SaaSは、インターネット上でツールやサービスを利用できるため、多くの企業や個人が活用しています。しかし、SaaSはインターネット上でサービスの利用が完結するため、セキュリティを万全にしておかなければ情報漏洩などのリスクにも晒されてしまいます。SaaSを利用する際に、利用者である企業側が気を付けるべきリスク面を紹介した上で、対策方法も解説します。SaaSを活用しながら運営している会社の経営者やIT部門の担当者の方はぜひ参考にしてください。

SaaS利用時のセキュリティリスクと対策

SaaSは基本的にセキュリティリスクの低いサービスとされています。SaaSそのものに対するサイバー攻撃に対して、セキュリティ対策をおこなうのはサービスを提供するベンダー側です。ベンダー側がしっかりとセキュリティをおこなっているので、安心して使えます。何かトラブルが起こってしまった場合も、ベンダー側の過誤であれば保証してくれます。そのため、サービスを利用する会社が、SaaSそのもののセキュリティ対策をすることはできません。セキュリティ上気を付けなければいけないのは、社内のネットワークや個々のデバイスです。サイバー攻撃は、SaaSを利用する会社の社内ネットワークや個々のデバイスが狙われる場合があります。ここからは、SaaSを利用する際のセキュリティリスクを5つ紹介します。

• マルウェアによる攻撃
• 社内使用デバイスの紛失
• なりすまし不正利用
• SaaS運用会社のサービス不備
• シャドーIT：業務外サービスの使用

それぞれのリスクに対して、SaaSを利用する会社がおこなう必要があるサイバー攻撃のリスクへの対策方法を解説していきます。

マルウェアによる攻撃

SaaSのサービスを利用している場合、社員個人のパソコンからマルウェア攻撃を受けるリスクがあります。マルウェア攻撃はメールに添付されたファイルやWeb広告、ポップアップ広告などに仕込まれています。そのため、社員個人が安易に添付ファイルの開いたり、Web広告をクリックしたりしてしまうとマルウェア感染することがあります。マルウェアに感染してしまうと、業務の大部分を停止しなければいけません。

対策方法： 不審なメールへの注意喚起

マルウェア感染への対策方法は、不審なメールを開くことやWeb広告の閲覧を控えることです。しかし、マルウェアの侵入手口は年々巧妙になっているため、不審なメールや広告に対する注意喚起をする仕組みを導入すべきです。最新の手口に対しても対応可能な、セキュリティシステムが備わってるサービスを選べば多くのリスクを回避できます。

社内使用デバイスの紛失

社内のデバイスや外部保存できるUSBなどの紛失による情報漏洩もリスクの一つです。社内の情報が保存されているパソコンを紛失してしまうと、悪意あるユーザーによってデバイス内の情報が盗まれてしまいます。個人のIDやパスワード情報が盗まれてしまうと社内のネットワークに部外者が入ることができるようになります。

対策方法： すべてのデバイスの管理

物理的なデバイスを社内で管理することで、不正なファイルを外部から侵入させることを防げます。また、社内ネットワークへのアクセスには、個別IDやパスワードを設定して、容易に入れないようにしておけばトラブルを避けられます。

なりすまし不正利用

社員になりすまして社内ネットワークに侵入するハッカーも存在しています。パスワードを複雑にしても、パスワード情報自体が流出してしまえば社員になり済まして不正に社内ネットワークを利用されてしまいます。

対策方法： 多要素認証の導入

なりすましによる不正利用に対してのセキュリティ対策は、多要素認証を導入することでおこないます。「ワンタイムパスワード」や「ブラウザ認証機能」などの多要素認証を導入しておけば、なりすまし不正利用もできないため安全性は向上します。

SaaS運営会社のサービス不備

SaaS運営会社のセキュリティや運営に対して、サービスを利用する会社がなんらかのセキュリティを導入させることはできません。そのため、SaaS運営会社が急な倒産をしてしまった場合やシステムが停止してしまうと、サービスの利用ができなくなります。また、保存されたデータも消失してしまうリスクがあります。

対策方法： 定期的なデータバックアップ

SaaS運営会社の不備によるサービスの停止や保存データの消失への対策は、定期的なデータのバックアップです。SaaS運営会社が急にサービスを停止しても、社内でシステムやデータのバックアップをおこなっておけば復旧に手間がかかりません。会社運営の支障も最小限に抑えられます。

シャドーIT：業務外サービスの使用

社員個人が業務上許可されていない管理外の外部サービスを利用して、サイバー攻撃を受けてしまうこともあります。こういった「シャドーIT」も社内のネットワークへの脅威です。シャドーITの問題は会社側が管理しきれていないので、被害の状況を把握するのも難しくなります。

対策方法： 社員個人へのリテラシー強化と利用状況の把握

「シャドーIT」のリスクへの対策は、社員個人への教育や注意喚起をおこなうことが第一です。ただし、社員個人に対して注意を促すだけでは十分とは言えません。企業管理外の社員個人のデバイスや外部サービスでも、「いつ/誰が/どのSaaSサービスに/どのアカウントで/どのような操作をおこなったのか」を把握できるシステムを導入します。使用状況を把握できればリスクの発生点を突き止められます。

SaaS利用時のセキュリティ対策としておすすめのツール・サービス

SaaS利用時には、社内できちんとしたセキュリティ対策をしておかなければいけません。社員全体でマニュアルを作成することや、社員個人への教育は必要です。しかし、対人間への教育や口約束だけでは十分にリスクを避けることはできません。そこで、必要なのが社内ネットワークにセキュリティシステムを導入することです。ここからは、SaaS利用時のセキュリティ対策ができるおすすめのツール・サービスを3つ紹介します。

• AssetView-ハンモック
• Netskope-SMS Data Tech
• CrowdStrike Falcon Endpoint Protection-SMS Data Tech

AssetView

ハンモックが提供している製品「AssetView」なら、SaaSを利用する際に必要なシステム管理が可能です。会社の要望に応えて「パソコンの更新管理」「マルウェア対策」「内部不正対策」「データ流出対策」「パソコンの運用管理」をカスタマイズしています。抱えている社員数が多く、管理の必要があるデバイス数が多い会社におすすめのサービスです。

Netskope

SMS Data Techが提供しているサービス「Netskope」は、テレワークをしている会社でのリモートアクセス端末でもSaaSを安全に使用できます。クラウドサービス自体の安全性の調査だけではなく、シャドーITへのセキュリティも強化できます。特定のSaaSサービスのみを使用して、他のサービスを遮断するため社内ネットワークの管理も容易です。

CrowdStrike Falcon Endpoint Protection

「CrowdStrike Falcon Endpoint Protection」は、SMS Data Techが提供しているサービスの一つです。アンチウイルス機能とAIが、不審なサイバー攻撃を自動で検知して被害を防ぎます。世界中から情報を収集しているので、最新の手口でも素早く検知します。サービスを導入後は、メンテナンスの必要がありません。セキュリティ対策のためのIT部門を新規で創設する必要がありませんので、会社のコストを削減することができます。

まとめ

SaaSは、インターネット上で各種ツールの導入をすることができる便利なサービスです。会社運営をスムーズにすることができますが、ネット上でのサイバー攻撃などのリスクも増大します。SaaS利用時には、さまざまなサイバー攻撃リスクに備えて、セキュリティを強化しなければいけません。また、セキュリティシステムのメンテナンスやトラブル発生時の復旧に備えた体制作りとマニュアルの作成が必要です。SMS DataTechが提供するサービスなら、SaaS使用時のセキュリティを充実させるだけではなく、メンテナンスの負担も軽減します。会社のセキュリティとメンテナンスのサービスを、他社よりも低価格で導入可能です。

企業のセキュリティ強化に勤しむ担当者の方、企業のセキュリティ環境に不安を抱えている方など、いつでもお気軽にご相談ください。

▼ セキュリティ対策に関するお困りごとを解消！