ニューノーマル処方箋（第17回）SaaSを使いこなして業務効率化、投資対効果を上げるクラウドサービスの選定・導入ガイド

　SaaSは柔軟な変化が求められる昨今に相性の良いサービスですが、もちろん、メリットばかりではありません。従来のソフトウエアとの違いや注意点は以下の通りです。

1．導入は簡単だが、個別カスタマイズは困難

　SaaSの導入は非常に簡単です。製品によっては、新規アカウントを作成して必要な情報を入力すれば、そのタイミングから利用できます。ベンダーと契約のやり取りを行った後に使えるようになるものもあります。

　しかし、原則としてSaaSは、自社個別にソフトウエアの仕様をカスタマイズしたり機能を追加したりといった対応はほとんどできません。できるのは、すでに存在する機能やプランの中から自社に合ったものを選んだり、設定を変更したりすることです。SaaSは安価に利用できますが、これは、ベンダー側が個別対応せず、契約者全員が同じ製品を使うからこそ成り立っています。

　SaaSの登場以前、オンプレミスにシステムを構築していた時代では、自社のニーズに合わせてパッケージ製品をカスタマイズしたり、オーダーメードでシステム構築したりする例が多く見られました。言い換えれば「自社の業務にシステムを合わせていた時代」ともいえます。しかし、SaaSを利用する場合は「製品が提供する機能に自社の業務を合わせる」という考えが重要になります。

2．望まないアップデート

　SaaSは一般的なソフトウエアと同様、随時新しいバージョンがリリースされてアップデートされます。オンプレミスのパッケージソフトでは、新しいバージョンを導入するか古いバージョンを使い続けるか、またアップデートする場合はいつ行うかを自社でコントロールできました。しかしSaaSの場合、アップデートはSaaSベンダーのタイミングで行われます。

　ソフトウエアのアップデートは、新しい機能が追加されたり不具合が解消されたりするので、基本的にユーザーのメリットになることが多いのですが、操作方法やユーザーインターフェースが変わってしまうこともあり、必ずしも自社が望むアップデートにならない場合もあります。SaaSを利用する場合「突然の変化、多少の変化は許容する」という柔軟性が必要です。

3．社内統制に注意

　SaaSの普及によって起きた変化の1つに、導入が簡単ゆえにシステムをIT部門に相談しなくても導入できるようになったことが挙げられます。しかし、そこではしばしば統制上の問題が発生しがちです。部署ごとに必要なSaaSをIT部門が詳細に把握しないまま契約したことで、社内の規定では認められていないセキュリティ基準でツールが運用されてしまう可能性も考えられます。

　さらに、IT部門が関与していなかった場合、情報漏えいなどのセキュリティインシデントが発生した際の責任問題も曖昧になります。SaaS導入を主導した担当者が退職してしまって、IT部門も当該の部門も誰も詳細が分からなくなってしまったという事態にも陥りかねません。手軽に導入できる分、管理方法を事前に議論してから導入していきたいものです。

4．トラブルがゼロではない

　一昔前までは、SaaS含むクラウドサービス全般の信頼性や安全性に疑問を持つ方も少なくありませんでしたが、最近では、「自社でシステムを抱えるよりも安心」という認識が広まってきました。一般的にSaaSは、堅固かつセキュリティ対策が施されたデータセンターや大手クラウドベンダーのインフラ上に構築されています。そのため、災害などで自社が被災するリスク、活発化するサイバー攻撃の被害のリスクを考えると、自社でシステムを抱えるより専門の企業にシステムを管理してもらうほうが安全ともいえます。

　もちろん、SaaSは100%安定的に稼働できるわけではありません。例えば、Amazon Web ServicesやMicrosoft Azureなどの大手クラウドベンダーが障害を起こし、そのインフラ上で稼働するSaaSが一時的に使用できないというトラブルはしばしば報告されています。ほとんどの場合短時間で復旧されるケースが多いのですが、SaaS利用にはこのデメリットを念頭に置いておくとよいでしょう。

　サービスの安定性については、一般的にSaaSを含むクラウドサービスはSLA（Service Level Agreement：サービス品質保証）として、「稼働率●%」というように、どの程度安定性を確保できるのか定めています。視点を変えると、SLAで「稼働率99.99%」としていた場合、0.01%のダウンタイムまでは許容されるということです。もしそのSLAを満たせなかった場合は契約企業に補償が行われますが、その内容はSaaSによって異なります。

5．使い方によっては費用が高くつく

　SaaSは、初期投資コストが安く、使った分だけ払うという形式によるコストメリットが注目されます。しかし利用料の多くは「利用者1人当たり」の設定なので、契約者数が大人数の場合、投資対効果が悪くなることがあります。例えば、あるファイル共有SaaSにて、年間5万円で数TBのストレージ容量を使えたとします。従業員500人の企業が全社員分契約したら 1年間で2500万円になってしまいます。全社員が大容量のデータを保存する業務でもない限り、この場合はオンプレミスにファイル共有サーバーを設置して皆でそれを利用する、という方式も検討するべきでしょう。

SaaS利用における情報セキュリティ

　ここまでSaaSならではの特徴と注意点に触れてみましたが、ここからは「セキュリティ」に限定して見ていきましょう。SaaSは場所を選ばず利用できるという特性がありますが、サイバー犯罪者の視点から見れば、企業ネットワークに侵入せずともサービスを攻撃できるということです。SaaS利用で気を付けるポイントは以下の通りです。

1．IDやパスワードの漏えい

　SaaSは、通常自社で行わなければならないセキュリティ対策やOS・ミドルウエアの管理、脆弱性対策をSaaSベンダー側が行うので、自社が対策しなくても高い安全性を実現できます。しかしSaaSへログインするIDやパスワードがひとたび第三者に流出してしまえば、それだけで簡単に情報漏えいが起こってしまいます。ID＆アクセス管理製品などを導入するなどして、IDやパスワード管理に細心の注意を払う必要があります。

2．アクセスする端末の制御

　SaaSは第三者に不正にアクセスされないように、IDやパスワードを管理することが重要ですが、アクセス元の端末の管理・制御も重要です。たとえ正しいユーザーからアクセスしたとしても、その端末がセキュリティ対策の施されていないものであった場合、そこから事故につながることがあります。例えば、マルウエアなど不審なファイルがセキュリティ製品で検知できず端末に残っており、それを誤ってクラウドサービスにアップしてしまう可能性もあるでしょう。適切なユーザーかどうかだけでなく適切な端末であるかどうかも管理する必要があります。

3．単純な設定ミスもトラブルの原因に

　SaaS製品は基本的にログインしているユーザーだけが情報を閲覧できる製品が大半ですが、製品によってはインターネットに情報やファイルを公開できる機能を備えています。実はこの機能に関するユーザー企業側の設定ミスによって顧客情報などがインターネット上で自由に閲覧できる状態になっており、その結果として情報漏えいが発生したというケースが複数報告されています。公開設定範囲があるSaaSは慎重な確認が必要です。

4．SaaSベンダー由来のリスク

　先述のようにSaaSのシステムはSaaSベンダー側が管理しているので、基本的には高い安全性を確保できていると考えられますが、まれにSaaSベンダー内の事故やサイバー攻撃の被害によって、そのSaaSにセキュリティの問題が生じることがあります。

　こうしたケースを考えると、ユーザー企業にとっては、SaaSベンダーが本当に信頼できる企業であるかを確認したいと考えるでしょう。その際に参考の1つとなるのが第三者認証です。

　クラウドセキュリティにはさまざまな第三者認証の制度があり、事業者がそれを取得しているかも確認してみましょう。主要なものでいうと、ISO/IEC 27017といった国際標準規格のほか、事業者の内部統制の取り組みを証明するSOC1、SOC2などがあります。

DXを促進するノーコード開発のSaaSに期待が高まる

　ここまで、SaaS製品の代表的な例と、導入に当たって知っておくべき注意点について解説しました。SaaSはこれからもさまざまな業務領域や業種に普及が広がると思われますが、その中でもSaaS化されるであろう領域として、最後に言及しておきたいのが「ノーコード開発」のカテゴリーです。

　ノーコード開発ツールとは、プログラミング言語の知識不要でマウス処理で部品を並べるだけでアプリケーションを開発できるツールです。ノーコード開発のSaaSでは、アプリケーションの開発環境から、出来上がったものをWeb公開する環境まで、月額利用の料金形態で利用できます。この分野でよく知られている製品がサイボウズの提供する「kintone」です。

　Microsoftもこの分野に力を入れており、「Microsoft Power Platform」という名称のSaaSを提供しています。Word、Excel、Outlookなどよく使うオフィス製品との連携を行える強みがあります。一方でGoogleも「AppSheet」と呼ばれるSaaSを買収して自社のサービスに組み込んでいます。

　現在では、デジタルトランスフォーメーションの機運が高まり業務改革に向けたアプリケーション開発に乗り出す企業が増えていますが、一方で多くの企業が、開発スキルのあるIT人材確保に苦しんでいます。ITの専門家でなくても、業務の現場でアプリケーションを開発して業務効率化や自動化を促進するニーズは高く、まさにノーコード開発はそれに応えるツールであるといえます。「現場でITに強い人材を育成して、よりデジタルに強い組織にしていける」といった効果も期待されています。

　SaaSはこれからも引き続き使われていくでしょう。企業においては、ここまで触れてきた特徴やインターネットベースならではのセキュリティ面に配慮しつつ、ぜひ自社の業務効率化を促進する製品導入を進めていただければと思います。

© NTTCom Online Marketing Solutions Corporation