SaaSアカウント管理のセキュリティベストプラクティス——シャドーITと退職者対応も解説
企業のSaaSアカウント管理における認証セキュリティを解説。SSO導入・退職者アカウント無効化・シャドーIT対策のチェックリストを紹介。
SaaSの急増がもたらすアカウント管理の課題
中規模企業でも利用するSaaSの平均数は100〜200件に達するとも言われる。各サービスにアカウントが存在し、退職者・部署異動・権限変更が発生するたびに管理が複雑になるよ。
SaaSアカウント管理の4大リスク
- 退職者アカウントの放置：元従業員が引き続きアクセスできる
- シャドーIT：IT部門が把握していないSaaSに業務データが存在する
- 過剰な権限：業務に不要な管理者権限を持つアカウントが多数ある
- パスワード使い回し：個人が同じパスワードをSaaS間で使い回している
対策1：シングルサインオン（SSO）の導入
主要IdPの比較
| 製品 | 特徴 | 向いている規模 |
|---|---|---|
| Okta | 最多SaaS統合数、使いやすいUI | 中〜大規模 |
| Microsoft Azure AD | Microsoft 365と一体化 | Microsoft環境の企業 |
| Google Workspace | Google系サービスと統合 | Google環境の企業 |
| JumpCloud | コストパフォーマンス良好 | 中小規模 |
SSOを導入すると退職時にIdPのアカウントを1つ無効化するだけで全SaaSへのアクセスを遮断できるよ。
対策2：退職者対応の自動化
退職当日（または前日）に以下が自動実行される仕組みを作ろう。
- IdP（Azure ADやOkta）のアカウント無効化
- MFAデバイスの登録削除
- アクティブセッションの強制終了
- 業務メールの自動転送設定解除
SSOで管理されていないSaaS（シャドーITや古いシステム）は別途チェックリストで対応する。
対策3：最小権限の原則
各ユーザーには業務遂行に必要な最小限の権限だけを付与しよう。
- 管理者権限は専用アカウントで使用し、日常業務では一般権限アカウントを使う
- 権限は申請→承認→付与のフローで管理する
- 四半期ごとに権限の棚卸し（アクセスレビュー）を実施する
対策4：SaaSのパスワード管理
SSOが使えないSaaSへのパスワードは個人任せにせず、組織のパスワードマネージャーで一元管理しよう。1Password BusinessやKeeper Businessなら管理コンソールからポリシー適用・パスワード健全性の監視ができるよ。
チェックリスト
- [ ] 全SaaSの棚卸しリストを作成・更新している
- [ ] SSO未対応のSaaSを別途管理している
- [ ] 退職時のアカウント無効化が自動化されている
- [ ] 四半期ごとに権限レビューを実施している
- [ ] MFAを全SaaSで有効化している
SaaSアカウント管理は一度整えると大幅に運用コストが下がるよ。退職者対応の自動化だけでも着手する価値が十分ある。
作ったパスワードは頭で覚えるのではなく、マネージャーに任せると安全です。 編集部がふだん使っているサービスをご紹介します。
洗練されたUI・Watchtower侵害通知・旅行モード搭載。Apple製品ユーザーに特に人気の老舗マネージャー。
オープンソースで透明性が高く、無料プランでも基本機能をフルに使える。セルフホストも可能。
SOC2 Type2認証取得済み。BreachWatch によるダークウェブ監視と法人向け管理コンソールが強力。
NordVPN 系列の老舗。XChaCha20 暗号化・データ漏洩スキャナ・パスワードヘルスを内蔵。日本語UI対応。
スイス拠点・Proton Mail 系列。E2E 暗号化・メールエイリアス・2FA を1つに統合。プライバシー重視派に。