情報システム・IT管理 SaaSカオスマップ｜SaaSを管理するSaaSの地図

経理には会計ソフト、労務には人事労務システム、日々の連絡にはチャットツール。業務を効率化するために、企業は次々とクラウドサービスを導入してきました。気づけば、1社で数十個のSaaSを契約していることも珍しくありません。

便利になったはずです。しかし、ここで一つの疑念が浮かびます。辞めた社員のアカウントは、すべて確実に消去されているでしょうか。

SaaSが増えすぎた結果、「誰がどのサービスを使っているのか」「毎月いくら支払っているのか」、そして「退職者のアカウントが放置されていないか」が分からなくなります。この管理の死角を塞ぐために登場したのが、「SaaSを管理するためのSaaS」です。無秩序に増殖したクラウド環境を、どうすれば再び統制できるのか。本稿では、情報システム・IT管理領域のツール群を3つのエリアに分け、その役割と導入の優先順位を追っていきます。

SaaS増殖がもたらす3つの死角

クラウドサービスは、部門ごとに手軽に導入できます。それ自体はよいことのように思えます。しかし、全社的な管理が追いつかないまま数が増えると、企業は3つの問題に直面します。

• 誰がどのSaaSを使っているか分からない
• 毎月いくら払っているか把握できていない
• 辞めた人のアカウントが消されずに残っている

使っていないサービスに料金を払い続けるコストの無駄も痛いですが、最も恐ろしいのは3つ目です。退職者のアカウントが残っていれば、社外から機密情報にアクセスできてしまいます。SaaSを導入して業務を便利にした結果、皮肉なことに、それらを統制するための新たな仕組みが必要になっているのです。

SaaS管理エリア ―― 契約とアカウントの棚卸し

地図の1つ目のエリアは、SaaS管理ツールです。これは、誰が、どのSaaSを、いくらで契約しており、アカウントの付与状況が適切かを一元管理する道具です。

代表的な製品として、マネーフォワード Admina（アドミナ）があります。50アカウントまでずっと無料で利用できるため、社員50名以下の中小企業がコストをかけずに管理を始める際の定番となっています。会社が把握していない独自の利用、いわゆるシャドーITを検知する機能にも優れています。

もう一つの代表格が、ジョーシス（Josys）です。日本発でありながら海外にも展開しているプラットフォームで、SaaSのアカウント管理だけでなく、後述するデバイス管理も統合できる点に特徴があります。他にもメタップスクラウドやfreee IT管理など、有力なツールがひしめき合い、競争の激しい領域となっています。

これらのツールに共通する最大の価値は、出入りの自動化です。社員が入社すれば必要なSaaSのアカウントを一括で作成し、退職すれば一括で削除します。この仕組みによって、退職者アカウントの放置という致命的なリスクを防ぐことができます。

ID管理エリア ―― ログインを1つにまとめる

SaaSの利用状況が把握できても、現場の不便はまだ残っています。サービスごとにIDとパスワードがバラバラであることです。覚えきれないパスワードを付箋に書いてモニターに貼るような運用は、セキュリティ事故の典型的な火種となります。

この問題を解決するのが、地図の2つ目のエリアであるIDaaS（アイダース）です。これはIDを管理するクラウドサービスを指します。

IDaaSを導入すると、シングルサインオン（SSO）が可能になります。一度ログインすれば、あとは各SaaSに自動でログインできる仕組みです。玄関の鍵を1つに絞り、その1つを強固に守るという発想です。全SaaSに対して、スマートフォンなどを用いた多要素認証をまとめてかけられるため、利便性と安全性が同時に向上します。

世界的に広く使われているのがOkta（オクタ）です。世界で1万7千社以上が導入している定番ツールです。また、Microsoft 365を導入している企業であれば、Microsoft Entra ID（エントラアイディー）をすでに利用できる状態にあることが多いでしょう。国産ツールではGMOトラスト・ログインが代表的であり、無料プランが用意されているため着手しやすくなっています。

デバイス・セキュリティエリア ―― 端末を守る

SaaSの入り口をどれだけ固めても、アクセスするパソコンやスマートフォン自体がウイルスに感染していては意味がありません。地図の3つ目のエリアは、端末そのものを守るデバイス・セキュリティ管理です。

ここには大きく2種類の道具があります。1つはMDM（モバイルデバイス管理）です。これは会社の端末を遠隔で一括管理する仕組みです。端末を紛失した際に遠隔でロックをかけたり、データを消去したり、必要なアプリを一括でインストールしたりできます。

もう1つはEDRです。端末に入り込んだ不審な動きを検知して止める、いわば見張り番の役割を果たします。従来のウイルス対策ソフトがさらに賢く進化したものと捉えてください。

中小企業において、この領域は専門性の高さから後回しにされがちです。そのため、ジョーシスのようにSaaS管理とデバイス管理を1つのツールにまとめる潮流が生まれています。複数のツールをバラバラに導入する負担を減らす合理的な選択です。

中小企業はどこから手をつけるべきか

これら3つのエリアを同時に整備するのは現実的ではありません。導入には明確な優先順位があります。

第1歩は、SaaS管理ツールによる現状把握です。今、社内で何が使われ、いくら支払われ、誰のアカウントが残っているのか。現在地が分からなければ、有効な対策は打てません。マネーフォワード Adminaのように無料で始められるツールを活用し、まずは実態を可視化します。

第2歩が、ID管理による入り口の統合です。利用しているSaaSが特定できたら、それらのログインを1つにまとめて強固に守ります。GMOトラスト・ログインやMicrosoft Entra IDなどから着手するのが定石となります。そして第3歩として、外部の専門家の力も借りながらデバイス・セキュリティの強化に進みます。

しかし、ツールを選ぶ前に決着をつけておくべき問題があります。この情報システム管理の役割を、社内の誰が担うのかということです。専任の担当者がいない中小企業において、管理の主体を曖昧にしたまま道具だけを入れても機能しません。誰が管理するのかを決めることが、すべての前提となります。

まとめ

SaaSが増えすぎた結果、SaaS自体を管理する仕組みが不可欠になりました。本稿で整理した要点は以下の通りです。

• IT管理は「SaaS管理」「ID管理」「デバイス・セキュリティ管理」の3層からなる
• 導入の優先順位は、SaaS管理による現状把握が最優先。次にID管理でログインを統合する
• ツール導入の前に、社内で誰が管理の役割を担うのかを明確にする必要がある