近年、企業の業務システムとしてSaaS（Software as a Service）の利用が急速に増えています。

メール、チャット、オンラインストレージ、会計、顧客管理、営業管理、勤怠管理など、企業活動のさまざまな場面でSaaSが利用されています。

SaaSは、自社でサーバーを構築・運用する必要がなく、短期間で導入できるという大きなメリットがあります。一方で、SaaSに保存した情報が漏洩した場合、顧客情報や従業員情報、営業機密などが外部に流出する可能性があります。

IPA（情報処理推進機構）も、SaaSの導入時にセキュリティリスクの検討が十分でなかったり、運用中の設定変更や脆弱性への対応が行われなかったりすることで、サプライチェーン上のリスクが高まると指摘しています。

では、SaaSでは具体的にどのような行為が「情報漏洩」につながるのでしょうか。

本記事では、SaaSを利用する企業が注意すべき代表的な事例と対策について解説します。

アクセス権限の設定ミス

SaaSで特に注意したいのが、アクセス権限の設定ミスです。

例えば、社内だけで共有する予定だったファイルを「リンクを知っている人なら誰でも閲覧可能」という設定にしてしまうケースがあります。

Google Driveなどのオンラインストレージだけでなく、社内Wiki、プロジェクト管理ツール、顧客管理システムなどでも同様の問題が発生する可能性があります。

本来は、

「営業部だけが閲覧可能」

「管理者だけが編集可能」

「特定の顧客情報には担当者だけがアクセス可能」

といった制限が必要だったにもかかわらず、誤った設定によって社内の広範囲に公開されてしまうことがあります。

さらに危険なのが、設定ミスに気づかないまま長期間放置してしまうことです。

SaaSでは導入時だけでなく、運用中も設定を確認する必要があります。IPAも、利用者側の設定ミスへの対策として、安全な利用方法や責任分界点、セキュアな設定方法を利用者に周知する必要性を指摘しています。

退職者のアカウントを削除しない

従業員が退職したにもかかわらず、SaaSのアカウントを削除しないことも情報漏洩につながります。

例えば、退職した従業員が、

・社内の顧客情報

・営業資料

・契約書

・社内マニュアル

・プロジェクト情報

などにアクセスできる状態が残っていると、重大な情報漏洩につながる可能性があります。

特に問題なのが、企業が複数のSaaSを利用している場合です。

一つのサービスではアカウントを削除していても、別のサービスではアカウントが残っているというケースがあります。

そのため、従業員の入社・異動・退職に合わせて、利用しているSaaSのアカウントや権限を確認する仕組みが必要です。

パスワードの使い回し

SaaSのアカウントで同じパスワードを複数のサービスに使い回すことも危険です。

例えば、あるSaaSからメールアドレスとパスワードが流出した場合、その情報を使って別のサービスにも不正ログインされる可能性があります。

さらに、管理者アカウントが乗っ取られると、一般ユーザーのアカウントよりも大きな被害につながります。

対策としては、サービスごとに異なるパスワードを使用し、多要素認証（MFA）を利用することが重要です。

特にSaaSの管理者アカウントについては、可能な限り多要素認証を必須にすることが望ましいでしょう。

誤ったメール送信やファイル共有

情報漏洩というと、ハッカーによる攻撃をイメージする人が多いかもしれません。

しかし、実際には人間の操作ミスも大きなリスクです。

例えば、

「A社に送るはずの資料をB社に送ってしまった」

「顧客一覧を誤って社外共有してしまった」

「メールの宛先を間違えた」

「個人情報を含むファイルを公開リンクにしてしまった」

といった事故です。

SaaSは簡単に情報を共有できる反面、「共有しやすい」という特徴が情報漏洩の原因になることがあります。

重要な情報を共有する際には、宛先、共有範囲、ファイルの内容を確認するルールを設けることが重要です。

生成AIへの機密情報の入力

最近では、ChatGPTなどの生成AIを業務で利用する企業も増えています。

ここで注意したいのが、SaaSや生成AIに入力する情報です。

例えば、

「この顧客一覧を分析してください」

「この契約書を要約してください」

「このソースコードのバグを調査してください」

という目的で、顧客情報や社内機密、ソースコードなどをそのままAIサービスに入力すると、情報管理上の問題になる可能性があります。

生成AIを利用する場合は、利用しているサービスの契約内容やデータの取り扱い、管理者向け設定などを確認し、会社として「AIに入力してよい情報・入力してはいけない情報」を明確にする必要があります。

SaaS連携による情報漏洩

SaaSでは、別のサービスとのAPI連携が便利です。

例えば、

顧客管理システム → メール配信サービス

会計システム → 銀行サービス

ECサイト → 在庫管理システム

というように、複数のサービスを接続できます。

しかし、連携するサービスが増えるほど、情報が流れる経路も増えます。

一つのサービスが侵害された場合、連携先の情報まで影響を受ける可能性があります。

また、APIキーやアクセストークンが漏洩すると、不正なAPIアクセスにつながる可能性があります。

そのため、APIキーはソースコードに直接記述せず、適切な秘密情報管理を行うことが重要です。

シャドーITによる情報漏洩

企業が把握していないSaaSを従業員が勝手に利用する「シャドーIT」も大きな問題です。

例えば、

「便利だからこのファイル共有サービスを使おう」

「この無料のAIサービスで資料を要約しよう」

「この無料ツールに顧客情報をアップロードしよう」

といった行動です。

会社が契約していないサービスであれば、企業側がセキュリティ設定やデータ管理を確認できない場合があります。

IPAの調査でも、組織として正式な導入手順を踏まず、部門などが独自判断でSaaSを導入するシャドーITが問題として指摘されています。

便利なサービスだからといって自由に使うのではなく、「業務で利用してよいSaaS」を会社として管理することが重要です。

SaaS事業者側のセキュリティ事故

SaaSの情報漏洩は、利用企業のミスだけで発生するわけではありません。

SaaS事業者自身がサイバー攻撃を受けたり、脆弱性を悪用されたりする可能性もあります。

この場合、利用企業がどれだけ注意していても影響を受ける可能性があります。

だからこそ、SaaSを導入するときには「機能が便利か」だけではなく、事業者のセキュリティ対策も確認することが重要です。

例えば、

・ISMSなどの認証取得状況

・データの暗号化

・多要素認証

・アクセスログ

・脆弱性対応

・バックアップ

・障害時の対応

・インシデント発生時の通知

・データの保存場所

・サービス終了時のデータ削除

などを確認します。

クラウドでは、すべてのセキュリティ対策をSaaS事業者に任せられるわけではありません。事業者と利用者がそれぞれ責任を分担する「責任共有モデル」の考え方が重要です。

「SaaSだから安全」と考えない

SaaSを利用すると、自社でサーバーを管理する必要がなくなります。

しかし、

「SaaSだからセキュリティは万全」

という考え方は危険です。

クラウドサービスでは、事業者に委ねられる部分がある一方、利用者自身が管理しなければならない部分もあります。

IPAも、クラウドでは利用者が直接管理できないセキュリティ対策があるため、サービスにどのような対策が施されているのか確認する必要があると説明しています。

つまり、

SaaSを契約することと、セキュリティ対策が完了することは別です。

利用企業側にも、アカウント管理、権限管理、設定確認、従業員教育などの責任があります。

SaaS導入前に確認したいポイント

新しいSaaSを導入するときは、価格や機能だけで判断しないことが重要です。

最低限、次の項目を確認するとよいでしょう。

セキュリティに関する確認

・どのような認証方式に対応しているか

・多要素認証を利用できるか

・アクセスログを確認できるか

・データは暗号化されているか

・脆弱性への対応体制はあるか

・セキュリティインシデント発生時の連絡方法はどうなっているか

データに関する確認

・どのような情報を保存するのか

・データはどこに保存されるのか

・バックアップは行われているか

・サービス終了時にデータを削除できるか

・データをエクスポートできるか

利用者側の確認

・誰が管理者なのか

・ユーザーの追加・削除ルールはあるか

・退職者のアカウントをどう処理するか

・権限を定期的に見直しているか

・利用しているSaaSを一覧で管理しているか

こうした確認を行うことで、SaaS利用に伴うリスクを減らすことができます。

情報漏洩が発生した場合に備える

どれだけ対策していても、情報漏洩を完全になくすことはできません。

重要なのは、事故が起きたときに迅速に対応できる体制を作っておくことです。

例えば、

「誰に報告するのか」

「SaaS事業者へどう連絡するのか」

「対象となるデータをどう特定するのか」

「アカウントをどう停止するのか」

「顧客への連絡は誰が行うのか」

といった手順をあらかじめ決めておきます。

個人情報を含む事故の場合には、個人情報保護法上の対応が必要になる可能性もあります。個人情報保護委員会は、漏えい等が発生した場合の対応や安全管理措置について情報を公開しています。

そのため、単に「パスワードを変更すれば終わり」と考えるのではなく、影響範囲の確認や関係者への報告などを含めたインシデント対応計画を準備しておくことが重要です。

まとめ

SaaSは、企業の業務を効率化する非常に便利なサービスです。

しかし、利用するSaaSが増えるほど、情報が保存される場所や情報の流れも増えていきます。

特に注意したいのは、

アクセス権限の設定ミス

退職者アカウントの放置

パスワードの使い回し

誤送信・誤共有

生成AIへの機密情報入力

API連携による情報流出

シャドーIT

SaaS事業者側のセキュリティ事故

などです。

SaaSのセキュリティを考えるときに重要なのは、「サービスを導入したから安全」ではなく、事業者と利用者それぞれがどの範囲を管理するのかを理解することです。

また、SaaSを選定するときには、料金や機能だけではなく、認証、権限管理、ログ、暗号化、バックアップ、障害対応、インシデント発生時の連絡体制なども確認する必要があります。

IPAもSaaSについて、事業者によるセキュリティ情報の開示と、利用者側への安全な利用方法の周知が重要だとしています。

これから企業のSaaS利用はさらに増えていくでしょう。

だからこそ、「便利だから使う」のではなく、「どの情報を、誰が、どこまで管理するのか」を明確にした上で利用することが、SaaS時代の情報漏洩対策において重要になります。