SaaSの便利さが生む副作用「SaaSスプロール」という脅威

SaaSは手軽に導入できる一方、利用実態が把握できなくなる「SaaSスプロール」を招くリスクがあります。使われていないサービスへの支払いが続くだけでなく、退職者や異動者のアカウント、不要な権限や外部連携が放置されることで、不正アクセスや情報漏えいの危険性も高まります。こうしたリスクを防ぐには、CASBやSaaS管理ツール（SMP）を活用して契約や利用状況を可視化し、IDや権限の定期点検・失効管理を徹底することが重要です。SaaSの管理を継続的な運用に組み込むことが、安全で効率的な活用につながります。

---

■便利なはずのSaaSは、放置するとリスクになる

インターネット上のサービスとして、ソフトウェアを利用する「SaaS」は、今や企業活動に欠かせない存在になりました。メール、チャット、ファイル共有、営業管理など、部門ごとにクラウドサービスを導入することで、業務効率の向上が期待できます。

一方で、SaaSは導入が容易だからこそ、管理の目が届きにくくなる危険性もあります。部門単位で契約されたものの使われなくなったSaaS、退職者や異動者が利用していたSaaSが社内に残り続けると、現在どのSaaSをどれだけ使っているのか、把握しにくくなってしまいます。

このように、SaaSの契約状況や、アカウント、権限、連携アプリの管理が複雑化した状態のことを、IT業界内では「SaaSスプロール」と呼びます。スプロール（Sprawl）とは「無計画に広がる」という意味の英語です。

SaaSスプロールの影響は、コストとセキュリティの両面に及びます。使われていないSaaSに利用料を払い続けることはもちろん、同じ機能のSaaSを複数部門で契約することも、予算の無駄になりえます。

さらに、放置されたアカウントが悪意のある第三者に狙われ、社内システムに侵入されてしまい、機密データが流出してしまうという、セキュリティリスクにもつながるおそれがあります。

第三者だけではなく、かつて自社で勤務していた退職者が、当時のID・パスワードを使って侵入し、不正をはたらくおそれもあります。IPAの「情報セキュリティ10大脅威2026」でも、「内部不正による情報漏えい」が第7位に挙げられており、2016年以降、11年連続で選出されています。

SaaSスプロールを放置せず対策を打つことは、企業にとってコストの面でもセキュリティの面でも重要であるのは間違いないでしょう。

■SaaSが便利かつ柔軟だからこそ、スプロールは起こる

こうしたリスクがあるにもにもかかわらず、SaaSスプロールが起こってしまう背景には、そもそもSaaS導入のハードルが低いことが考えられます。

従来のシステム導入と異なり、SaaSは部門の予算で、クレジットカードで登録するだけで簡単に契約できます。情報システム部門の関与なしに、現場の判断で導入を進めることも可能です。その結果、退職者IDの削除や外部連携アプリの点検といった基本的な管理や対策が後回しになりがちです。

こうしたSaaSの柔軟さは、業務改善のスピードを高めるという意味ではメリットです。しかし、情報システム部門が把握していないSaaSが増えるほど、管理者権限の見直しが行き届きにくくなります。特に、SaaSに拡張機能を追加する外部連携アプリは、データ閲覧やファイル操作の権限を持ったまま使われなくなっても気づかれにくく、情報漏えいの入口になりやすい側面があります。

このように、SaaSスプロールは単に「使っていないサービスが多い」という問題ではなく、誰がSaaSを使っているのかを見えづらくする問題です。SaaSの実態を把握できていなければ、不審なアクセスにも気づけず、情報漏えいを放置してしまうことになります。

■どうすればSaaSスプロールは防げるのか？

こうしたSaaSスプロールの問題を考えるうえで参考になるのが、総務省の「クラウドサービス利用・提供における適切な設定のためのガイドライン」（2022年10月）です。

このガイドラインはクラウドの設定不備による情報漏えい防止を主眼としたもので、SaaSスプロールを直接扱ったものではありませんが、中にはクラウド利用状況を把握するためのCASB等の可視化ツール導入、システム動作環境の定期的なチェックと対応、ユーザIDの失効管理など、SaaSスプロール対策としても応用できる項目が含まれています。

「CASB等の可視化ツール導入」は、組織が把握していないクラウドサービスの利用を発見できるという点で有効です。CASBとは、利用者と複数のクラウドサービスの間に監視ポイントを置き、利用状況を可視化する仕組みのことです。

「システム動作環境の定期的なチェックと対応」は、放置されたアカウントや不要な権限を早期に見つけられるという点でメリットがあります。具体的には、最終ログイン日、外部共有リンクの有無、退職者や異動者のアカウントの有無がチェック項目となります。

「ユーザIDの失効管理」は、退職者や異動者のIDが残り続けることによる不正アクセスを防ぐ効果があります。退職や異動が決まった時点でアカウントを無効化し、そのアカウントに紐づく外部連携やAPIキーも同時に解除すれば、SaaSの放置を防ぐことができます。

■SaaSの点検を、一度きりで終わらせてはいけない

これらSaaSスプロールのチェック項目を、人間の手でひとつひとつチェックしていくことは簡単ではありませんが、自動で手軽に行うためのツールも存在します。たとえば前述のCASBも、そのためのツールの1つです。

CASBのほか、SMP（SaaS管理ツール：SaaS Management Platform）というものもあります。SMPは契約中のSaaSを一覧化し、ライセンス数や利用者数、契約更新日を可視化するツールで、人事システムと連携することで、入社・異動・退職のタイミングに合わせて、SaaSアカウントの発行や停止を自動化できます。

たとえこうした対策を整えたとしても、SaaSスプロールはその便利さの副作用として、静かに進行するリスクを秘めています。SaaSスプロールとして放置されたアカウントは、社内システムへの”裏口”として残り続けます。

SaaSの点検を一度きりで終わらせず、契約・利用状況・解除の流れに組み込むこと。それこそが、増え続けるSaaSを、便利に、トラブルなく使いこなすためのキーポイントといえるでしょう。