はじめに：なぜ今、AIによるSaaSリスク分析が必要なのか

企業が利用するSaaSの種類は増加の一途をたどり、情報システム部門（情シス）が全容を把握することは難しくなっています。IPA（情報処理推進機構）が発表した「情報セキュリティ10大脅威2026」では、「AIの利用をめぐるサイバーリスク」が組織向け脅威の第3位に初めてランクインしました。SaaS環境の複雑化とAI活用の急速な拡大が重なり、従来の手動によるリスク評価では対応が追いつかない状況が生まれています。

本記事では、AIを活用してSaaSのリスクを効率的に分析・可視化する手法と、情シス担当者が実務に落とし込むための具体的なステップを解説します。現状の課題整理から評価チェックリスト、実際の導入効果まで、実務に直接役立てられる情報をお伝えします。

SaaSリスクの現状：情シスが直面する3つの課題

社内で利用するSaaSが数十種類から数百種類規模に増えた現在、情シス担当者が現場で実際に直面している課題を3点に整理します。

課題1：シャドーITの急増とシャドーAIの台頭

従業員が情シスの承認を得ずに導入したSaaSを「シャドーIT」と呼びますが、近年はさらに深刻な問題として「シャドーAI」が顕在化しています。LayerXが公表した「Enterprise GenAI Security Report 2025」によると、AI SaaSアプリケーションへのログインの約90%が、個人アカウントまたはSSO以外の法人アカウント経由で行われていることが判明しています。また、従業員の約18%が生成AIツールに企業の機密情報を入力しているという実態も明らかになりました。

さらに問題なのは、役職が高いほどリスクが大きくなる点です。課長・部長クラスの管理職に限ると、シャドーAIに「顧客データ」や「契約書」を入力する割合は37.5%に達しており、一般社員（18.8%）の約2倍に上ります。職位が高い分、機密情報へのアクセス権限も大きく、万が一の情報漏洩時の被害規模も拡大しやすい傾向にあります。

参考：シャドーAI対策AI | Josys

課題2：SaaS間連携が引き起こす連鎖的なインシデントリスク

複数のSaaSをAPI連携や自動化ワークフローで接続する構成が一般的になった結果、一つのサービスで起きたインシデントが他のサービスへ連鎖する「ドミノ型被害」が増加しています。長期間有効なAPIトークンや過剰な権限付与が放置されている環境では、攻撃者が一点を突破するだけで、複数のSaaSのデータに横断的にアクセスできる状態になりかねません。

SaaS間の依存関係は複雑になる一方で、その全容を把握しているIT担当者は多くはありません。特に、各部署が個別に構築した自動化フローについては、情シスが把握できていないケースが多く見られます。

課題3：手動評価では処理が追いつかない

従来、SaaSの導入審査はセキュリティチェックシートをベンダーに送付し、その回答を担当者が目視で確認する手順が一般的でした。しかし、社内のSaaSが数十種類・数百種類規模になった現在、この手法では現実的に対応が難しくなっています。チェックシートへの回答に数週間かかるケースもあり、事業部門の「すぐに使いたい」というニーズに対して情シスがボトルネックになるという問題も生じています。

参考：不安なくSaaSを利用するためのリスク評価方法と最適解 - Assured

AIによるSaaSリスク分析とは？従来手法との違い

AIを活用したSaaSリスク分析とは、人工知能・機械学習の技術を用いてSaaSのリスクを自動的に評価・スコアリングし、情シス担当者の判断を支援する仕組みです。従来の手動評価との違いを以下の表で整理します。

AIによる分析では、各SaaSの公開情報（セキュリティポリシー、コンプライアンス認証、データ処理規約など）を自動収集し、セキュリティスコアやリスクレベル（低・中・高）を自動でスコアリングします。そのSaaSが第三者の生成AIベンダーとデータを共有しているかどうか、顧客データをAIモデルの学習に使用しているかという観点も評価対象に含めることができます。

関連記事：シャドーITリスクを包括的なSaaS管理で軽減 | Josys

AIを活用したSaaSリスク分析の主な手法

AIによるSaaSリスク分析には、複数の技術的アプローチがあります。情シスの実務に即した代表的な4つの手法を解説します。

手法1：認証ログ解析によるシャドーIT自動検出

Google WorkspaceやMicrosoft Azure ADの認証ログをAIが解析し、未承認のSaaSへのアクセスを自動的に検出する手法です。従業員がどのSaaSに、どのアカウントで、どの頻度でアクセスしているかをリアルタイムに把握できます。

この手法の特徴は「継続的な検出」が可能な点です。定期的な棚卸しを待たずに常時監視できるため、新たなSaaSが使われ始めた段階で即座に検知できます。シャドーITが長期間放置されるリスクを大幅に低減します。

手法2：AIによるリスクスコアリング

各SaaSを評価する際に、公開情報・ベンダー固有の属性・第三者評価データを組み合わせてリスクスコアとリスクレベルを自動算出する手法です。評価項目には以下が含まれます。

• SSO（シングルサインオン）対応の有無
• SOC 2・ISO 27001などのコンプライアンス認証取得状況
• データ保護ポリシーの内容
• 生成AIベンダーへのデータ提供状況
• 過去のセキュリティインシデント履歴

Netskope社のCloud Confidence Index（CCI）のような業界標準データベースを活用したシステムでは、14,500種類以上のアプリケーションに対してリスク評価が提供されており、情シスが個別に調査する工数を大幅に削減できます。

参考：もう従来基準では防げない、生成AI搭載SaaSのセキュリティリスク - majisemi

手法3：生成AIを活用したセキュリティ対策状況の自動分析

SaaSベンダーのウェブサイトや公開文書から、セキュリティ対策の実施状況を生成AIが自動収集・分析する手法です。従来は担当者が個別にベンダーサイトを確認していた作業が自動化されます。

セキュリティ評価プラットフォーム「Assured」は、クラウドサービス事業者が公開しているセキュリティ対策情報を集約し、特に注意すべき点をAIが自動で分析・抽出する機能を提供しています。3,000件以上のSaaS評価データを蓄積しており、生成AIを搭載したサービスの利用動向やセキュリティ対策の実態を把握するうえで参考になります。

参考：セキュリティ評価プラットフォーム「Assured」 AIによるセキュリティ対策状況分析機能

手法4：アクセス権限のAI分析と異常検知

ユーザーのアクセスパターンをAIが学習し、通常とは異なる行動（大量ダウンロード、深夜のアクセス、普段使わない機能の利用など）を自動検知する手法です。退職予定者の情報持ち出しや、不正アクセスのリスクを早期に発見するために有効です。

ユーザーとアクセス権限の関係をAIが分析し、利用パターンに基づいたアクセスポリシーを自動生成する機能を持つシステムでは、ポリシーに反するアクセスを検知した際に自動でアラートを発出し、場合によってはアクセスを自動遮断することも可能です。

情シスが実践すべきSaaSリスク分析の5ステップ

AIを活用したSaaSリスク分析を実務で運用するための具体的な手順を、5つのステップで解説します。

ステップ1：SaaSの全量可視化

まず、社内で利用されているSaaSをすべて把握することから始めます。認証ログを解析することで、情シスが把握していない未承認のSaaSを含めた全量を可視化します。

ここで重要なのは、「承認済みSaaSの一覧を管理しているから十分」という思い込みを排除することです。実際には、承認済みリストの2〜3倍の種類のSaaSが社内で使われているケースが多く見られます。可視化の際に確認すべき情報は以下の通りです。

• 利用しているSaaSの名称・カテゴリ
• 利用している従業員数・部署
• 使用アカウントの種類（個人アカウント・法人アカウント・SSO連携）
• 最終アクセス日時
• 他のSaaSとのAPI連携の有無

ステップ2：リスク評価基準の設定

全量把握が済んだら、自社のリスク許容度に合わせた評価基準を設定します。ISO 27001のリスクアセスメント手順に基づき、「発生可能性」と「影響度」の2軸でリスクを評価するのが一般的な方法です。

AIによるリスクスコアリングを活用する場合は、スコアの閾値を自社の基準に合わせて設定します。「リスクスコア70以上のSaaSは即座に利用禁止審査を実施」「リスクスコア40〜69は利用条件の整備を求める」といったルールを事前に定めておくことで、担当者が個別判断する工数を削減できます。

参考：ISMSのリスクアセスメントとは？手順と実務ポイント - 認証パートナー

ステップ3：リスクの優先順位付けと対処

リスクスコアと利用状況を掛け合わせて、対処の優先順位を決めます。リスクが高くても利用者がほぼゼロのSaaSと、リスクはやや高めでも全社で広く使われているSaaSでは、対処の緊急度が異なります。以下のマトリクスが判断基準として有効です。

ステップ4：ポリシーの整備と従業員教育

技術的な対処と並行して、SaaS利用に関するポリシーの整備と従業員への周知が必要です。AIがリスクを検出しても、従業員がリスクの意味を理解していなければ同様の問題が繰り返されます。ポリシーに盛り込むべき主な内容は以下の通りです。

• 承認申請のプロセスと所要時間の目安
• 個人アカウントでのSaaS利用禁止
• 生成AIツールへの機密情報・顧客データ入力の禁止
• SaaS連携（API連携）申請のルール
• 違反が発覚した場合の対処フロー

ステップ5：継続的なモニタリングと定期レビュー

SaaSリスク分析は一度実施して終わりではなく、継続的なモニタリングが不可欠です。AIを活用したシステムでは、新たなSaaSの検出や既存SaaSのリスクスコア変動をリアルタイムで追跡し、担当者に通知する仕組みを構築できます。

実務的な運用としては、月次でのサマリーレポート確認と、四半期ごとの全量棚卸しを組み合わせる方法が現実的です。SaaS利用の変化が速い組織では、週次でのサマリー確認を加えることも検討してください。

Josys AIが実現するSaaSリスク分析の自動化

Josysは、AIを活用したSaaS管理プラットフォームとして、シャドーITの検出からリスクスコアリング、ポリシー適用の自動化までを一元的に提供しています。

SaaS Risk Analyzerによる自動スコアリング

Josysが提供する「SaaS Risk Analyzer」は、検出したすべてのアプリケーションに対してセキュリティスコア（0〜100）とリスクレベル（低・中・高）を自動付与します。評価には公開情報・オープンソースデータ・ベンダー固有の属性が活用されており、以下の観点が含まれます。

• 利用可能なSSOインテグレーションの有無
• コンプライアンス認証の取得状況（SOC 2、ISO 27001など）
• データ保護ポリシーの内容
• 第三者生成AIベンダーへのデータ提供状況
• 顧客データをAIモデルの学習に使用しているかどうか

情シスはベンダーへの個別問い合わせなしに、各SaaSのリスクプロファイルをダッシュボードで一覧確認できます。担当者のスキルや経験に依存しない、標準化されたリスク評価の仕組みを実現します。

参考：New SaaS Risk Analyzer & Identity Automation | Josys

シャドーIT・シャドーAIの自動検出

JosysはGoogle WorkspaceまたはMicrosoft Azureの監査ログを解析し、Josysと連携していない未承認のアプリをすべて自動で検出します。未管理のユーザーやアプリを特定し、セキュリティリスクが高いアプリケーションをアラートで担当者に通知します。

特に、従業員が業務で使用している生成AIツールをすべて特定し、分類・評価した上で適切な対処を自動実施する「シャドーAI対策」機能を搭載しています。情シスが最も把握しにくかった生成AIツールの利用実態を正確に可視化できます。

アクセス権限のAI分析と自動ポリシー適用

ユーザーのアクセス権限と実際の利用パターンをAIが分析し、最小権限の原則に基づいたアクセスポリシーを自動生成します。ポリシーに反するアクセスを検知した場合は自動でアラートを発出し、迅速な修正を可能にします。退職・異動・役職変更に伴うアカウント管理の自動化も実現し、権限の放置（幽霊アカウント問題）を解消します。

Josysのリスク分析機能の詳細は、以下の資料でご確認いただけます。

Josys資料ダウンロード（5分でわかるJosys）

SaaSリスク分析で押さえるべき評価項目チェックリスト

情シスがSaaSを評価する際の主要な確認項目を整理します。AIによる自動評価でも同様の観点がスコアリングに活用されています。自社でのチェックシート運用にもそのまま活用できます。

セキュリティ・認証

• SSO（シングルサインオン）への対応有無
• 多要素認証（MFA）の強制設定が可能かどうか
• セッション管理・タイムアウト設定の有無
• 特権アカウントの管理機能

コンプライアンス・認証取得

• SOC 2 Type IIの取得有無
• ISO 27001認証の取得有無
• GDPR・個人情報保護法への対応状況
• 国内データセンターの利用有無（必要な場合）

データ管理・生成AI連携

• 顧客データの第三者提供に関するポリシー
• 生成AIモデルの学習へのデータ利用可否
• データの暗号化方式（保存時・転送時）
• データ削除・エクスポートの手続きの明確性

可用性・サポート

• SLAの内容（稼働率保証の水準）
• インシデント発生時の通知・対応ポリシー
• サポート窓口の日本語対応有無
• 過去12ヶ月のインシデント履歴の開示有無

契約・ベンダー管理

• 利用規約・プライバシーポリシーの最終更新日
• 再委託先（サブプロセッサ）の開示有無
• 解約・データ移行に関する条件
• 価格変更の事前通知ルール

参考：SaaS調達/選定用 セキュリティチェックシートテンプレート - セキュリティ対策Lab

AIによるSaaSリスク分析の導入効果

AIを活用したSaaSリスク分析を導入することで、情シスが得られる具体的な効果を4点に整理します。

評価工数の大幅な削減

従来、1種類のSaaSのセキュリティ評価には担当者が数時間から数日を費やすことがありました。AIによる自動スコアリングを導入することで、業務工数を50%以下に削減した事例があります。評価にかかる時間の短縮は、事業部門のSaaS導入申請に対する回答速度の改善にも直結します。

参考：Conoris セキュリティチェック支援

シャドーITの発見率向上

定期的な手動棚卸しでは見逃しやすかったシャドーITを、認証ログの継続解析によって早期に発見できます。JosysのシャドーIT検出機能を導入した企業では、情シスが把握していなかった未承認SaaSが複数発見され、セキュリティポリシーの見直しにつながった事例が報告されています。

リスク対応の迅速化

AIによるリアルタイム監視とアラートにより、高リスクなSaaSの利用を検知してから対処するまでのリードタイムを短縮できます。月次・四半期ごとの棚卸しサイクルを待たずに対処できるため、インシデントリスクの低減に貢献します。

コスト最適化との相乗効果

リスク分析と並行して、重複SaaSライセンスや未使用ライセンスの特定も可能です。セキュリティ強化とコスト削減を同時に実現できる点は、経営層への説明においても有効な訴求ポイントになります。

Josysの具体的な機能や操作感は、無料デモでご確認いただけます。

Josys無料デモを申し込む

SaaSリスク分析に関するよくある質問

AIによるリスクスコアリングはどの程度信頼できますか？

AIによるリスクスコアリングは、公開情報とデータベースを基にした客観的な評価であり、担当者による個人差なく一貫した基準で評価できる点が強みです。ただし、スコアはあくまで参考指標であり、最終的な承認判断は情シス担当者が行う必要があります。自社の業務特性やデータの機密度に応じてスコアの解釈を調整することが重要です。

既存のセキュリティチェックシート運用と併用できますか？

AIによる自動評価とセキュリティチェックシートは補完関係にあります。AIスコアリングでリスクが高いと判定されたSaaSに対して重点的にチェックシートを要求するなど、優先度付けにAIを活用することで、全体の運用効率を高められます。

生成AIツールのリスクはどのように評価すればよいですか？

生成AIツールの評価では、通常のSaaSの評価項目に加えて「顧客データをAIモデルの学習に使用するか」「企業向けプランでのデータ分離の有無」「ログイン情報の入力制限があるか」を重点的に確認します。JosysのSaaS Risk Analyzerでは、各アプリの生成AIベンダーへのデータ共有状況を自動で評価する機能を備えています。

少人数の情シスチームでも導入できますか？

AIによるSaaSリスク分析ツールは、専任のセキュリティエンジニアがいない少人数の情シスチームでも活用できるように設計されています。自動スコアリングとアラート機能により、担当者が全SaaSを個別確認する必要がなく、対応が必要な重要案件に集中できます。

まとめ

本記事では、AIを活用したSaaSリスク分析の手法・手順・導入効果について解説しました。要点を以下に整理します。

• 企業が利用するSaaSの増加とシャドーAIの台頭により、手動によるリスク評価は対応が難しくなっています
• AIによる認証ログ解析・リスクスコアリング・異常検知を組み合わせることで、継続的かつ効率的なSaaSリスク管理が実現します
• 実践的な手順は「可視化→評価基準設定→優先順位付け→ポリシー整備→継続モニタリング」の5ステップです
• 評価項目はセキュリティ・コンプライアンス・データ管理・生成AI連携の4領域を網羅することが重要です
• JosysのSaaS Risk Analyzerは、シャドーIT検出・自動スコアリング・ポリシー自動適用を一元化します

SaaSリスク分析の第一歩として、まず社内で利用されているSaaSの全量を可視化することをお勧めします。Josysでは、認証ログの解析によるシャドーIT検出から、AIを活用したリスクスコアリングまでを一つのプラットフォームで提供しています。

Josysの資料をダウンロードして詳細を確認する