SaaS管理の始め方：シャドーITを可視化し、アカウント棚卸しを仕組み化する

シャドーITとは、情シスが把握も承認もしていないまま、従業員や部署が業務に使っているSaaS・アプリ・機器のことです。無料プランと「Googleでログイン」ボタンだけで数分で使い始められる今のSaaSでは、禁止ルールを作っても発生は止まりません。止められない前提で「見つける仕組み」と「台帳に載せて棚卸しする仕組み」を作るのが、SaaS管理の出発点になります。

シャドーITが生まれる構造と実際に起きるリスク、IdPのログや経費データを使った可視化の方法、台帳に載せる項目、四半期の棚卸しサイクル、退職者のオフボーディング手順、そしてSaaS管理ツールを入れるべきかの判断基準を、ひとり情シスでも回せる規模から順に整理します。

シャドーITとは何か、なぜ発生するのか

対象は「部署が法人カードで契約したSaaS」だけではありません。個人アカウントで使っている無料のファイル転送サービスやPDF編集ツール、私物スマホのメッセージアプリでの業務連絡、経費で買った無線LANルーターやUSBメモリも含まれます。共通点は、情シスがアカウントの存在を知らず、退職時にも削除されず、ログも取られていないことです。

発生の仕組みは単純で、「使い始めるコスト」が「申請するコスト」より低いからです。無料プランは決裁を通さずに使えますし、「Googleでログイン」や「Microsoftアカウントでサインイン」は、ユーザーが同意画面で許可を押した瞬間にアプリへドライブやカレンダーへのアクセス権（OAuthトークン）が渡ります。この同意には情シスの関与がありません。経費精算でも、月額数千円のサブスクリプションはIT部門のチェックなしで承認される会社がほとんどです。申請から承認まで2週間かかる会社で、明日までに50MBのファイルを取引先に送らなければならない人は、無料の転送サービスを使います。

つまりシャドーITの一覧は「情シスが提供できていない業務ニーズの一覧」でもあります。大容量ファイル転送、PDF編集、翻訳、日程調整、電子署名、フォーム作成、簡易なデザイン、そして生成AIチャットは、どの会社でもほぼ確実に見つかる定番です。禁止で対処してよいのは、規制対象のデータ（診療情報、金融情報など）を扱う部署で、かつ同等の機能を会社として提供できる場合に限られます。生成AIについては、別途社内利用ガイドラインを先に作っておくと、禁止ではなく条件付き許可に持っていけます。

シャドーITのリスク：情報漏えい・コスト・退職者アカウント

この中で最も頻度が高く、かつ発生したときの説明が難しいのが退職者アカウントの残存です。SSOでつないでいるSaaSはIdP側で止められますが、シャドーITは定義上SSOにつながっていないので、台帳がない限り「消し忘れ」ではなく「存在を知らない」状態になります。

可視化の方法：SSOログ、経費精算、ブラウザ拡張、CASB

可視化の手段は複数あり、それぞれ見える範囲が違います。ひとつの方法で全部は見えないので、無料で始められる2つ（IdPのログと経費データ）から着手し、規模と要求水準に応じて足していきます。

IdPのログは、単に見るだけでなく「これから先の同意を可視化の入口にする」設定ができます。Entra IDなら「エンタープライズアプリケーション → 同意とアクセス許可 → ユーザー同意の設定」で、ユーザーが自由に同意できる範囲を「検証済み発行元の低リスクなアクセス許可のみ」に絞り、それ以外は「管理者の同意ワークフロー」で申請させます。Google Workspaceなら「未設定のサードパーティ製アプリ」を「制限付き」にする設定が同じ役割です。こうすると、ドライブ全体の読み取りを求めるアプリを使いたい人は申請せざるを得ず、シャドーITが発生する前に情シスの目に入ります。

ブラウザ拡張やエージェント、プロキシログによる可視化は、従業員のアクセス先を記録する行為です。就業規則や情報セキュリティ規程に「業務端末・業務ネットワークの通信は会社が記録・確認する」旨を明記し、導入前に全社へ周知してください。周知なしに始めると、技術的には正しくても労務トラブルになり、可視化そのものが止まります。

SaaS台帳に載せる項目

台帳は最初からツールを使う必要はなく、スプレッドシートで十分です。ただし項目は最初に決めておかないと、あとから「更新日が分からない」「認証方式を記録していなかった」となって棚卸しのたびに調べ直しになります。

「黙認」というステータスを用意しておくのがコツです。見つけたSaaSをすべて「承認」か「禁止」に二分しようとすると判断が止まりますが、「存在は把握しているが正式承認はしていない」という状態を台帳に置ければ、少なくとも退職時の削除対象には入ります。IT資産管理ツールを使っている会社は、SaaSも同じ台帳のカテゴリとして持つと管理IDを共通化できます（Snipe-ITのようなIT資産管理ツールにはライセンス管理の機能があります）。

棚卸しの運用サイクル（四半期）

棚卸しは年1回だと更新日を逃し、毎月だと回りません。四半期に1回、4週間で次のように分けると、ひとり情シスでも各週2〜3時間で終わります。

1. 第1週（新規検出）：IdPに新しく現れたアプリとOAuth同意、経理の新規取引先、申請フォームの記録を突き合わせ、台帳にないものを「黙認」ステータスで追加する
2. 第2週（利用実態）：各SaaSの管理画面から「30日以上ログインしていないユーザー数」を出し、業務オーナーにシート削減の可否を聞く
3. 第3週（更新判断）：次の四半期に更新日が来るSaaSを一覧にし、継続・縮小・解約をオーナーと決める。解約通知期限に間に合うよう、この週に決めきる
4. 第4週（実行と報告）：解約とダウングレードを実行し、パスワード認証のまま高リスクデータを扱っているSaaSはSSO対応プランへの移行やリプレースを検討リストに入れる。経営層には「SaaS数・年間費用・高リスク数」の3つの数字だけで報告する

年1回は、リスク評価「高」のSaaSについてセキュリティ報告書や利用規約の変更を再確認し、社内ルールを更新します。並行して、新規SaaSの申請フォームは「用途・扱うデータ区分・利用人数・費用・既存ツールで代替できないか」の5問だけにし、3営業日以内に返答するSLAを情シス側が守ります。申請の負荷が高いか返答が遅いと、シャドーITはそのまま戻ってきます。コストの見直しを含めた進め方はITコスト削減の進め方で扱っています。

オフボーディングの手順

IdPでアカウントを無効化すると止まるのは、SSOでつながっているSaaSへの「新しいログイン」だけです。SCIMでつながっていればSaaS側のアカウントも無効化されますが、パスワードで個別ログインしているSaaSは何も起きません。台帳の「認証方式」列が、この分岐のために存在します。仕組みの詳細はSSO/SCIM対応チェックリストを参照してください。

1. 人事から退職連絡を受ける（退職日の1週間前までに情シスへ連絡する取り決めを人事と結んでおく）
2. 退職日にIdPでアカウントを無効化する。SSO対応SaaSはログイン不可になり、SCIM対応SaaSはアカウントが無効化される
3. 台帳から「認証方式＝パスワード」のSaaSを抽出し、業務オーナーが管理画面で退職者を無効化、情シスが完了を確認する
4. 退職者が知っていた共有アカウント（代表メール、SNS運用、ベンダーポータル）のパスワードをローテーションする。パスワードマネージャーで共有していれば、閲覧履歴から対象を特定できる
5. 本人名義のAPIキー、Webhook、チャットツール連携などのトークンを無効化する
6. ドライブ、チケット、顧客対応履歴のオーナーを後任に変更する
7. 3営業日以内に完了を確認し、台帳に実施日を記録する

退職者アカウントが残る最大の原因は、手順の抜けではなく「台帳に載っていないSaaS」です。棚卸しで新しいSaaSを見つけたら、その場で管理画面のどこからユーザーを削除できるかを確認して台帳に書いておいてください。退職処理の当日に初めて管理画面を探すと、業務オーナーが不在で数日放置される事態になります。

SaaS管理ツールの選び方

方式は大きく3つで、規模と契約済みの製品で決まります。

専用ツールを比較するときの軸は次の通りです。検出ソースの種類（IdP、経費、ブラウザ拡張、メールのどれに対応するか）、国内SaaSのカタログ網羅率（海外製ツールは国内の会計・労務SaaSを識別できないことがある）、利用状況の取得方法（API連携で最終ログイン日を取れるか、拡張機能頼みか）、更新日アラート、申請・承認ワークフロー、オフボーディングの自動化（API連携でアカウント削除まで行えるSaaSの数）、IdPと人事システムとの連携、課金モデル（従業員数×月額が一般的）、そして乗り換え時のCSV・APIエクスポートです。

ツールを入れるタイミングは「台帳が回り始めてから」をおすすめします。業務オーナーが決まっておらず、棚卸しの担当も曖昧なままツールを入れると、誰も見ないダッシュボードが1つ増えるだけで終わります。逆に、スプレッドシートで2四半期回してみて、突き合わせに毎回10時間以上かかるようなら、その時間がツールの費用に見合うかを判断できます。

よくある質問

シャドーITは禁止すべきですか？

全面禁止は機能しません。無料プランと「Googleでログイン」で誰でも使い始められる以上、禁止は「隠れて使う」状態を生むだけで、可視化がさらに難しくなります。規制対象データを扱う部署で、会社が代替手段を提供できる場合に限って禁止し、それ以外は「申請すれば3営業日で使える」仕組みと、台帳に載せる運用で管理下に置くほうが実効性があります。

SaaS台帳には何を記録しますか？

最低限は、サービス名、業務オーナー、用途と扱うデータ区分、契約シート数と実利用者数、費用と支払い方法、契約更新日と解約通知期限、認証方式（SSO/SCIM/パスワード）、管理者アカウントの保有者、オフボーディング手順、ステータスです。特に更新日と認証方式は、棚卸しと退職処理の両方で毎回使うので、空欄のまま登録しないルールにします。

SaaS管理ツールは必要ですか？

従業員100人程度、SaaS30個程度までなら、スプレッドシートとIdPのログ、経費データで運用できます。それを超えて手動の突き合わせに毎四半期10時間以上かかる、ISMSなどで台帳の維持と証跡を求められる、オフボーディングの自動化が必要、のいずれかに該当したら専用ツールを検討します。先に台帳と業務オーナーを整えてから入れないと、ツールは機能しません。

まとめ

シャドーITは禁止ではなく可視化で扱う問題で、IdPのOAuth同意ログと経費データという無料の2つのソースから始められます。台帳には「更新日・解約通知期限」と「認証方式」を必ず入れ、四半期の4週間サイクルで新規検出・利用実態・更新判断・実行を回してください。退職者アカウントを残さない唯一の方法は、退職処理の手順を磨くことではなく、台帳に載っていないSaaSをなくすことです。ツールは台帳が回り始めてからで間に合います。

次に読む

• SaaSのSSO/SCIM対応チェックリスト：台帳の「認証方式」をパスワードからSSO/SCIMに変えていくための確認項目
• ITコスト削減の進め方：棚卸しで見つけた重複契約と未使用シートを削減につなげる
• 企業向けパスワードマネージャーの選び方：SSOにつながらないSaaSの共有アカウントを管理する