SaaSの導入数が増えれば増えるほど、コンプライアンス対応の負担は静かに積み上がっていきます。「退職者のアカウントをどこまで削除したか自信が持てない」「ISMS審査で全SaaS一覧を求められたが、出せるものが半分しかなかった」という経験をお持ちの情シス担当者は少なくないはずです。

SaaSのコンプライアンス対応は、対象が広く、関係する法規制も個人情報保護法・J-SOX・ISMSと重なります。しかし、適切な手順で体制を整えれば、管理の抜け漏れを防ぎながら監査にも耐えうる運用が実現できます。

この記事では、SaaSコンプライアンス対応を体系的に進めるための7ステップを、現場の実務に沿って解説します。「どこから手をつけるべきか」に迷っている方は、ステップ1から順番に読み進めてください。

SaaSコンプライアンスとは何か

SaaSコンプライアンス対応の手順に入る前に、対応すべき要件を整理します。SaaSに関わるコンプライアンスは、法規制・セキュリティ認証・社内ガバナンスの3つの軸で構成されています。

法規制への対応

日本企業がSaaS利用に際して遵守すべき主な法規制は次のとおりです。

個人情報保護法 SaaSで個人データを処理する場合、そのSaaSベンダーが「委託先」に該当するかどうかの判定が必要です。ベンダーが個人データを編集・分析・処理する形で取り扱う場合は委託に当たり、委託先の監督義務が発生します。海外のSaaSベンダーを利用する場合は、外国第三者提供規制への対応も求められます。

J-SOX（金融商品取引法内部統制報告制度） 上場企業と一部の非上場子会社は、財務報告に係る内部統制の整備と評価が義務付けられています。SaaSのアクセス権限管理や変更管理の証跡が、内部統制評価の対象になります。

電子帳簿保存法 2024年1月から義務化された電子帳簿保存法への対応として、電子的に受け取った請求書・領収書を所定の要件に従い保存するシステム設計が必要です。経費精算系SaaSを利用している場合、対応状況の確認が欠かせません。

セキュリティ認証・フレームワーク対応

自社のセキュリティ水準を外部に証明する認証制度への対応も、コンプライアンスの重要な柱です。

これらの認証では、SaaSの管理状況が審査対象として確認されます。

社内ガバナンスへの対応

上場準備（IPO）では投資家・証券会社からの内部統制確認が求められ、ISMS相当の管理体制が事実上の前提条件になります。情報セキュリティポリシーの策定と、SaaS利用に関する社内規程の整備は、ガバナンス対応の起点です。

参考: 総務省「クラウドサービスの安全・信頼性に係る情報開示指針」

なぜSaaSコンプライアンス対応が難しいのか

7ステップに入る前に、対応が難しい構造的な理由を押さえておきます。課題の根本を理解することで、後のステップの優先度判断が明確になります。

SaaSの増加が可視化を困難にする

従業員が業務で使うSaaSの数は、組織規模に関係なく増え続けています。Google アカウントのログイン連携、Slack のサードパーティアプリ、部署単位での独自契約など、あらゆる経路でSaaSは増殖します。情シスが把握しているSaaSが、実際に利用されているSaaSの半分に満たないという状況は珍しくありません。

アカウントライフサイクル管理の工数が線形に増える

SaaSが10本なら退職時の削除作業は10件で済みます。100本になれば100件、しかも連絡先も管理画面も異なります。手作業での管理は、SaaSの数に比例して工数が増え続ける構造になっています。

証跡の取得・保管が手作業では追いつかない

SOC 2やISMSの審査では、「誰が・いつ・何のSaaSに・どの権限でアクセスしていたか」という証跡を即時提示できる状態が求められます。複数のSaaSから個別にログをエクスポートしてExcelで管理する運用は、SaaSの数が増えると現実的でなくなります。ログの保存期間も、多くのエンタープライズ顧客が1年以上を要求しています。

複数の規制が重複して対応を要求する

ISO27001、Pマーク、J-SOX、個人情報保護法への対応が同時に求められる組織では、類似した管理項目（アクセス権限の棚卸し、ベンダー評価など）を複数の認証・規制でそれぞれ実施するケースが生じます。統合的な管理フレームワークを最初に設計しないと、対応工数が膨らみ続けます。

SaaSコンプライアンス対応の7ステップ

体系的に対応を進めるための7ステップを解説します。ステップを順に実行することで、対応の抜け漏れを防ぎながら、継続できる管理体制を構築できます。

ステップ1: 現状把握と全SaaSの棚卸し

あらゆる対応の出発点は「何が使われているかを把握すること」です。把握できていないSaaSはリスクを管理できません。まず全SaaSを網羅的に洗い出します。

情報源1: 経費精算・クレジットカード明細 過去6〜12か月の経費精算データと、コーポレートカードの月次明細を抽出します。SaaS関連の支払いを洗い出すことで、情シスの把握外にある契約を発見できます。

情報源2: SSOのログ Entra ID（Azure AD）のアクセスレビュー、Google WorkspaceのConnected Apps、Okta・OneLoginのSSOログを確認します。従業員がSSOで認証連携しているSaaSが一覧で確認できます。

情報源3: エンドポイントのDNSログ 社給PCのエンドポイント管理ツールやDNSログから、実際にアクセスされているURLを分析します。SSO連携されていないSaaSの利用実態を把握できます。

情報源4: 現場へのヒアリング 各部門のリーダーに「業務でどんなツールを使っているか」を確認します。情シスへの申請がなくても、業務では広く使われているSaaSが見つかります。

棚卸しでは次の情報を記録します。

棚卸しは四半期（3か月）ごとの定期実施を標準運用として設定してください。一度やって終わりにすると、新規導入されたSaaSやシャドーITの把握が追いつかなくなります。

参考: SaaS棚卸し実践ガイド｜情シス365

ステップ2: リスク分類と優先度付け

棚卸しで把握した全SaaSを、コンプライアンスリスクの観点で分類します。すべてのSaaSに同じレベルの対応を行うことは現実的でなく、リスクに応じた優先度付けが管理の効率を左右します。

リスク高のSaaSから順番に、次のステップ（ベンダー評価・利用規程整備・アクセス権限管理）を進めます。全件を一度に対応しようとせず、リスク上位10〜20件から着手するのが現実的です。

ステップ3: SaaSベンダーのセキュリティ評価

個人情報保護法の観点から、個人データを処理するSaaSベンダーに対しては「委託先の監督義務」が発生します。ベンダー選定時および継続利用時に、セキュリティ体制を評価することが法的に求められます。

セキュリティチェックシートを活用して確認すべき主な項目は次のとおりです。

• ISO/IEC 27001、SOC 2 Type2などの第三者認証の取得状況と有効期限
• データの保存場所（国内 / 海外 / 具体的な国）
• 転送時・保存時の暗号化の有無と方式
• アクセスログの保存期間と取得可能な範囲
• インシデント発生時のユーザーへの通知ルールと対応フロー
• 下請け・再委託の有無と管理体制
• サービス終了時のデータ返却・削除の方法

外国に所在するベンダーに個人データを提供する場合は、「外国第三者提供規制」への対応として、本人への情報開示や同意取得が必要になるケースがあります。事前に法務部門と確認してください。

評価の頻度は、新規導入時に必ず実施し、継続利用中のベンダーは年1回の定期評価を標準とします。ベンダーの認証有効期限も台帳に記録し、失効前に再確認できる体制を整えます。

参考: SaaS導入・利用時の個人情報保護法上の注意点｜UNITIS

ステップ4: SaaS利用規程と申請フローの整備

ベンダー評価の仕組みができたら、社内のSaaS利用に関する規程と申請フローを整備します。「情シスに相談なくSaaSを導入してはいけない」というルールを制度として明文化することで、シャドーITの発生を構造的に抑制できます。

SaaS利用規程に含めるべき内容は次のとおりです。

• SaaS導入時の申請・承認フロー（情シスへの申請が必要な範囲の定義）
• 利用許可・不許可のSaaSリスト（ホワイトリスト・ブラックリスト）
• 個人情報・機密情報を取り扱うSaaSの追加要件
• 無料プランの業務利用の可否と条件
• 個人契約SaaSの業務利用の可否
• 違反時の対応フロー（警告・アカウント停止など）

申請フローの設計でよくある失敗は、承認ステップを複雑にしすぎることです。申請から承認まで2週間かかる運用では、現場担当者がルールを迂回してシャドーITを導入するリスクが高まります。申請から承認まで5営業日以内を目標に、情シスの判断基準を事前に明文化して判断を迅速化します。

申請フォームに最低限含める情報は次のとおりです。

• 申請部署・申請者名
• SaaS名と用途
• 利用予定人数
• 個人情報の取り扱い有無
• 月額コスト（概算）
• 類似ツールの検討状況

ステップ5: アクセス権限管理の標準化

SaaSコンプライアンス対応の中で最も継続的な工数がかかるのが、アクセス権限管理です。従業員の入社・異動・退職のたびに、複数のSaaSのアカウントを適切に管理する必要があります。

‍権限設計の基本原則

「最小権限の原則（Principle of Least Privilege）」を適用します。各従業員が業務に必要な最低限の権限のみを付与し、不要な権限は付与しないという設計思想です。SOC 2やISMSの審査でも、最小権限の原則の実施状況が確認されます。

入社時のフロー 人事システムに従業員情報が登録されたタイミングで、所属部署・役職に応じたSaaSアカウントを発行します。部署別の標準権限セットをテンプレートとして用意しておくと、発行作業の精度と速度が上がります。

退職時のフロー 退職日に全SaaSのアカウントを停止・削除します。「退職後もアカウントが残っていた」という状態を防ぐには、退職処理のチェックリストをSaaS単位で作成し、実施後に記録を残す運用が必要です。チェックリストには、対応者名・実施日・確認方法を記録します。

定期的な権限レビュー（アクセスレビュー） すでに付与されているアクセス権限が適切かどうかを定期的に確認します。ISMSでは年1回以上のアクセスレビューが求められています。確認すべき主な対象は次のとおりです。

• 管理者権限を持つアカウントの一覧確認
• 長期間ログインがないアカウントの特定
• 異動後も旧部署の権限が残っていないかの確認
• 退職者アカウントが完全に削除されているかの確認

アクセスレビューの実施記録は証跡として保管し、監査時に提示できる状態を維持します。

ステップ6: 監査・審査への対応準備

ISO27001、SOC 2、Pマーク、J-SOXなどの外部審査に向けた準備として、監査証跡の整備と文書管理の体制を構築します。

監査で求められる証跡の種類

ExcelやSharePointで管理する場合は、バージョン管理と変更履歴の保存ルールを事前に定めます。変更記録がなければ「いつ誰が変更したか」が証明できず、審査で指摘されます。

審査前に確認すべきチェックポイント

• 全SaaSの台帳が最新の状態に更新されているか
• 退職者のアカウントが全SaaSで削除されているか
• 過去1年分のアクセスレビュー記録が存在するか
• インシデント対応フローが文書化され、訓練を実施済みか
• 主要SaaSのベンダー評価が完了しているか
• 従業員へのセキュリティ教育の実施記録があるか

参考: SOC2 Type2 取得までの道のり｜MC Digital

ステップ7: 継続的なモニタリングと改善サイクルの構築

コンプライアンス対応は一度整備して終わりではありません。SaaSの追加・変更・廃止、従業員の入退社、法規制の改正、セキュリティ脅威の変化に対応するため、継続的なモニタリングと改善サイクルを組み込みます。

モニタリングの主な指標（KPI）

PDCAの運用サイクル 月次でシャドーIT検出数と退職者アカウントの残存状況を確認します。四半期ごとにアクセスレビューを実施し、不要権限を削除します。半年に1回、SaaS台帳全体を見直し、廃止・新規導入されたSaaSを更新します。年1回、全体のコンプライアンス対応状況をレビューし、法規制の改正・認証要件の変化を反映させます。

ISMSやSOC 2審査でよく指摘される課題と対策

コンプライアンス審査の実務では、特定のポイントで繰り返し指摘が入ります。事前に把握しておくことで、準備の精度を高められます。

退職者アカウントの残存

退職者のSaaSアカウントが削除されていないことは、審査で最も頻繁に指摘される問題です。SaaS単位の退職処理チェックリストを作成し、対応後に記録を残す運用を徹底することで対処します。

アクセス権限の過剰付与

業務に不要な権限が付与されている状態は、最小権限の原則に反します。定期的なアクセスレビューで過剰権限を削除し、新規アカウント発行時の標準テンプレートを部署・役職別に整備します。

SaaS台帳の不備

SaaS台帳が存在しない、または最新の状態でない場合、審査で即座に指摘されます。四半期ごとの棚卸しを定例化し、台帳の更新責任者を明確に決めます。

委託先評価の未実施

個人情報を処理するSaaSベンダーへの評価記録がない場合、個人情報保護法の委託先監督義務違反とみなされます。主要SaaSについて年1回のベンダー評価を実施し、記録を保存します。

監査ログの保存期間不足

ログを90日しか保存していない場合、年1回の審査対応に証跡が不足します。主要SaaSのログ保存期間を確認し、1年以上の保存が難しい場合はログ管理ツールの活用を検討します。

参考: SOC 2とISO 27001の違い・使い分けガイド｜ISO認証ナビ

コンプライアンス対応を効率化するSaaS管理ツールの選び方

7ステップの対応を手作業で進めることは可能ですが、SaaSの数が増えるほど対応工数は増大します。SaaS管理ツールを活用することで、棚卸し・アクセス権限管理・監査対応の多くを自動化できます。

ツール選定で確認すべき主なポイントは次のとおりです。

• シャドーIT検出: ブラウザ活動やSSOログからSaaSを自動検出できるか
• 台帳の自動更新: SaaSのアカウント情報を自動で収集・更新できるか
• 入退社連携: 人事システムと連携して自動でアカウント発行・削除ができるか
• アクセスレビュー機能: 定期的な権限確認の依頼と記録を自動化できるか
• 監査証跡の取得: 誰がいつ何をしたかのログを自動で取得・保存できるか
• 連携アプリ数: 社内で利用しているSaaSとAPIで接続できるか

ジョーシスはこれらの機能を一元提供するSaaS管理プラットフォームです。ISMS認証、上場準備（IPO）、SOC 2、内部統制など、多様なコンプライアンスシーンで活用されています。

ジョーシスの資料をダウンロードする

ジョーシスでSaaSコンプライアンス対応を効率化する方法

ジョーシスのプラットフォームは、7ステップの対応に直接対応する機能を備えています。

シャドーIT検出と台帳の自動整備（ステップ1対応） SaaS Discoveryモジュールが、従業員のブラウザ活動やSSOログを解析し、情シスが把握していないSaaSを自動で検出します。発見したSaaSはそのまま台帳に取り込み、管理対象として一元化できます。手動での棚卸しに数週間かかっていた作業を、数日以内に完了させる企業が増えています。

入退社のアカウント管理を自動化（ステップ5対応） Access Automationモジュールが人事システムと連携し、入社時のアカウント発行・退職時のアカウント削除を自動で実行します。Sales MarkerはジョーシスでIT工数を約50%削減し、Anker JapanはITコストを75%削減しました。

アクセスレビューの自動化（ステップ5・6対応） Access Reviewsモジュールが、定期的な権限確認の依頼を従業員・マネージャーに自動送付し、回答収集から記録保存まで自動化します。監査時に必要な「誰がいつ権限を確認・承認したか」という証跡が自動で蓄積されます。

監査証跡の一括出力（ステップ6対応） ISMSやSOC 2の審査で求められる証跡を、ジョーシスの管理画面から一括出力できます。アクセスログ、権限変更記録、アカウント発行・削除の履歴が時系列で整理されており、監査対応の工数を大幅に削減します。

導入を検討される方は、まずデモでご確認ください。

デモを申し込む

SaaSコンプライアンス対応ロードマップ：3か月で体制を構築する

「どの順番で進めればいいか分からない」という担当者向けに、3か月での体制構築ロードマップを提示します。

1か月目: 現状把握と優先課題の特定 全SaaSの棚卸しを実施し、棚卸し結果をリスクで分類します。退職者アカウントの残存確認と削除対応も並行して進めます。SaaS管理ツールの選定・導入検討もこの時期に開始します。

月末の目標: 把握済みSaaSの台帳が完成し、リスク高のSaaS上位10件が特定されている状態。

‍2か月目: 管理基盤の整備 リスク高SaaSのベンダー評価を実施し、SaaS利用規程と申請フローの草案を作成・承認します。入退社時のアカウント管理フローを標準化し、SaaS管理ツールの導入・初期設定を完了させます。

月末の目標: 申請フローが運用開始され、入退社処理のチェックリストが整備されている状態。

3か月目: 監査対応準備と継続運用の定着 アクセスレビューの初回実施と記録を行い、監査証跡の保存ルールを策定します。モニタリングKPIを設定して月次チェックを開始し、セキュリティ教育を実施して記録を残します。

月末の目標: 継続的な管理サイクルが回り始め、次の外部審査に向けた証跡が蓄積している状態。

まとめ

SaaSコンプライアンス対応は、個人情報保護法・J-SOX・ISMS・SOC 2など複数の規制・認証に対して、体系的な手順で管理体制を構築する取り組みです。対応の基本は、棚卸しによる現状把握から始まり、リスク分類、ベンダー評価、利用規程整備、アクセス権限管理、監査証跡の整備、継続的なモニタリングの7ステップで構成されます。

SaaSの数が増えるほど、手作業での対応は限界を迎えます。シャドーIT検出・アクセス管理・監査対応を自動化するSaaS管理ツールの活用が、持続可能なコンプライアンス体制の前提条件になっています。

コンプライアンス対応の具体的な進め方や、SaaS管理ツールの活用方法についてご関心をお持ちの方は、ジョーシスの担当者にご相談ください。

ジョーシスの資料をダウンロードする

関連記事：SaaS棚卸しのやり方｜情シスが実践する手順・チェックリスト・ツール活用の完全ガイド

‍関連記事：アクセス権限管理の方法｜SaaS時代の情シス向け実践ガイド2026

関連記事：Josys が SaaS 管理でセキュリティとコンプライアンスを強化する方法

関連記事：SaaSコンプライアンスのナビゲート: 業界標準を満たすための包括的なガイド