近年、SaaSをはじめとするクラウドサービスの利用は急速に広がっています。
業務効率化や柔軟な働き方を実現する手段として、多くの企業が日常的にSaaSを活用するようになりました。

SaaSの大きな特長は、必要な機能を必要な分だけ選んで使える点にあります。
かつては、自社の規模や業務に対して過剰な機能を含んでいても、それを前提に導入せざるを得ないケースが少なくありませんでした。現在は、業務に合ったサービスを選び、不要になれば切り替えることも現実的です。
こうした柔軟性が、企業規模を問わずSaaS活用が進んでいる理由の一つです。

本記事では、SaaSの増加によって生じているシャドーITの問題と、その背景にある認証管理の課題について詳しく解説します。

SaaSが増えたことで起きている変化

社内で利用するSaaSが増えてくると、事業部ごとにサービスを登録し、試しに使ってみたり、比較のために複数のサービスに同時に登録したりすることが増えていきます。その結果、管理者がすべての利用状況を把握しきれなくなるケースも少なくありません。

最初は検証目的や一時的な利用だったとしても、確認や管理の手間が増えるにつれて、「いちいち確認していられない」、「現場に任せるしかない」といった判断になりやすくなります。

こうした状況が続くと、不正アクセスや情報流出といったリスクを含んだ状態が生まれてしまいます。

サービスごとにログインの仕組みが分かれてしまう背景には、認証をまとめる仕組みが存在しない、もしくは十分に活用されていないという問題があります。
認証をまとめる仕組みや考え方については、以下の記事で詳しく解説しています。
▶「IdPとは？SAML認証でシングルサインオン（SSO）を実現する仕組みとメリット」

サービスごとに異なるログインの仕組みがもたらす問題

あるサービスでは比較的安全性の高いログイン方式が採用されている一方で、別のサービスではIDとパスワードだけで利用できる場合もあります。
利用するSaaSや業務システムが増えるほど、
・どのサービスで、どのようなログイン方式が使われているのか分からなくなる
・全体として同じ水準の安全性を保つことが難しくなる
・認証に関する判断がサービスごとに分かれてしまう

といった状況が起こりやすくなります。
これは、担当者の注意や努力だけで防げる問題ではなく、構造的に生じやすい課題と言えるでしょう。

最も注意すべきは「弱い部分」が入口になること

このような構造の中で、特に注意が必要なのは、どれだけ安全性の高い対策を導入しているサービスが多くても、一つでも対策が弱いサービスがあれば、そこが外部からの入口になり得る点です。

たとえ現在は使われていないサービスであっても、
・退職者のアカウントが残ったままになっている
・利用停止したはずのIDが有効なままになっている
・長期間使われていないアカウントが放置されている

といった状態は起こりがちです。

管理者が把握できていないアカウントが増えるほど、不正アクセスが発生しやすい環境になってしまいます。

以前は、社内システムに利用が集中していたため、どのサービスを使っているのかを把握しやすい状況でした。
しかし現在は、SaaSや自社独自のサービスが増えたことで、それが簡単ではなくなっています。

SaaSの利用が広がる中で、退職者や異動者のアカウント・権限管理は、企業にとってますます重要な課題となっています。
こうしたID管理の考え方や、実際に起こりやすい課題については、以下の資料でも詳しく解説しています。
▶  【セミナー動画】IDガバナンス管理（IGA）とは？
▶  【セミナー動画】SaaS時代のアカウント・権限管理ツール、主要３製品比較

必要な対策と、それでも残る課題

こうした課題に対しては、
・従業員への教育
・利用端末の管理

といった取り組みが欠かせません。

ただし、これらの対策を行ったとしても、利用するサービスが増え続ける限り、管理の負担そのものがなくなるわけではありません。
サービスごとに分かれたログインの仕組みを、どう整理するかという視点が重要になります。

KAMOME SSO＋による認証管理の考え方

ここで、弊社のKAMOME SSO＋をご紹介します。

KAMOME SSO＋は、BtoB/BtoCサービス事業者向けに提供している認証基盤の構成です。
単一の製品ではなく、「KAMOME SSO」と「Keygateway T1」を組み合わせることで、サービス全体の認証管理を整理します。

KAMOME SSOは、SaaSやオンプレミス、自社独自のWebサービスなどを対象に、ログインの入口を一つにまとめる認証基盤です。
サービスが増えても、認証に関する管理を分散させずに行えるようになります。

一方、既存のサービスの中には、現在主流のログイン方式に対応していないものもあります。
Keygateway T1は、そうしたサービスも改修せずに認証基盤へ取り込むための仕組みです。

この2つを組み合わせることで、対応・非対応を問わず、サービス全体の認証をまとめて管理できるようになります。
これがKAMOME SSO＋の考え方です。

KAMOME SSOおよびKeygateway T1の詳細については、以下の資料をご覧ください。

▶ KAMOME SSO パンフレット
▶ Keygateway T1 パンフレット

まとめ

SaaSの増加は、業務の柔軟性を高める一方で、認証やアカウント管理の複雑化という課題を生んでいます。
サービスが増え続ける時代において、認証の仕組みをどう管理していくかは避けて通れません。

KAMOME SSO＋は、その現実を前提に、既存の環境を活かしながら、無理なく継続的に管理できる認証基盤の考え方を提供します。

また、かもめエンジニアリングでは、お客さまの環境や運用体制に合わせて、認証基盤の整理や段階的な移行に関する導入支援も行っています。
まずは無料のヒアリングから、お気軽にご相談ください。
※情報交換を目的としたヒアリングのため、比較検討の初期段階でもご利用いただけます。

▶ 導入相談・お問い合わせはこちら