SaaSセキュリティ・SSPMとは？シャドーSaaS対策と設定・権限の確認方法

SaaSセキュリティでは、利用しているサービスを把握することと、その中の設定・権限・接続を点検することを分けて考えます。SSPM（SaaS Security Posture Management）は、対応するSaaSのセキュリティ設定を評価し、問題の優先順位付けと改善を支える仕組みです。この記事では、シャドーSaaSの発見との違い、製品比較の確認点、是正と運用の進め方を整理します。

SaaSセキュリティとSSPMとは：設定・ID・外部接続を点検する

SSPMは、SaaSの設定状態を基準と照らし合わせ、公開範囲、認証、権限などの不備を見つけて改善へつなぐために使います。点検できる項目は製品と接続先で異なります。サービス名が対応一覧にある場合でも、自社の契約プランやテナントで必要な情報を取得できるか、読み取りと変更のどちらに対応するかを確認します。

設定・権限・連携を業務への影響と一緒に確認する

確認対象の例は、意図しない公開や外部共有、不要な管理者権限、退職後も使えるアカウント、業務に不要なデータを読める連携アプリです。どれを優先するかは扱う情報、接続先、悪用時の影響で判断します。すべての会社で同じ三つのリスクが最大になるとは限りません。設定の推奨値と違う理由がある場合には、業務上の必要性と代わりの対策を担当者が確認します。

人のアカウントだけでなく、自動処理やAI機能が使う接続にも注意します。利用者が画面からサインアウトできることと、アプリへ許可したデータアクセスがなくなることは別の確認事項です。誰の承認で、どのデータへ、どの操作を許しているかを整理すると、不要な権限と止めると業務へ影響する接続を判断しやすくなります。

CASBとの違いは、製品名より必要な機能で比較する

CASBはクラウド利用の可視化、アクセスや情報保護等を扱い、SSPMはSaaS内の設定評価に重点を置きます。ただし製品の機能は重なります。MicrosoftのDefender for Cloud Appsの公式概要も、CASB、SSPM、脅威対策、アプリ間保護を同じ製品の機能として説明しています。両方の製品を必ず別々に買うという順序にはせず、既存契約で使える機能と不足を確かめます。

例えば、未承認サービスの利用状況が不明なのか、承認済みサービスの外部共有が見えないのかで必要な観測が変わります。認証とパスワードの運用を見直す場合は、パスワード管理アプリの選び方も参照できます。保存方法の改善と、SaaSの管理者権限・連携許可の点検は、それぞれの担当と対象を決めて進めます。

シャドーSaaSの発見と設定評価を分け、観測範囲を明らかにする

シャドーSaaSは、会社が把握・承認していないSaaSを業務で利用している状態を指します。無料か有料か、個人カードか法人契約かだけでは判断できません。まず業務部門の申告、契約・支払の情報、ID連携、観測できる通信や利用履歴を照合し、用途と管理者を確認します。一つの一覧に見つからなかったサービスを、未利用と決めつけないことが大切です。

発見・接続・評価は別の状態として記録する

台帳には、サービス名、利用部門、業務目的、管理者、契約、扱うデータ、テナント、認証方式、外部接続、確認日と情報源を記録します。さらに「利用を発見した」「管理APIへ接続できた」「必要な設定を評価できた」「改善結果を確認した」を分けます。発見数が増えても、設定評価が済んだテナントが同じだけ増えたわけではありません。未確認の欄には、次に調べる担当と方法を残します。

MicrosoftのCloud Discovery文書では、通信ログを用いた発見や連携方法を説明しています。標準の発見にはカタログによる制約があり、ログ形式や取得元にも条件があります。これは各SaaSの管理設定を読み取る接続とは別です。監視していない端末や経路、契約情報だけで利用を推測するサービスなど、見えない範囲も台帳と一緒に整理します。

ログや一覧が更新されるまでの時間も確認する

設定評価の取得周期、通信の観測、アプリの許可状況は、同じ時刻に更新されるとは限りません。Googleの第三者アプリのアクセス管理文書では、許可されたアプリの情報表示や、トークン付与・失効後の一覧反映に時間がかかることを案内しています。画面から項目が消えたかだけで、権限失効や処理完了を判断しないようにします。

サービスごとのカタログ掲載数を、設定点検できるSaaS数として比較することも避けます。実際に使うテナントを対象に、取得できる設定、必要権限、失敗時の表示、最終取得時刻を確かめます。台帳をどの業務から整えるか、予算と担当をどう決めるかは、IT戦略の策定と優先順位の決め方にもつながります。未承認の利用を禁止するだけでなく、承認を申請する窓口と代替手段を用意します。

SSPM製品の比較：対応アプリ・権限・取得できる項目を見る

製品比較では、自社の主要SaaSとテナントを行にして、設定評価、ID・権限、外部アプリ、ログ、通知、是正の対応を並べます。対応アプリの総数だけで選ぶと、重要な業務の確認項目が欠けることがあります。以下は公式ページで機能の位置付けを確認できる例です。順位や性能保証ではなく、候補を絞るための確認先として使います。

製品・サービス	公式情報で確認できる位置付け	比較時に確認すること
AppOmni	SaaSの設定・権限、外部接続や脅威を扱うプラットフォーム	自社アプリで取得できる設定、検出結果から修正するまでの手順
CrowdStrike Falcon Shield	OAuthで接続し、設定、ID、第三者アプリ、活動等を点検する機能を案内	接続時の許可、アプリ所有者との分担、利用する契約・機能
Obsidian Security	SaaSの設定状態、ID、データ保護を組み合わせるプラットフォーム	必要な情報の取得範囲と、既存の監視・対応業務への組込み方
Microsoft Defender for Cloud Apps	対応する接続済みアプリのSSPM評価を提供	ライセンス、接続先、評価機能の対応、現在の推奨事項の確認先

例えばMicrosoftのSSPM文書は、製品ライセンスとアプリ接続を前提とし、現在の推奨事項の確認先をSecurity Exposure Managementとして案内しています。古い概要にある画面名だけを固定の手順として使わず、最新の対象機能の文書を確認します。通常提供とプレビュー、利用環境の制約も分けます。

さらに、Microsoftのアプリコネクターの公式対応表は、ユーザー情報、アプリの権限表示、失効操作、SSPMなどを別々に示しています。接続できることが全機能への対応を意味しません。APIの制約や初回走査の量によって処理に時間がかかる点も、導入時の計画に含めます。

費用はアプリ、利用者、テナント、必要機能、支援範囲など見積りの前提をそろえて比較します。既存ライセンスで使える範囲、追加契約、運用担当の作業も確認します。短期間の検証では、正常な設定を問題扱いしないか、重要な不備を検出できるか、取得失敗を担当者が把握できるかを試します。PoCの目的・評価基準の決め方を使い、合格条件と本番へ進む判断者を検証前に定めます。

導入・運用の進め方：通知から是正・失効・再確認へつなぐ

導入では、重要なデータを扱うSaaSや高い権限を持つ接続から対象を選びます。一律に全サービスを同時接続する日程を置くより、台帳、接続権限、社内承認、評価基準、対応担当がそろった対象を段階的に広げる方が、未確認事項を追いやすくなります。ここでは業務へ組み込むための進め方を提案します。

推奨設定をそのまま変更せず、影響と戻し方を確認する

検出結果には、対象テナント、設定、取得時刻、影響する情報、推奨する対応、担当と期限を付けます。外部共有を止めると取引先との業務が止まる場合もあるため、必要性、例外の期限、代替策を確認します。変更は承認範囲を明らかにし、影響の確認と元に戻す方法を用意します。自動是正を使う場合も、実行可能な操作、与える権限、承認が必要な条件を限定します。

完了は通知を閉じたことだけで判断しません。実際の設定と再取得した結果、業務が続けられることを確認し、証跡を残します。取得できなかった項目を安全と数えないよう、未評価・例外・是正済みを分けます。監査や認証に関係するレポートも、設定確認を助ける資料です。ツールを導入しただけで、認証や法令上の義務を満たすとは判断しません。

退職・異動と第三者アプリの権限を連動させる

Microsoft Entraのプロビジョニング文書は、初回と継続的な同期、対象から外れた利用者の無効化等を説明しています。同期周期や失敗、接続先の実装によって結果は異なり、ID側の操作だけで全SaaSが直ちに失効するとは限りません。退職時は対象のアクセス停止、異動時は新しい職務に必要な権限への変更を、接続先の結果まで確認します。

共有アカウント、自動処理、連携アプリの所有者が退職する場合には、引継ぎと不要な許可の失効も対象です。AIエージェントからSaaSを操作する場合は、閲覧と更新の権限、実行前の確認、停止と復旧を整理します。詳しくはAIセキュリティの脅威・対策・ガバナンスを参照できます。対策を追加した後も、業務や契約、接続が変わるたびに再確認します。

認証・権限や外部接続を調べ、弱点への対処や停止・復旧の方針まで整理したい場合は、RenueのAI時代のセキュリティ診断・改善支援へ相談できます。対象環境と許可された診断範囲、必要な改善を確認して支援内容を決めます。特定SSPM製品の販売や、すべてのSaaSの自動是正を前提にするものではありません。台帳・通知・確認作業を既存システムへつなぐ実装が必要な場合は、FDEによる実装・運用支援も含め、接続先と担当、受入条件から範囲を整理します。