LASSIC Media らしくメディア
SaaSを外注で入れるとき、セキュリティで何を確かめるか
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- SaaSのセキュリティは提供元・外注先・自社の分担で決まり、共有や権限の設定は利用する側が責任を持ちます。
- 外注先が行った設定も自社で点検する仕組みを作り、点検する日をあらかじめ決めておきます。
- 提供元・外注先・自社の分担表を作り、外注先に渡す権限の範囲と期限を決めてから作業を始めます。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
SaaSの導入と初期設定を外注するときに確かめたいのは、提供元・外注先・自社がそれぞれどこまでを守るかという分担と、外注先に渡す権限の範囲です。決める時期は、外注先に管理者権限を渡す前です。分担表を作り、共有と権限の設定を自社で点検する日まで決めておけば、任せたあとに設定が誰の目にも触れない状態を防げます。
本記事では、総務省の「クラウドサービス利用・提供における適切な設定のためのガイドライン」とIPAの手引きをもとに、設定の誤りが起きやすい箇所、外注先と進めるときの基準、点検の項目、費用の見方、契約で押さえる点を順に整理します。
目次
設定を任せたあと、誰も中身を見ていない
SaaSの導入を外注すると、初期設定が終わった時点で作業が完了扱いになりがちです。外注先が行った設定を誰も点検しないまま、共有の範囲が広すぎる状態が続くと、気付かないうちに社内の情報が外部から見える状態になります。総務省は、クラウドサービスを使う事業者で「情報の流失のおそれに至る事案」が増えているとして、2022年10月に設定のためのガイドラインを公表しました*1。
悩みごとに、先に読むとよい章を示します。
| 悩み | 読む章 |
|---|---|
| 共有の設定が正しいか分からない | 設定の誤りを防ぐ点検 |
| 外注先に管理者権限を渡してよいか | 権限と契約の確認点 |
| 承認に必要な費用の見方が分からない | 費用対効果の見方 |
ガイドラインの概要は、設定に不備があった場合のリスクを設定の種類ごとに挙げています*3。SaaSでも起こりうるものを抜き出し、点検する人の欄を付けると次のとおりです。
| 設定の種類 | 典型の誤り | 点検する人 |
|---|---|---|
| 管理者と一般の利用者 | 両者を分けずに認証を設定し、管理者権限の設定が甘くなる | 自社の運用担当 |
| アクセスの範囲 | アクセス管理を厳密に設定せず、不慣れな利用者が不注意で個人情報を公開してしまう | 自社の運用担当 |
| 退職者のID | IDやパスワードを失効させずに放置し、不正に使われる | 自社の運用担当 |
| ゲストユーザー | 権限を適切に設定せず、想定外の情報が見えてしまう | 自社の運用担当 |
| 操作の記録（ログ） | 記録がオフの既定のままで、異常が起きても気付かない | 外注先が有効にし、自社が定期に見る |
外注先が作業した設定でも、点検は自社の担当が持つ形にしておくと、外注先が替わっても点検が途切れません。
穴は製品ではなく「設定」と「権限」に開く
SaaSの製品そのものの守りの強さより、共有の設定と管理者権限の持ち方が漏えいの原因になりやすい点を押さえておきます。ガイドラインの概要は、提供側に求める対策の中で「デフォルト値がそのまま変更されなかったため情報漏えいに至ったケースが多発している」と述べています*3。
さらに、SaaSでは利用者アカウントや業務データの設定が利用する側の責任とされています。製品の評判がよくても、誰に何を見せるかを決める設定は自社の側に残ります。まず、次の3つに答えられるかを試してみてください。
- 外部への共有を許す設定を誰が決めたか
- 管理者権限を持つ人を全員言えるか
- 退職者と外注先のアカウントを止める手順があるか
1つでも答えに詰まるなら、外注先に設定を任せる前に、点検の仕組みを決めておく必要があります。後半では、分担の決め方、設定の点検の項目、費用対効果の見方、導入した会社の例、権限と契約の確認点を順に確かめられます。
外注先と進めるときの4つの基準
外注先と進めるときは、次の4つの基準で今の計画を見直します。どれも、外注先が替わっても自社に仕組みが残るかどうかを見るものです。
| 基準 | 目安 | 見る資料の例 |
|---|---|---|
| 分担の明確さ | 提供元・外注先・自社の守る範囲が表で示されているか | 提供元の利用規約、外注先の提案書 |
| 権限の範囲 | 外注先の権限が作業に要る分だけで、期限が決まっているか | 作業計画、アカウントの一覧 |
| 設定の点検 | 共有・権限・記録の設定を自社で定期に確かめられるか | 点検表、SaaSの管理画面 |
| 提供元の情報の開示 | 公的な開示指針の項目に沿ってセキュリティの情報が出ているか | 提供元の公開資料 |
4つ目の開示指針は、ガイドラインと同じ日に第3版として公表された「ASP・SaaSの安全・信頼性に係る情報開示指針（ASP・SaaS編）」です*1。中身は後半の「導入した会社の例と判断の材料」で取り上げます。
経理の仕組みを入れるときの権限の分け方
経理のSaaSは、取引先の口座や給与など、漏れたときの影響が大きい情報を扱います。初期設定は外注先に任せ、管理者権限は自社の担当が持ち、外部への共有は承認制にする、という分け方がひとつの形です。運用担当の判断の流れを並べると次のとおりです（本記事の整理）。
| 判断すること | 見る点 | 決め方の例 |
|---|---|---|
| 扱うデータの重さ | 漏れたときの影響が大きい情報が入るか | 入るなら、共有の既定を社内の利用者だけにする |
| 外注先に任せる範囲 | 初期設定と運用のどこまでを任せるか | 初期設定だけを任せ、日々の運用は社内で行う |
| 管理者権限の持ち方 | 管理者を誰にするか | 自社の担当が持ち、外注先には作業用の権限を期限付きで渡す |
| 外部への共有 | 社外の人にデータを見せる操作を誰が許すか | 承認制にし、承認する人を決めておく |
| 作業後の点検 | 外注先の作業が終わったあとに何を見るか | 共有・権限・記録の設定を点検する日を決める |
IPA（情報処理推進機構）の手引きも、クラウドサービスを使う人の範囲を決めて権限を管理することを求め、例として承認権限を従業員の上司に付与する形を挙げています。
提供元・外注先・自社の分担
提供元が守る範囲と、設定・運用で自社が負う範囲を分担表で分け、外注先の担当を書き込みます。総務省のガイドラインは、SaaSではアプリケーションの動作に係る設定を提供元が受け持ち、利用者アカウントや業務データの設定は利用する側の責任になると整理しています*2。
外注先が入る場合の考え方も示されています。設定作業を外部に委託する場合、外注先は作業に責任を持ち、正しく設定して引き渡す必要がある一方、最終責任は利用する側にあるとされています。ガイドラインはこの整理をIaaS（仮想サーバーなどの基盤）の例で示していますが、SaaSの設定を任せる場合も同じ考え方で分担表を作れます（本記事の整理）。
ガイドラインは、国内でクラウドサービスを使う企業等の約60%が運用支援の全部または一部を外部に委託しているという民間の調査を引いています*2。外注は珍しい形ではないため、分担を表にしておく意味は大きいと言えます。
| 項目 | 提供元 | 外注先 | 自社 |
|---|---|---|---|
| アプリケーションの動作と提供側の環境 | 設定と管理 | ― | 開示された情報を読む |
| 利用者アカウントと業務データの設定 | 設定の手段を用意する | 初期設定の作業 | 設定の中身を決め、点検する |
| 管理者権限 | ― | 作業の期間だけ持つ | 常に持ち、付与と停止を行う |
| 操作の記録 | 記録の機能を用意する | 初期設定で有効にする | 定期に見る |
| 責任 | 提供側の環境 | 作業の中身 | 利用する側の設定の最終責任 |
分担の全体像を図にすると次のとおりです。
責任を分け合う考え方そのものは、クラウドセキュリティと責任共有モデルでも解説しています。
設定の誤りを防ぐ点検
共有・権限・記録の設定を、公的なガイドラインの項目に沿って定期に点検します。総務省のガイドラインは利用する側の対策として、設定項目の定期的なチェックと、内部監査や外部診断などを挙げています*3。
あわせて、設定をSIer（システムの導入や運用を請け負う会社）が支援する場合は、双方でよく確認を行うこととしています。点検の項目は、外部への共有、管理者の一覧、操作の記録の3つから始めると絞りやすくなります（本記事の整理）。
| 点検の項目 | 見る点 | 点検する時期の例 |
|---|---|---|
| 外部への共有 | 社外に公開・共有されているデータと、既定の公開範囲 | 外注先の作業の後と定期 |
| 管理者の一覧 | 管理者権限を持つ人を全員言えるか、不要な人がいないか | 定期と外注先の作業の終了時 |
| 利用者とゲスト | 退職者や外注先のアカウントが残っていないか、ゲストの権限が最小か | 退職と契約終了の都度 |
| 認証 | 2段階認証などを使っているか、IDとパスワードを共有していないか | 定期 |
| 操作の記録 | 記録が有効になっているか、誰が見るか | 定期 |
| バックアップ | 重要な情報を手元に確保しているか | 定期 |
IPAの手引きは、選ぶとき・運用するとき・セキュリティ管理の3つに分けた15項目のチェックシートを示しています*5。外注先との打ち合わせでこのチェックシートを分担表と並べて使うと、項目ごとに誰が受け持つかを決めやすくなります。
点検の手間を減らす道具を提供元が用意していることもあります。ガイドラインは提供側の対策として、設定項目管理ツールと設定項目診断ツールの提供を挙げています。
費用対効果の見方
外注費だけでなく、点検の手間と事故の対応にかかる費用を同じ期間で並べます。外注費は見積もりで見えますが、点検の手間と事故の対応の費用は見積もりに出てこないため、並べないと比べられません。
| 費用の項目 | 中身 | 数字の出どころ |
|---|---|---|
| SaaSの利用料 | 初期費用と月額の利用料 | 提供元の料金表 |
| 外注費 | 初期設定の費用と、運用も任せるならその費用 | 外注先の見積もり |
| 社内の点検の手間 | 点検1回の時間×年間の回数×担当の人数 | 社内で数える |
| 事故の対応の費用 | 本人への謝罪や補償、関係者への連絡、再発防止 | 過去の対応の記録や想定 |
IPAの手引きは、個人情報が漏えいした場合の影響として、本人への謝罪や補償、関係者への連絡が必要になることや、被害拡大防止や再発防止のために多額の費用がかかることを挙げています*5。点検に時間を割く理由は、この費用と並べると説明しやすくなります。
効果の側は、作業時間がどれだけ減るかで見ます。IPAの手引きは、経費精算にクラウドサービスを使って社内の作業時間を短縮し、サービス利用料を上回るコストを削減する例を挙げています。外注の形は次の2つを同じ表で比べます。
| 外注の形 | 費用の出方 | 向く条件 |
|---|---|---|
| 初期設定と運用を外注する | 外注費が続けて発生し、社内の手間は点検だけになる | 社内に設定を確かめられる人がいない |
| 初期設定だけ外注し、運用は社内で行う | 外注費は初期だけで、日々の運用の手間が社内に残る | 社内に設定を確かめられる人がいる |
- 期間は1年など同じ長さにそろえる
- 点検の手間は担当の時間で数え、外注費と同じ表に入れる
- 経理や人事など重いデータを扱うなら、事故の対応の費用の行を省かない
導入した会社の例と判断の材料
公的な活用事例で業務の変わり方を確かめ、自社の業務と扱うデータに照らして判断します。デジタル化・AI導入補助金の事務局のサイトは、ITツールの活用事例を業種で絞り込める形で34件載せています*6。クラウド会計の事例には、会計ソフトのクラウド化で経理業務の効率化と高精度化を実現したとする情報サービス業の会社などがあります。
中小企業基盤整備機構の事例では、店舗の拡大とネットショップの開始で従業員が増えた飲食業の会社が、給与計算やシフト作成などに時間をとられるようになり、クラウドサービスの導入を検討しています*7。事例から読み取れるのは主に業務の変わり方なので、設定と権限の分け方は自社の扱うデータに照らして決めます。
提供元のセキュリティの水準は、総務省の情報開示指針の項目に沿った情報が出ているかで見ます。指針には次のような項目があります*4。
| 指針の項目 | 見る中身 |
|---|---|
| 管理者権限の運用管理 | システム運用部門の管理者権限の登録・登録削除の手順の有無 |
| ログの取得 | 利用者の利用状況の記録の取得の状況と、その保存期間、利用者への提供の可否 |
| 設定不備防止対策 | 総務省のガイドラインの設定項目の類型ごとの、設定不備を防ぐ対策の有無 |
| 委託先に対する管理状況 | 委託先（再委託先）の管理方法など |
| 情報の返却・削除・廃棄 | 契約終了時の利用者データの返却、削除または廃棄の方法 |
この項目は製品を比べるためではなく、自社の分担表の「提供元」の列を埋めるために使います。開示された情報で埋まらない行は、外注先と自社のどちらが補うかを決めておきます。
権限と契約の確認点
管理者権限の扱い・再委託・データの返却と消去を、契約と社内規程で確かめます。ガイドラインは、SIerなどが間に入る提供形態でも、契約の前に責任分界、運用上の役割、免責事項などをよく確認して契約する必要があるとしています*2。
| 確認点 | 契約と規程で見る中身 |
|---|---|
| 管理者権限 | 外注先に渡す権限の範囲と期限、作業の終了時に止める手順、作業の記録の引き渡し |
| 再委託 | 外注先がさらに別の会社に作業を任せるか、その場合の管理の方法 |
| データの返却と消去 | 契約終了時のデータの返却の方法、消去・廃棄の方法、その証明の有無 |
| 秘密の保持 | 守秘義務の条項と、違反があった場合の扱い |
| 事故の連絡 | 事故が起きたときの連絡の経路と、連絡までの時間 |
データの返却と消去は、提供元との契約でも確かめます。開示指針は、契約終了時の利用者データの返却責任の有無と返還方法、削除または廃棄の方法、削除や廃棄の証明書等の提供を開示の項目にしています*4。
外注先に渡す権限は、作業の始まりに渡し、終わりに止めるまでを一続きの手順にしておきます。
- 作業の前：権限の範囲と期限を書面で決める
- 作業の間：外注先の操作の記録を残す
- 作業の後：外注先のアカウントを止め、管理者の一覧を点検する
まとめ：SaaSの外注で先に決める分担と権限
SaaSは提供元が守るものと考えがちですが、共有や権限の設定は利用する側の責任で、外注先が行った設定も自社で点検する仕組みが要ります。外注先に管理者権限を渡す前に、分担表と点検の日を決めておくことが出発点です。今日からは、分担表に提供元・外注先・自社の担当を書き込み、外注先に渡す権限の範囲と期限を決めるところから始めてください。
よくある質問
SaaSのセキュリティは提供元が守ってくれますか
提供元が守るのは基盤の部分で、共有や権限の設定は利用する側が確かめます。総務省のガイドラインも、SaaSでは利用者アカウントや業務データの設定を利用する側の責任と整理しています。外注先に設定を任せる場合も、点検は自社で受け持ちます。
外注先に管理者権限を渡してもよいですか
作業に要る範囲と期限を決め、終わったら止める手順を決めたうえで渡します。作業の間は外注先の操作の記録を残し、作業が終わったら管理者の一覧を点検します。
点検は何を見ればよいですか
外部への共有、管理者の一覧、操作の記録の3つから見ます。慣れてきたら、退職者や外注先のアカウント、認証の設定、バックアップへ広げます。
提供元のセキュリティの水準はどう確かめますか
公的な開示指針の項目に沿った情報が出ているかを確かめます。総務省の情報開示指針には、管理者権限の運用管理、ログの取得、設定不備の防止策、データの返却と削除などの項目があります。
外注の費用はどう説明すればよいですか
外注費と社内の点検の手間を、同じ期間で並べて示します。事故が起きたときの対応の費用も同じ表に入れると、点検に時間を割く理由を説明しやすくなります。
IT運用の外注と体制の相談
社内でSaaSの設定を確かめられる人の有無と、外注先に渡す権限の範囲の案をお手元にご用意いただければ、話を具体的に進められます。
Remoguとリラシクなら、リモートワークで働く社員の候補者も、業務委託で開発に加わる専門人材も探せます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：総務省 報道資料「クラウドサービス利用・提供における適切な設定のためのガイドライン」及び情報開示指針（ASP・SaaS編）第3版の公表（令和4年10月31日）（https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00149.html）。出典：1 概要、4（令和4年10月31日公表）を参照（確認日2026年10月30日）（2026年10月確認）
- *2 参考：総務省「クラウドサービス利用・提供における適切な設定のためのガイドライン」（2022年10月・別紙2）（PDF）（https://www.soumu.go.jp/main_content/000843318.pdf）。出典：Ⅰ．2 ガイドラインの位置付け、Ⅱ．1．2 の1（SaaSの設定に関する責任分界）、Ⅱ．1．3 の1・2を参照（確認日2026年10月30日）（2026年10月確認）
- *3 参考：総務省「クラウドサービス利用・提供における適切な設定のためのガイドラインの概要」（令和4年10月・別紙3）（PDF）（https://www.soumu.go.jp/main_content/000843319.pdf）。出典：p.3（責任と役割）、p.5（設定項目の類型と設定不備の場合のリスク）、p.8〜9（利用側に求められる対策）、p.10〜11（提供側に求められる対策）を参照（確認日2026年10月30日）（2026年10月確認）
- *4 参考：総務省 ASP・SaaSの情報開示指針（ASP・SaaS編）第3版（別紙4）（PDF）（https://www.soumu.go.jp/main_content/000843320.pdf）。出典：開示項目28・44・63・65・68を参照（確認日2026年10月30日）（2026年10月確認）
- *5 参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン第4.0版」付録7（中小企業のためのクラウドサービスの利用の手引き）（PDF）（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_7.pdf）。出典：利用チェックシート（15項目）、解説編（No.2・3・8）を参照（確認日2026年10月30日）（2026年10月確認）
- *6 参考：独立行政法人中小企業基盤整備機構 デジタル化・AI導入補助金2026「ITツール活用事例」（https://it-shien.smrj.go.jp/applicant/example/）。出典：事例一覧（すべてのカテゴリ）を参照（確認日2026年10月30日）（2026年10月確認）
- *7 参考：独立行政法人中小企業基盤整備機構 ここからアプリ「クラウドサービスの導入で、管理業務の効率化を目指す」（https://digiwith.smrj.go.jp/cocoapp/case/cp577f0000003we9.html）。出典：【課題】を参照（2020年9月1日掲載・確認日2026年10月30日）（2026年10月確認）
