第7章 SaaS・クラウド管理とシャドーIT

7.1 SaaS時代の情シス

SaaS(サース)とは、インターネット経由で使うソフトウェアのことです。会計、勤怠、チャット、名刺管理、ファイル共有、Web会議——いまや業務のほとんどが、自社に置いたサーバーではなく、外部のクラウドサービスで動いています。これは中小企業にとって大きな福音でした。高価なサーバーを買わず、専門知識がなくても、月額料金で高機能なシステムを使えるからです。

しかし情シスの視点では、これは「管理対象が自社の外へ、しかもバラバラに散らばった」ことを意味します。昔は「サーバー室に行けば全部そこにあった」のに、いまは誰が・どのサービスを・どのアカウントで・どんな設定で使っているのかが見えにくい。契約は各部署が勝手に結び、支払いは経費で落とされ、退職者のアカウントは放置され——気づけば会社は、自分でも把握しきれない数のクラウドサービスに依存しています。見えないものは守れず、管理できず、コストも制御できません。この章のテーマは、その「散らばった全体像」を取り戻すことです。

7.2 SaaSの棚卸しとコスト管理

第2章でIT資産の棚卸しを学びましたが、SaaSはとくに見えづらく、放っておくと無駄と穴の温床になります。まずは「誰が・何を・いくらで使っているか」の一覧を作りましょう。手がかりは意外と身近にあります。

• クレジットカード・経費の明細 — 毎月・毎年の課金を洗い出す最も確実な手がかり
• 各サービスの管理画面 — 登録ユーザー一覧、最終ログイン日
• 社員へのヒアリング — 「業務で使っているツール、全部教えてください」

この一覧を作るだけで、たいてい2つの「幽霊」が見つかります。

• 幽霊アカウント — 退職者が使っていたのに残り続けているアカウント。課金され続けているうえ、乗っ取られれば侵入口になる(退社処理は第3章)
• 幽霊契約 — 誰も使っていないのに毎月引き落とされているサービス、重複した似たツール、契約数だけ多くて実利用が少ないライセンス

7.3 シャドーIT — なぜ生まれ、どう向き合うか

シャドーITとは、情シス(会社)が把握・承認していないまま、現場が勝手に使っているITツールやサービスのことです。無料のファイル転送サービス、個人アカウントのチャット、勝手に入れた便利アプリ、私物のクラウドストレージ——これらは「影(シャドー)」のように、管理の目が届かないところで業務に使われています。

ここで大切なのは、シャドーITが生まれる理由を理解することです。現場の人は、悪意があってルールを破っているのではありません。ほとんどの場合、こういう事情です。

• 会社が用意したツールが使いにくい、または存在しない
• 情シスに頼むと時間がかかる、または断られると思っている
• 「これを使えば仕事が早く終わる」という、純粋な業務改善の動機

つまりシャドーITは、現場の「こうしたい」というニーズが、正規のルートで満たされなかった結果なのです。ここを取り違えると、対策を誤ります。よくある失敗が「見つけたら頭ごなしに禁止する」こと。禁止しても、現場の困りごとが消えるわけではないので、より見つかりにくい形で潜っていくだけです。むしろ「情シスに言うと怒られる」空気が広がり、シャドーITは地下に深く潜ります。

正しい向き合い方は、①なぜそれを使いたいのかを聞く → ②同等以上の安全な公式手段を用意する → ③そちらへ誘導するという順番です。「ダメ」の代わりに「これを使ってください」を差し出す。禁止ではなく、正しい道を舗装するのが情シスの仕事です。

7.4 SSOとアクセス統制

SaaSが増えるほど、社員は多数のIDとパスワードを抱えます。すると使い回し・付箋メモ・弱いパスワードが横行し、情シスは「退職者のアカウントをサービスごとに一つずつ消す」という悪夢に陥ります。これを解決するのがSSO(シングルサインオン)です。

SSOとは、1つのアカウント(例:Google WorkspaceやMicrosoft 365のアカウント)でログインすれば、連携した複数のSaaSにまとめて入れる仕組みです。第3章で扱ったID管理の話の続きであり、SaaS時代の統制の要になります。SSOを導入すると、次のメリットがあります。

すべてのSaaSがSSOに対応しているわけではありませんが、まずは利用者が多い・重要なサービスから大元のアカウント基盤に集約するだけでも、退職時の締め出し漏れという最大級のリスクを大きく減らせます。一人情シスにとって「一つ止めれば全部止まる」は、限られた手数を守るための強力な武器です。

7.5 SaaSの設定の落とし穴

SaaSは便利ですが、初期設定(デフォルト)が必ずしも安全側に振られているとは限りません。「使い始めやすさ」を優先して、共有範囲が広めに設定されていることがよくあります。情シスが見るべき代表的な落とし穴を挙げます。

すべてを一度に完璧にする必要はありません。利用者が多く、重要な情報を扱うSaaSから順に、上の表を1行ずつ点検していきましょう。とくに「外部共有の既定設定」と「MFAの必須化」は、手間の割に効果が大きい二大対策です。

7.6 データの持ち出しと生成AIの業務利用

SaaS時代のもう一つの課題が、データが社外へ出ていくルートが無数にあることです。無料のファイル転送サービス、個人のクラウドストレージ、私物USB——そしていま急速に広がっているのが生成AI(ChatGPTのようなAIチャット)への業務データの入力です。

生成AIは業務を劇的に効率化する一方で、使い方を誤ると「顧客情報や社外秘の資料を、外部のAIサービスに入力してしまう」という情報漏えいにつながります。サービスによっては、入力した内容がAIの学習に使われたり、外部に保存されたりする可能性があるためです。

ここでも、7.3のシャドーITと同じ原則が効きます。「生成AIの利用を全面禁止する」のは、たいてい失敗します。現場は「使えば仕事が早くなる」と知っているので、隠れて個人アカウントで使い始め、かえって統制が効かなくなるからです。取るべき道は、「公式ルートを整える」ことです。

• 会社として契約した、業務データを学習に使わない設定の生成AIサービスを用意する
• 「入力してよい情報/絶対に入力してはいけない情報(顧客の個人情報、機密など)」の線引きをルール化する(規程の作り方は第8章)
• 「なぜダメか」を添えて周知する。理由の分かるルールは守られる

技術的な背景——生成AIやAIを使った開発に特有のセキュリティリスク、プロンプトインジェクションなどの新しい攻撃——をもっと深く理解したい場合は、「入門コース(🐍 Python × セキュリティ)第14章 AI開発のセキュリティ」へ進むと、この章で触れた話の土台がつかめます。一人情シスとしては、まず「公式で安全に使える道を用意し、危険な自己流を減らす」——この現実的な一手から始めれば十分です。

まとめ

• SaaS時代、管理対象は社外に散らばった。まず「誰が・何を・いくらで使っているか」の全体像を取り戻す
• SaaSの棚卸しは幽霊アカウント・幽霊契約を退治し、コスト削減という手土産にもなる
• シャドーITは現場のニーズの表れ。禁止ではなく「なぜ使うか」を聞いて安全な公式ルートに置き換える
• SSOで重要SaaSを集約すれば、退職時の一斉締め出しとMFAが一度に効き、統制が楽になる
• SaaSの初期設定は安全とは限らない。外部共有の既定とMFA必須化から点検する。生成AIも禁止でなく公式ルート整備で

演習(自社の点検)