便利そうなクラウドを会社で使いたい。契約前のセキュリティ確認

新しいクラウドサービス（SaaS）を導入する際、最も大切なのは「そのサービスが安全か」だけでなく、「自社で適切にコントロールできるか」を見極めることです。まずは、そのツールに「顧客名や個人情報などの重要な情報を入れるのか」を明確にしてください。次に、検討している契約プランの中に、管理者向けの機能（誰がいつ何をしたかを確認する機能など）が最初から含まれているかを、資料やデモ画面で必ず確認することから始めましょう。ここを怠ると、契約後に「必要な管理機能を使うには、さらに高い上位プランが必要だった」という事態に陥ります。

導入前に整理すべき情報の種類と利用ルール

扱う情報の重要度をどう分類するか

新しいツールを使い始める前に、そのサービスにどのようなデータを入力するかを整理しましょう。例えば、社内のスケジュール管理だけであればリスクは低いですが、顧客の氏名や電話番号、あるいは自社の設計図などの機密情報を入力する場合は、守るべき基準が格段に上がります。情報の重要度によって、求めるセキュリティの高さが変わるからです。担当者には「具体的にどんな情報を、どの程度の期間、誰が入力するのか」を書き出してもらいましょう。この整理ができていないと、後から「実はもっと厳しい制限が必要だった」と気づいても、システムの仕様上変更できないことがあります。

外部との共有範囲をどこまで許容するか

クラウドサービスの利便性は、情報の共有にあります。しかし、その「共有」がどこまで及ぶのかを事前に決めておく必要があります。例えば、社内のメンバーだけで使うのか、あるいは取引先などの外部の人にも閲覧権限を与えるのかという点です。外部共有が可能であれば、その共有リンクが漏洩した際のリスクも考慮しなければなりません。導入申請を受けた際は、「外部の人にデータを送る必要があるか」「その際、相手に編集まで許可するのか、閲覧だけにするのか」という運用ルールをセットで確認するようにしてください。

利用者の範囲と入退社の管理方法

サービスを利用する人が、正社員だけなのか、あるいは派遣社員や業務委託の方も含むのかを確認しましょう。利用者が増えるほど、管理の手間も増えます。特に注意が必要なのは、社員の入社や退職に伴うアカウントの追加・削除です。退職した人が、以前のアカウントをそのまま使い続けられる状態は非常に危険です。契約前に、管理者が簡単にユーザーを追加したり、即座に利用権限を停止したりできる仕組みが備わっているか、また、その操作が容易であるかをチェックしておくことが、運用ミスを防ぐ第一歩となります。

適切なアクセス制御と操作履歴の確認方法

ログイン時の本人確認をどう強化するか

「認証」とは、その人が間違いなく本人であることを確認する仕組みのことです。IDとパスワードだけの管理では、パスワードが漏えいした際に第三者がログインできてしまうリスクがあります。そこで、パスワードに加えて、スマートフォンに届く通知や専用アプリによる承認などを組み合わせた「多要素認証」が利用できるかを確認してください。また、会社ですでに使っているログイン管理システム（シングルサインオンといいます）と連携できるかも重要な判断基準です。担当者には「現在の社内ルールに沿った認証方法が利用できるか」を確認するよう指示しましょう。

権限設定を細かく行えるか

すべての利用者にすべての操作を許可してはいけません。例えば、「一般社員はデータの閲覧のみ」「部長はデータの編集が可能」「システム管理者はユーザーの追加ができる」といったように、役割に応じた「権限」を分けることが重要です。契約するプランによって、この権限設定の細かさが異なる場合があります。上位プランでないと「管理者」が一人しか作れない、といった制限がないか注意してください。試用期間がある場合は、実際に「閲覧専用のユーザー」を作成してみて、意図通りに制限がかかるかを試すのが確実な方法です。

操作の記録（ログ）をいつまで残せるか

「ログ」とは、いつ、誰が、どのデータに対して、どのような操作（作成、閲覧、削除など）を行ったかという履歴のことです。万が一、情報が漏洩したりデータが消えたりした際、原因を突き止めるためにこの記録は不可欠です。ここで確認すべきは、ログが取れるかどうかだけでなく、「どのくらいの期間、保存しておいてくれるか」という点です。例えば、トラブルが発覚するのが数ヶ月後というケースも珍しくありません。ログの保存期間が極端に短いプランだと、調査ができなくなる恐れがあるため、契約前に必ず確認しておきましょう。

データの保管場所とトラブル時の復旧手順

データの保存場所と法的な注意点

クラウド上のデータは、物理的にはどこかの国のサーバーに保存されています。データの保存場所（リージョンといいます）がどこにあるかを確認してください。例えば、特定の業界や取引先との契約で「データは国内に置かなければならない」というルールがある場合、海外のサーバーに保存されるサービスを選んでしまうと、契約違反になる可能性があります。また、保存場所の国によって、その国の法律が適用されることもあります。不安な場合は、ITに詳しい専門家に対し「このサービスのデータ保存場所はどこで、どのような法規制を受ける可能性があるか」と相談することをお勧めします。

データのバックアップと復旧の仕組み

クラウドサービスを利用していると、誤ってデータを消してしまったり、サービス側に障害が発生したりすることがあります。その際、データを元に戻せる仕組み（バックアップ）がどうなっているかを確認しましょう。サービス提供側がシステム全体のバックアップを取っているからといって、自社の運用上のリスクがすべて解消されるとは限りません。例えば、「誤操作で消したデータを、自社の操作でどの程度の速さで復元できるか」「どの時点の状態まで遡れるか」といった点は、業務への影響を左右します。自社が求める復旧の条件（目標復旧時間など）と、サービスの仕様を照らし合わせて検討することが大切です。

障害発生時の連絡窓口と対応体制

サービスが止まってしまったとき、どこに、どのように連絡すればよいのかを事前に把握しておく必要があります。メールでの問い合わせだけなのか、電話での緊急連絡窓口があるのか、あるいは管理画面上で現在の障害状況がリアルタイムで確認できるのか、といった点です。また、サービスが復旧するまでの目安（目標復旧時間）についても、契約内容やサービスレベル合意書（SLA）という書類で確認できる場合があります。担当者には「もし明日、このツールが使えなくなったら、誰がどこに連絡するのか」という連絡フローを事前に決めておくよう伝えてください。

契約終了時にデータを安全に持ち出す方法

データの出力形式と移行のしやすさ

サービスを解約したり、別のツールに乗り換えたりする際、蓄積したデータをスムーズに取り出せるかは非常に重要です。例えば、データがそのサービス独自の形式でしか保存されておらず、ExcelやCSVといった一般的な形式で書き出せない場合、データの移行は困難を極めます。契約前に、「データを一括でダウンロードできる機能があるか」「そのデータの形式は、他のツールでも使える一般的なものか」を必ず確認してください。これを確認せずに契約すると、将来的に「データが閉じ込められてしまう（ベンダーロックインといいます）」という状況になりかねません。

退会後のデータ消去に関するルール

契約を終了した後、クラウド上のデータがどのように扱われるかも確認すべき項目です。多くのサービスでは、解約後一定期間はデータを保持しますが、その後どのように消去されるのかが明記されています。例えば、「解約後すぐに完全に消去される」のか、「一定期間はバックアップとして残るのか」といった違いです。もし、機密性の高い情報を扱っている場合、解約後に確実に、かつ復元不可能な形でデータが消去されることを、利用規約やプライバシーポリシーで確認しておくことが、情報の二次利用を防ぐことにつながります。

管理者交代や契約変更の手順

会社の体制が変わって、システムの管理者が交代する場合の手順も見ておきましょう。前任者のアカウントが残ったままだったり、新しい管理者が設定を変更できなかったりすると、管理不能な状態に陥ります。また、利用人数が増えて契約プランを変更する際の手続きがスムーズかどうかも、運用の継続性に影響します。これらは、導入時のマニュアルやサポート体制を確認することで、ある程度予測が可能です。自社の状況に合わせて、「管理者が変わる可能性があるか」「規模が拡大する可能性があるか」を想定し、その際の操作手順が明確かを確認してください。

---

新しいツールの導入は、業務を効率化する大きなチャンスですが、事前の確認不足は思わぬリスクを招きます。まずは、現在検討しているツールの「管理機能」が、自社の求めるセキュリティレベルを満たしているか、実際の操作画面や資料で一つずつ確かめていきましょう。もし、判断に迷う項目や、自社のルールに適合するか不安な点があれば、ITの専門家やセキュリティの相談窓口へ、具体的な確認事項を添えて相談することをお勧めします。