“野良SaaS”放置が招く3つのリスク 危険性はセキュリティ以外にも 専門家に聞く基礎知識（2/3 ページ）

IT部門や経営層などが利用状況を管理しきれていない“野良SaaS”。放置していると、セキュリティやコストなど3種類のリスクにつながるという。野良SaaSが抱える危険性や対策の基礎知識を専門家に聞く。

[吉川大貴，ITmedia]

誰がどれだけSaaSを使っているか分からず、コストが増大するリスク

　2つ目のリスクはコスト超過につながる可能性だ。「ITの予算が部門ごとに割り当てられている企業が日本では多い。部門ごとにSaaSの料金を決済していると、利用状況を追跡しにくく、本当に必要でないSaaSに料金を払っている場合がある」と篠田常務理事。

　例えば名刺管理SaaSなどの場合、企業単位で同じサービスを使っていればコストを削減できるにもかかわらず、各部門で別々のサービスを契約しており、無駄が生じているケースがあるという。

　しかも一度導入されたSaaSは利用状況の把握が難しく“見えないコスト”を生みやすい。CASB（Cloud Access Security Broker、クラウドへのアクセスを監視するサービス）を使ったり、支払い情報を追ったりしても、実情がつかみにくいという。

　「CASBを使えば確かにどんな通信が発生していて、どんなサービスを使っているのかを確認できる。ただ、IPアドレスなどから『誰が使っているのか』まで割り出すのは大変な手間。請求書類からの把握も難しい。クラウドサービスの請求は紙で来ず、クレジットカードの支払い情報を見ても決済代行業者を挟んでいるとベンダーの名前を追えない。10人くらいの小規模な企業ならともかく、大企業は調べ切れないと思う」（金井さん）

SaaSの利用規約に違反するコンプライアンスのリスク

　最後はコンプライアンスの問題だ。野良SaaSが常態化している企業だと、複数人でのアカウントの使いまわしなど、規約に違反する使い方が起こりやすくなる。ベンダーはこういった規約違反をすぐに検知できる一方、野良SaaSはIT部門や管理部門が利用状況を確認できず、事態の把握が遅れるので、トラブルになりやすいという。

　SaaSで使うデータの置き場所が問題になるケースもみられる。海外製SaaSなどは、データを日本ではなく海外のサーバに保存している場合がある。

　サービスによっては、データのダウンロードや利活用に関する規約を日本ではなく海外の法令に合わせているものもあり、知らずに使うと違反してしまうリスクもあるという。これもIT部門などが導入時に確認をしていれば避けられるが、野良SaaSだと見逃しやすくなる。