過ぎると1年分が確定するからです。

交渉の材料は、実際の利用人数と利用の実績、同じ目的のほかの製品の見積もり、契約の期間です。数字をそろえておくと、値上げの幅を抑えたり、使わない機能を外したりしやすくなります。

シャドー ITは、情シスが把握していない SaaS・アプリ・端末を業務に使うことです。悪意より「早く仕事を進めたい」から起きることがほとんどです。困るのは、会社のデータが管理の外に置かれること、退職しても止められないこと、セキュリティの確認をしていないことです。

見つけ方

ルールと代替手段

禁止だけでは見えないところに隠れるだけです。次の3つをそろえます。

• 使ってよいものの一覧：目的ごとに承認済みの SaaS を示す（「ファイル共有はこれ」「図はこれ」）。
• 申請しやすくする：短いフォームで申請でき、扱うデータが軽いものは数日で答える。データの区分ごとに確認の重さを変える。
• 技術でのガードレール：会社のアカウントで連携できるアプリを管理者の許可制にする、明らかに危ないサービスは Web フィルタで止める。

見つけたシャドー IT は、責めずに事情を聞き、必要なものは正式に導入し、代わりがあるものは移行を手伝います。生成 AI の個人利用（シャドー AI）も同じ考え方です。

AI 利用のルールとリスク対策