SaaS選定・導入
1 項目
SaaS選定・導入とは｜このカテゴリで分かること
SaaSとは、ソフトウェアをインターネット経由で利用するサービスの形です。SaaSの選び方で比べるべきなのは、機能の一覧だけではありません。セキュリティの責任分担、サービスが止まったときの扱い、ログインの守り方、法的な効力など、導入前に確認すべき項目が複数あります。このカテゴリでは、それらを個別に整理します。
対象は、新しいSaaSを部門に導入する担当者、情報システムやセキュリティの確認を依頼された人、契約書や電子契約の扱いを調べている人です。特定のサービスの紹介ではなく、どのSaaSにも使える確認の枠組みを示すことが目的です。
読む順番（おすすめの順路）
- SaaSの選び方と比較の観点｜導入前の確認項目 … 比較の観点と導入前の確認項目の全体像です。まずここで地図を持ちます。
- クラウドの責任共有モデルとは｜SaaS導入で利用者が守る範囲 … 利用者が守る範囲を知ります。ここを誤解すると、事故の責任の所在も誤解します。
- 二要素認証とは｜SaaSで必ず有効にしたい理由と方式の選び方 … 利用者側で最も効果の大きい対策の一つです。方式の選び方を確認します。
- SLAとは｜稼働率99.9%の意味と契約前に読む項目 … 稼働率の数字の意味と、契約前に読む項目です。
- 電子契約サービスの比較の観点｜法的な位置づけと選び方 … 契約まわりをSaaSで行うときの、法的な位置づけと比較の観点です。
押さえておきたいポイント（リサーチ）
公的機関や事業者の公式情報で確認できた内容です。
| 論点 | 確認できた内容 | 出典 |
|---|---|---|
| 責任共有モデル | AWSの説明では、クラウドのインフラの保護はAWS、そこに構築するシステムやデータの保護は利用者。たとえばS3のようなサービスでは、データの管理、暗号化の選択、IAM権限の設定が利用者の責任とされる | AWS |
| 2段階認証 | パスワードが盗まれた場合に備えて、追加の認証手順を求める機能。Googleでは、パスキー、認証アプリ、セキュリティキーなどが選べ、SMSや音声通話の認証は電話番号を使った攻撃に弱いと説明されている | Googleアカウント ヘルプ |
| ISMAP | 政府が求めるセキュリティ要件を満たすクラウドサービスを事前に評価し登録する制度。令和2年（2020年）6月に運用が始まり、政府機関等は原則としてこのリストから調達する | 内閣サイバーセキュリティセンター |
| 電子署名法 | 2001年4月1日施行。本人による一定の要件を満たす電子署名が行われた電子文書は、真正に成立したものと推定される | 法務省 |
稼働率については、公式のSLAを読むときの基本計算があります。たとえば稼働率99.9%は、30日の月で約43分の停止、99%は約7時間12分の停止が許容される計算です（30日＝43,200分として、0.1%は43.2分、1%は432分）。数字の差が大きく見えない場合でも、停止してよい時間は大きく異なります。
また、ISMAPのリストに載っているかは、政府機関向けの調達で使われる基準です。民間企業が選ぶ際の唯一の基準ではありませんが、第三者の評価を受けているかを見る参考にはなります。制度や各社の仕様は更新されるため、最新は公式で確認してください。
よくある疑問
Q. SaaSを選ぶとき、何から比較すればよいですか。
A. 必要な機能、費用、セキュリティ、サポート、解約時のデータの扱いが基本の5項目です。詳しくは SaaSの選び方と比較の観点｜導入前の確認項目 を参照してください。
Q. SaaSを使えば、セキュリティはすべて事業者任せでよいですか。
A. いいえ。事業者が守る範囲と利用者が守る範囲があります。クラウドの責任共有モデルとは｜SaaS導入で利用者が守る範囲 で分担を確認してください。
Q. 二要素認証は必ず有効にすべきですか。
A. パスワードが漏えいしても不正ログインを防げるため、有効にすることが望ましいとされます。方式の選び方は 二要素認証とは｜SaaSで必ず有効にしたい理由と方式の選び方 にまとめています。
Q. 稼働率99.9%は十分に高いですか。
A. 月に約43分の停止が許容される水準です。事業の影響度との関係は SLAとは｜稼働率99.9%の意味と契約前に読む項目 を参照してください。
Q. 電子契約は紙の契約と同じ効力がありますか。
A. 一定の要件を満たす電子署名には、真正に成立したと推定する法律上の仕組みがあります。個別の契約への当てはまりは 電子契約サービスの比較の観点｜法的な位置づけと選び方 と、専門家の確認が前提です。
編集部の見解
SaaSの比較では、機能表の○×が目を引きますが、導入後に問題になりやすいのは、実は「誰が管理者か」「退職者のアカウントをどう止めるか」といった運用の部分だと考えます。機能の差は後から乗り換えて解消できますが、運用の抜けは事故につながりかねません。
そのため、選定の初期段階で、責任共有、二要素認証、データの持ち出しの3点を確認することを提案します。この3点は、どのSaaSにも共通して使える確認項目だと考えます。SLAの数字は、止まったときの事業への影響と合わせて判断するのが、実務的だと考えます。
本ページは情報提供を目的としたもので、法的・専門的な助言ではありません。契約や認証の要件は、必ず公式情報と専門家に確認してください。