SaaSの導入が当たり前になった今、企業のサイバーセキュリティリスクは「社内ネットワーク」の外へと大きく広がっています。複数のSaaSを横断するAPI連携、長期間有効なアクセストークン、退職者のアカウント放置——こうした運用上の盲点が、情報漏洩やランサムウェア被害の入口になっています。

「どのSaaSが稼働しているか正確に把握できない」「誰がどの権限を持っているか分からない」という状況は、多くの情シス担当者が直面するリアルな課題です。IPAが毎年公表する「情報セキュリティ10大脅威 2026」では、ランサムウェアが4年連続で1位を維持し、サプライチェーン攻撃が2位、そして2026年版ではAI関連リスクが新たにトップ3入りしました。SaaS環境を狙った攻撃手口は年々高度化しており、以前と同じ対策のままでは追いつかなくなっています。

本記事では、SaaS環境のサイバーセキュリティ対策を「なぜ重要か」から「どう実施するか」まで、情シス担当者が現場で実践できる具体的な7つの手順とともに解説します。

なぜ SaaS 環境でサイバーセキュリティリスクが高まるのか

SaaS環境固有のサイバーセキュリティリスクを理解するには、従来の境界型セキュリティとの違いを把握することが出発点になります。オンプレミス主体の時代は、社内ネットワークという「境界」を守れば外部からの侵入を大幅に防げました。しかしSaaSはインターネット越しにアクセスするサービスであり、ネットワーク境界という概念が成り立ちません。守るべき境界がなくなった今、セキュリティの考え方を根本から見直す必要があります。

SaaS固有の3つのリスク構造

第1のリスクは、責任共有モデルの誤解です。SaaSベンダーはインフラやアプリケーション本体のセキュリティに責任を持ちますが、「誰がアクセスできるか」「どの設定を有効にするか」「データをどう扱うか」は利用企業側の責任領域です。「ベンダーに任せているから大丈夫」という認識のまま運用すると、設定ミスや過剰な権限付与が長期間放置されるリスクがあります。

第2のリスクは、SaaSの乱立に伴うシャドーITの拡大です。現場部門が情シスの許可を得ずに独自にSaaSを導入するシャドーITは、情シスが把握できないため対策が打てません。管理外のSaaSが重要データにアクセスしているという状況は、多くの組織で静かに進行しています。

第3のリスクは、SaaS間のAPI連携による被害の連鎖です。複数のSaaSを自動化ツールで連携させると、一つのサービスが侵害されたときに接続先の別SaaSにも不正アクセスが波及します。長期間有効なAPIトークンや認証情報が見直されずに残っていると、侵害の窓口は静かに開き続けます。

2026年の主要脅威トレンド

IPA「情報セキュリティ10大脅威 2026」によると、組織向けの主要脅威ランキングは次のとおりです。

• 1位：ランサムウェアによる被害（4年連続）
• 2位：サプライチェーンを狙った攻撃
• 3位：AIの悪用・AIをめぐるサイバーリスク（新登場）
• 4位：内部不正による情報漏洩

注目すべきはAI関連リスクが新たにトップ3入りしたことです。生成AIの普及により、従業員が業務上の機密情報を無許可のAIツールに入力するリスクや、AIが生成する精度の高いフィッシングメールへの対応が、情シスの新たな課題となっています。SaaS管理の文脈でもシャドーAI対策が急務となってきました。

参考：情報セキュリティ10大脅威 2026（IPA）

SaaS環境のサイバーセキュリティ対策 7つの手順

リスクの全体像を把握したうえで、情シスが実施すべき具体的な対策を7つの手順で解説します。優先度の高い順に並べていますが、組織の規模・体制に応じて順番を調整してください。

手順1：SaaSの棚卸しと可視化

サイバーセキュリティ対策の第一歩は、現状の把握です。「社内で何のSaaSが使われているか」を正確に把握できていなければ、どれだけ対策を講じても抜け漏れは避けられません。把握できていないSaaSは、対策の対象外になるからです。

棚卸しで確認すべき項目は以下のとおりです。

• SaaSの名称・ベンダー名・利用部門・利用開始日
• 契約状況（企業契約か個人契約か）
• ユーザー数・アクティブアカウント数
• 扱うデータの種類（個人情報・財務情報・機密情報の有無）
• 他SaaSとのAPI連携の有無

棚卸しで最も課題になるのは、情シスが把握していないシャドーITの発見です。全社メール調査や社内ネットワークのトラフィック分析でシャドーITを洗い出す方法もありますが、手動作業には限界があります。SaaS管理ツールを活用することで、ユーザーが実際に利用しているSaaSを自動検出し、棚卸しにかかる工数を大幅に削減できます。

棚卸しは年1回以上定期的に実施することを推奨します。また、新規SaaS導入時は申請フローを通じて情シスが必ず把握できる仕組みを整備しておくことが、シャドーITの予防策として有効です。

参考：SaaS利用時のセキュリティリスクと対策（日立ソリューションズ）

手順2：アクセス権限の最小化と定期レビュー

アクセス権限の過剰付与は、内部不正・外部侵害の両面でリスクを高めます。「最小権限の原則（Principle of Least Privilege）」を徹底し、業務に必要な最低限の権限だけを付与する設計が基本です。

実施すべき具体的なアクションは以下のとおりです。

• 役職・部門別に必要な権限を定義したマトリクスを作成する
• 管理者権限（Admin）の付与人数を最小限に絞る
• 「デフォルト設定のまま」放置されている過剰権限を棚卸しで発見・修正する
• 四半期に1回以上、権限のレビューを実施する
• 異動・役職変更時に権限を即座に更新する仕組みを整える

特に見落とされがちなのが、長期間ログインされていない休眠アカウントと、外部委託先・協力会社への権限付与です。休眠アカウントは攻撃者に悪用されやすく、外部パートナーへの過剰な権限付与はサプライチェーン攻撃の足がかりになります。定期レビューのスコープに必ずこれらを含めてください。

手順3：退職者・異動者のアカウント即時削除

退職者や異動者のSaaSアカウントが削除されないまま残存することは、重大なセキュリティリスクです。元従業員による不正アクセスや、放置されたアカウントへの第三者からの侵入が、実際のインシデントとして複数報告されています。

理想的な対応フローは次のとおりです。

1. 退職・異動情報をHRシステムから自動受信し、情シスに通知する
2. 退職確定日または最終出社日に合わせて、全SaaSアカウントを一斉に無効化する
3. 無効化後14日以内にアカウントデータをエクスポート・保管してから削除する
4. 削除完了を記録し、監査ログとして保存する

課題は、社内に数十〜数百のSaaSが存在する場合、人手での対応が追いつかないことです。SaaSごとにログインして手動でアカウントを削除する作業は、担当者の負荷が高いだけでなく、削除漏れのリスクも避けられません。退職者アカウントの無効化・削除を自動化できるSaaS管理ツールの導入が、最も現実的な解決策です。

手順4：多要素認証（MFA）の全社展開

パスワード単体の認証は、フィッシング・パスワードリスト攻撃・クレデンシャルスタッフィングなど複数の攻撃手法に対して脆弱です。多要素認証（MFA）を全SaaSに展開することで、認証情報が漏洩した場合でも不正ログインを防ぐ防御層を追加できます。

MFA展開で情シスが直面するのが「強制できないSaaS」の存在です。MFAをサポートしていない古いSaaSや、ユーザーが個人設定でMFAを回避できる状態では、組織全体の防御に穴が生じます。

MFA展開の優先順位は次の観点で決めることを推奨します。

• 財務・人事・顧客データにアクセスするSaaSを最優先とする
• 管理者権限アカウントは全件必須とする
• 外部公開されるポータルやAPIアクセスを持つSaaSを次の優先とする
• MFAを強制できないSaaSは、アクセス元IPの制限やSSO経由での統制を代替策として検討する

SSO（シングルサインオン）と組み合わせることで、SaaS横断でMFAを一括適用でき、ユーザーの利便性を損なわずに認証強度を高められます。

参考：安全なSaaS利用のための5つの対策方法（インテック）

手順5：シャドーIT・野良SaaSの検出と対処

シャドーITとは、情シスの許可を得ずに導入・利用されているSaaSやツールの総称です。テレワークの普及とSaaSの低価格化が重なり、現場部門が独自にSaaSを契約するケースが急増しています。情シスが把握していない以上、そのSaaSに対して設定レビューも権限管理も行えません。

シャドーITのサイバーセキュリティリスクは主に3点あります。

• 情シスの把握外のため、セキュリティ設定の確認・修正ができない
• 情報セキュリティポリシーの適用範囲外でデータが扱われる
• ベンダーのセキュリティ体制を評価しないまま、機密データが流出するリスクがある

対処の手順は次のとおりです。

1. 検出：ネットワークトラフィック分析、SaaS管理ツールの検出機能、メール・経費データの照合などで未申請SaaSを洗い出す
2. リスク評価：発見したSaaSのセキュリティ体制（SOC 2認証・ISMAP登録等）を確認し、リスクレベルを分類する
3. 対処：リスクが低い場合は正式に許可して管理下に置く。リスクが高い場合は代替SaaSへの移行を案内したうえで利用を制限する
4. 再発防止：SaaS導入申請フローを整備し、現場が「申請すれば使える」という体験に変える

禁止一辺倒の対応は現場の反発を招き、よりリスクの高い行動（個人端末での使用など）につながることがあります。「管理下に置く」という視点での対処が、現実的かつ継続可能なアプローチです。

参考：シャドーITのリスクとCASBの活用（サイバネット）

手順6：SaaS設定のセキュリティ監視（SSPM）

SaaSの設定ミスは、サイバーセキュリティにおける大きな盲点です。クラウドサービスの設定不備が原因となった情報漏洩事故は世界中で繰り返し発生しており、「外部共有が誰でも可能な設定のままになっていたストレージ」「ログ記録が無効化されたままのSaaS」などが典型的な例として挙げられます。

SSPM（SaaS Security Posture Management）は、SaaSの設定状況を継続的に監視し、セキュリティポリシーからの逸脱を自動検出するソリューションです。情シスが手動でSaaSの設定を確認する作業を自動化し、リスクのある設定をアラートで通知します。

SSPMが監視する代表的な設定項目は以下のとおりです。

• MFAの有効化状況
• 外部共有・ゲストアクセスの範囲設定
• 管理者権限アカウントの数
• 監査ログの有効化状況
• API連携で付与されている権限スコープ
• パスワードポリシーの強度

SSPMの導入が難しい場合は、主要SaaSのセキュリティ設定チェックリストをスプレッドシートで管理し、四半期ごとにレビューする運用から始めることも有効です。重要なSaaSから順番に対応範囲を広げていく段階的なアプローチを推奨します。

手順7：インシデント対応フローの整備とログ管理

サイバーセキュリティ対策の最後のステップは、インシデントが発生したときの対応フローを事前に設計することです。「何かあってから考える」では、被害拡大を防ぐためのゴールデンタイムを失います。SaaS環境ではインシデントの検知から隔離・調査までのスピードが被害規模を大きく左右します。

SaaS環境特有のインシデント対応フローに必要な要素は次のとおりです。

1. 検知：不審なログインを自動検知する仕組みの整備（SIEM・SaaS管理ツールのアラート機能等）
2. 隔離：侵害が疑われるアカウントのセッションを即時無効化できる権限と手順の整備
3. 調査：SAS各サービスの監査ログを収集・分析し、侵害範囲を特定する手順の文書化
4. 復旧：影響を受けたデータの復元手順、ベンダーへの連絡窓口の事前確認
5. 報告：経営層への報告フォーマットとタイミングの定義

ログ管理の観点では、各SaaSの監査ログを一元的に収集・保存できる体制を整えることが理想です。インシデント発生時に個別のSaaSポータルにアクセスしてログを探す作業は、対応が遅れる原因になります。SIEMやSaaS管理ツールを活用し、横断的なログ収集と分析を自動化することを検討してください。

参考：2026年のデジタル・セキュリティ動向（ニュートン・コンサルティング）

サイバーセキュリティ対策を支えるソリューション体系

SaaS環境のサイバーセキュリティ対策は、単一のツールで全てをカバーすることはできません。「可視化→認証強化→監視→対応」というサイクルを複数のソリューションで構成し、継続的に回していく体制が求められます。

IDaaS（Identity as a Service）

IDaaSは、SaaS横断でのID・認証管理をクラウド上で一元化するサービスです。主要なIDaaSとして、Microsoft Entra ID（旧Azure AD）、Okta、Google Workspaceなどが挙げられます。

IDaaSが担う主な機能は次のとおりです。

• シングルサインオン（SSO）：1つのIDで複数のSaaSにログインし、認証情報の分散を防ぐ
• 多要素認証（MFA）の一元強制：全SaaSに対してMFAを強制適用する
• ライフサイクル管理：入社・異動・退職に伴うアカウントのプロビジョニング・デプロビジョニングを自動化
• 条件付きアクセス：アクセス元デバイスや場所に応じてアクセスを制御する

IDaaSはゼロトラストセキュリティの実装において最初に導入すべきコンポーネントとされており、SaaS環境のサイバーセキュリティ対策の土台を形成します。

参考：ゼロトラスト化の第一歩！IDaaS導入（サイバープロテック）

CASB（Cloud Access Security Broker）

CASBは、企業のユーザーとクラウドサービスの間に位置し、アクセスの可視化・制御・コンプライアンス確保を担うセキュリティ機能です。

CASBの主な機能は次のとおりです。

• シャドーIT発見：未申請のSaaS利用を検出し、情シスに報告する
• データ保護（DLP連携）：機密データのアップロード・ダウンロードを監視・ブロックする
• 脅威保護：マルウェアに感染したファイルのクラウドストレージへのアップロードを防止する
• コンプライアンス管理：規制要件に照らしたSaaS利用状況のレポートを生成する

IDaaSとCASBを連携させることで、「誰がアクセスしているか」と「何をしているか」を両方把握でき、より精度の高いサイバーセキュリティ対策が実現します。

SaaS管理ツール（SMP：SaaS Management Platform）

SaaS管理ツールは、情シスがSaaSを包括的に管理するためのプラットフォームです。棚卸し・ライセンス管理・権限管理・利用状況の可視化を一元化します。

セキュリティ観点でSaaS管理ツールが提供する主な価値は次のとおりです。

• 全SaaSのアカウントと権限の一覧化
• 退職者アカウントの自動削除・無効化
• シャドーITの検出
• ライセンス利用状況に基づく休眠アカウントの特定
• 権限変更の承認ワークフロー管理

IDaaSがID認証の強化を担う一方、SaaS管理ツールは「どのSaaSが存在し、誰がアクセスしているか」という可視性と運用効率を担います。両者を組み合わせることで、重複なく補完的なサイバーセキュリティ体制を構築できます。

Josysが解決するSaaS環境のサイバーセキュリティ課題

Josys（ジョーシス）は、ITデバイスとSaaSの統合管理クラウドです。情シス担当者が日常的に直面するSaaS環境のサイバーセキュリティ課題を、一つのプラットフォームで解決します。

課題1：シャドーIT・野良SaaSの把握

Josysは社内で利用されているSaaSを自動検出し、情シスの把握外で稼働するシャドーITを可視化します。契約状況・利用ユーザー数・アクティブ率を一覧で確認でき、リスクの高いSaaSを優先的に対処できます。把握から対処までのサイクルを短縮することで、シャドーIT起因のインシデントリスクを下げられます。

課題2：退職者アカウントの削除漏れ

JosysのPolicy Workflow Automation機能を活用することで、退職情報と連動して全SaaSのアカウントを自動的に無効化・削除できます。人手による削除漏れをなくし、退職者アカウントを悪用した不正アクセスリスクを大幅に低減します。情シス担当者が個別のSaaSにログインして削除作業を行う必要がなくなるため、工数削減と漏れ防止を同時に実現します。

課題3：アクセス権限の棚卸し工数

複数のSaaSにそれぞれログインして権限を確認する作業は、情シス担当者の大きな負担でした。Josysでは全SaaSのアカウントと権限を一画面で一覧化し、役職・部門別の権限レビューを大幅に効率化します。管理者権限の過剰付与や休眠アカウントも一目で発見できるため、棚卸しにかかる時間を削減しながら精度も高められます。

課題4：権限申請・承認フローの属人化

Josysには、SaaS利用申請・権限変更申請のための承認ワークフロー機能が備わっています。現場からの申請→情シスの承認→自動プロビジョニングという一連の流れを標準化することで、メールや口頭での属人的な承認を廃止できます。申請記録が自動的に蓄積されるため、監査対応の根拠資料としても活用できます。

Josys 資料DLのご案内

SaaS管理とサイバーセキュリティ対策に課題を感じている情シス担当者の方は、まずJosysの機能概要資料をご確認ください。シャドーIT対策・退職者アカウント管理・権限棚卸しの自動化がどのように実現できるかを5分で把握できます。

Josys 資料ダウンロード（5分でわかるJosys）

SaaS環境特有のサイバーセキュリティ脅威と最新トレンド

対策の実装と並行して、最新の脅威動向を把握しておくことも重要です。攻撃手口は常に進化しており、1〜2年前の常識が通用しないケースも出てきています。

ランサムウェア：SaaS経由の感染ルートが増加

ランサムウェアは4年連続でサイバーセキュリティ脅威ランキングの1位を維持しています。近年の特徴として、SaaS経由の感染ルートが増えています。フィッシングメールに記載された偽のSaaSログインページに従業員が認証情報を入力してしまい、それを起点に組織内への侵入が拡大するパターンが確認されています。

SaaSのSSO化・MFA強制・フィッシング耐性のある認証方式（パスキー等）への移行が、ランサムウェア対策として直接的な効果を発揮します。

サプライチェーン攻撃：SaaSベンダーが標的に

サプライチェーン攻撃では、企業本体ではなく、その企業が利用するSaaSベンダー自体が標的になるケースがあります。SaaSベンダーのインフラが侵害され、そのSaaSを利用する多数の顧客データが一括で流出するという事態が現実に発生しています。

対策として、重要データを扱うSaaSベンダーのセキュリティ評価（SOC 2 Type II報告書の確認・ISMAP登録有無の確認等）を定期的に実施することが重要です。また、ベンダーのセキュリティインシデント発生時に迅速に対応できるよう、SaaSごとの連絡窓口と対応手順を事前に文書化しておくことを推奨します。

参考：サプライチェーン攻撃の事例と手口（トレンドマイクロ）

シャドーAIによるデータ流出リスク

2026年の新たなサイバーセキュリティリスクとして注目されているのが、生成AIツールの無許可利用（シャドーAI）です。従業員が業務効率化のために個人アカウントの生成AIツールに機密情報を入力するケースが増えており、SaaS管理の観点からシャドーAIを検出・制御する必要性が高まっています。

生成AIツールもSaaSの一種であることから、SaaS管理ツールとCASBを組み合わせて利用状況を把握し、企業が承認した生成AIツールへの誘導と未承認ツールへのアクセス制限を実施することが現実的な対策となります。

参考：AIセキュリティリスクと対策 2026年版（AIsmiley）

サイバーセキュリティ対策を継続的に機能させるための組織設計

個別の技術的対策を実装しても、組織としての運用体制が整っていなければ、対策は時間とともに形骸化します。SaaS環境のサイバーセキュリティを継続的に機能させるための組織設計について解説します。

セキュリティポリシーのSaaS対応版を整備する

多くの企業はすでにセキュリティポリシーを持っていますが、SaaS利用を前提としていない旧来の記述のままになっているケースが少なくありません。以下の項目をSaaS環境に対応した内容で明記することを推奨します。

• SaaS導入時の申請・承認手続きと情シスの承認基準
• 利用を禁止するカテゴリのSaaS（リスクが高いもの）
• SaaSに保存・入力してよいデータの種類と格付け
• 退職・異動時のアカウント削除の期限と手続き
• インシデント発生時の報告義務と報告先

ポリシーは策定するだけでは機能しません。全従業員への周知と、定期的なセキュリティ教育とセットで運用してください。

セキュリティ教育をSaaSに特化させる

フィッシングメールのシミュレーション訓練やパスワード管理の研修を実施している企業は増えていますが、「SaaS固有のリスク」を扱った教育はまだ少ない傾向があります。

SaaSに特化したセキュリティ教育に含めるべき内容は次のとおりです。

• フィッシング対策：偽のSaaSログインページを見分ける方法
• シャドーITのリスク：なぜ勝手にSaaSを使ってはいけないのか
• データ格付け：どの情報をSaaSに入力してよいか・いけないか
• MFAの設定方法：主要SaaSでのMFA設定手順の案内

参加率を高めるには、年1回の長時間研修よりも、月1回・15分程度のマイクロラーニング形式が効果的とされています。

KPI設定でセキュリティ対策の実効性を測る

セキュリティ対策は「実施した」だけでは成果を証明できません。経営層への投資対効果の説明や、継続的な予算確保のためにも、KPIを設定して定期的に測定・報告する仕組みを構築することを推奨します。

SaaS環境のサイバーセキュリティ対策で設定するKPI例は次のとおりです。

これらのKPIを情シス部門のダッシュボードに組み込み、月次・四半期での経営報告に活用することで、セキュリティ投資の意義を継続的に示せます。

デモのご案内

Josysの機能をハンズオンで確認したい情シス担当者の方には、デモセッションのご予約をお勧めします。シャドーIT検出・退職者アカウント自動削除・権限棚卸しの実際の画面操作をご確認いただけます。

Josys デモを予約する

まとめ：SaaS環境のサイバーセキュリティ対策は「可視化」から始める

SaaS環境のサイバーセキュリティ対策を7つの手順で整理すると、次のとおりです。

1. SaaSの棚卸しと可視化——現状把握なくして対策なし
2. アクセス権限の最小化と定期レビュー——過剰権限が侵害の窓口になる
3. 退職者・異動者のアカウント即時削除——放置アカウントがリスクを生む
4. 多要素認証（MFA）の全社展開——認証情報漏洩の影響を最小化する
5. シャドーIT・野良SaaSの検出と対処——把握外のSaaSは対策の対象外になる
6. SaaS設定のセキュリティ監視（SSPM）——設定ミスは自動検出で補う
7. インシデント対応フローの整備とログ管理——発生後の初動が被害を左右する

SaaS環境のサイバーセキュリティは、一度整備して終わりではありません。SaaSの追加・削除、組織変更、脅威の進化に合わせて継続的に見直す必要があります。

まず「今、何のSaaSが稼働しているか」の棚卸しから取り組み、把握した現状に対して優先度の高い対策から順番に実装していくアプローチが、現実的かつ持続可能な進め方です。

Josysを活用することで、SaaSの可視化・権限管理・退職者アカウント削除の自動化を一元的に実現できます。情シス担当者が本来注力すべきセキュリティ設計や教育・対応フロー整備に時間を振り向けられる環境を整えることが、Josys導入の最大の価値です。

まずは資料で全体像を確認し、貴社の課題に照らして活用イメージを持っていただければ幸いです。

Josys 資料ダウンロード（5分でわかるJosys）

関連記事：SaaSセキュリティ チェックリスト｜情シスがすぐ使える点検項目と評価基準

関連記事：シャドーITとは？急増する原因・リスクと情シスが取るべき対策

関連記事：SaaS管理ツールの選び方｜機能・価格・導入ステップを解説

関連記事：ゼロトラストとは？考え方と導入手順をわかりやすく解説

参考資料：情報セキュリティ10大脅威 2026（IPA）

参考資料：SaaS利用時のセキュリティリスクと対策（日立ソリューションズ）

参考資料：2025年のインシデントから学ぶSaaSセキュリティ最新動向（Assured）

参考資料：2026年のサイバーセキュリティ制度変更まとめ（BTNコンサルティング）

参考資料：シャドーIT・無許可SaaSのリスク解説（ガーディアン）‍

参考資料：サプライチェーン攻撃の事例と手口（トレンドマイクロ）