SSPMとは？SaaSの設定不備を見つける製品18選を比較｜CSPM・CASBとの違いと選び方を解説

Microsoft 365 の共有設定、Salesforce の権限、Slack の外部連携アプリ。SaaS が増えるたびに管理画面がひとつ増え、設定が今どうなっているかを確かめるには、そのすべてを順番に開いていくしかありません。退職者のアカウントが残っていないか、社外に公開されたままのファイルがないか、担当者の記憶と手作業に頼っている企業は少なくありません。

SSPM（SaaS Security Posture Management）は、この確認作業を自動化する仕組みです。SaaS の設定やアカウントの状態を継続的に点検し、危険な状態を見つけたら管理者に知らせます。単発の診断ではなく、運用の中で設定が変わっても気づける点に価値があります。

本記事では、日本で導入できる SSPM 製品18種類を比較します。各製品がどの SaaS に対応しているのか、危険な設定を見つけた後にどこまで面倒を見てくれるのか、費用はどんな単位でかかるのかを整理しました。自社の SaaS 構成に合う製品を絞り込む材料としてご活用ください。

また、貴社の状況に合わせて最適なサービスを最短で見つけられるよう、30秒で終わる選定診断ツールもご用意しています。ぜひこちらもご活用ください。

SSPMとは？SaaSの設定不備を継続的に点検する仕組み

SSPM は SaaS Security Posture Management の略で、企業が使っている SaaS のセキュリティ設定を継続的に点検し、危険な状態を検出して管理者に知らせる仕組みです。情報処理推進機構（IPA）は「情報セキュリティ10大脅威 2026 解説書」で、SSPM を次のように説明しています。

SSPM （SaaS Security Posture Management）
SaaS のセキュリティ設定のミス、アカウント管理の不備、不審なアクセスの有無等を監視し、これらを検知すると管理者へアラートを通知する。

出典：情報セキュリティ10大脅威 2026 解説書［組織編］｜独立行政法人情報処理推進機構

ここで重要なのは「監視し」「検知すると」という部分です。SSPM は設定ミスそのものを起こさないようにする製品ではなく、起きてしまった設定ミスを早期に見つけるための製品にあたります。総務省も、設定ミスへの対策として「早期発見」を可能にする仕組みの必要性を挙げています。

設定ミスの場合、ミスをしてから問題が起きるまでに時間があることもあるので、その前にミスを発見して修正できれば被害が発生せずにすみます。そのため「早期発見」を可能とする対策が必要になります。

出典：クラウドの設定ミス対策ガイドブック 2-2 予防と発見｜総務省

設定ミスは、起きてから情報が外部に渡るまでに時間差があることが少なくありません。その間に気づけるかどうかが、SSPM を導入する意味そのものになります。

SSPMが見つけるもの（権限・外部共有・連携アプリ・退職者アカウント）

SSPM が点検の対象にするのは、SaaS の管理画面で管理者が設定できる項目です。製品によって範囲は異なりますが、多くの製品が次の5種類を扱います。これは後半の比較表「検出できるリスク」列の5項目と同じ区分です。

• 設定不備：多要素認証が未設定のまま使われていないか、共有範囲やゲスト招待の既定値が広すぎないか
• 過剰権限：管理者権限を持つ利用者が想定より多くないか、業務に不要な範囲まで見られる権限が残っていないか
• 外部共有：ファイルやフォルダが「リンクを知っている全員が閲覧可」になっていないか、社外ドメインとの共有が野放しになっていないか
• OAuth連携アプリ：利用者が個別に許可したサードパーティアプリが、どこまでのデータにアクセスできる権限を持っているか
• 退職者・休眠アカウント：退職者のアカウントが残っていないか、長期間使われていないアカウントが放置されていないか

このうち外部共有は、日本企業のクラウド利用実態から見ても点検の優先度が高い領域です。総務省の「通信利用動向調査」を基にした令和7年版情報通信白書によると、2024年にクラウドサービスを利用している企業のうち、用途として最も多いのは「ファイル保管・データ共有」で71.0%を占めます。共有を前提に使われているサービスほど、設定ひとつで社外に開いてしまう余地が大きくなります。

退職者アカウントについては、総務省が体制面の課題として指摘しています。

退職者が出たときには、その人が持っていたアカウントを削除したり、権限を他の人に引き継いだりという作業が発生します。すなわち、設定の削除や変更が必要になります。これを忘れると、退職者が現役時代の権限を使って機密情報にアクセスすることが可能となってしまいます。

出典：クラウドの設定ミス対策ガイドブック コラム「退職者の管理」｜総務省

一度直した設定が、運用の中で崩れていく

導入時にきちんと設定したはずなのに、しばらく経つと危険な状態に戻っている。この現象は一般に「設定ドリフト（コンフィグレーションドリフト）」と呼ばれます。原因は担当者の不注意だけではありません。

ひとつは、SaaS 側の仕様変更です。SaaS は利用企業の同意なく機能が更新されるため、自社が何も触っていなくても設定の意味や既定値が変わることがあります。総務省が公表した設定不備の事例にも、提供事業者の機能変更に伴って結果的にデフォルトのセキュリティレベルが下がったケースが挙げられています（事例は後述します）。

もうひとつは、日々の運用で加えられる小さな変更の積み重ねです。急ぎの案件で一時的に共有範囲を広げる、外部パートナーにゲスト権限を渡す、といった対応そのものは正当でも、元に戻す作業が抜ければ危険な状態が残ります。総務省の設定ガイドラインは、この点に対して仕組みでの対処を求めています。

• 初期の設定だけでなく、設定値の監視の仕組み等を構築する。（予防的措置）
• 設定が変更されたことが検知されたら、なるべく早く適正な設定値に戻す、又は自動で復元する仕組みを組み込んでおく。（発見的措置）

出典：クラウドサービス利用・提供における適切な設定のためのガイドライン Ⅲ.3.1.2 設定項目の管理｜総務省

「初期の設定だけでなく」という一文が、単発のセキュリティ診断と SSPM を分ける境目です。診断は依頼した時点の状態を人手で丁寧に調べますが、次に依頼するまでの間に起きた仕様変更や設定変更は見えません。

総務省は同じガイドラインで「外部の設定値診断サービス等を活用して定期的に設定値の診断を行う」ことも予防的措置に挙げており、診断とツールによる継続点検はどちらかを選ぶものではなく、確認の間隔をどこまで詰めるかの違いになります。

人手の診断は依頼した時点の状態を深く調べ、SSPM は設定が変わったこと自体を継続的に拾います。IPA も「更新情報は常に確認し、仕様変更により意図せず変更された設定は適切な設定に修正する」と、追随の必要性を挙げています。

出典・参考資料（4件）

• 出典：クラウドサービス利用・提供における適切な設定のためのガイドライン（2022年10月）｜総務省
• 出典：クラウドの設定ミス対策ガイドブック（2024年4月）｜総務省
• 出典：情報セキュリティ10大脅威 2026 解説書［組織編］｜独立行政法人情報処理推進機構
• 出典：令和7年版 情報通信白書 第Ⅰ部第1章第1節 クラウドサービス｜総務省

CSPM・CASB・SaaS管理ツールとの違い

SaaS のセキュリティに関わる製品はいくつもあり、すでに何かを導入している企業ほど「これで足りているのか」が判断しづらくなります。ここでは、SSPM と混同されやすい3種類との役割の違いを整理します。

CSPMとの違い：見る対象が IaaS/PaaS か SaaS か

CSPM（Cloud Security Posture Management）は、AWS や Microsoft Azure のようなクラウド基盤の設定を点検します。仮想サーバーやストレージ、ネットワークの設定が対象で、自社でシステムを構築している場合に効きます。一方の SSPM は、その上で提供される SaaS のアプリケーション設定を対象にします。IPA はこの分担を次のように説明しています。

なお、CSPM が IaaS, PaaS の設定の監査を行うのに対して、SaaS については、SSPM（SaaS Security Posture Management）により監査が可能である。

出典：情報セキュリティ10大脅威 2026 解説書［組織編］｜独立行政法人情報処理推進機構

自社で構築したシステムと SaaS の両方を使っているなら、CSPM と SSPM は競合ではなく守備範囲の違う組み合わせになります。

クラウド基盤側の設定を外部に点検してもらう方法もあります。以下の記事では、クラウド環境で受けられる診断にどんな種類があるか、CSPM（設定診断）は何を見るのか、費用がどのくらいかかるのかを整理しています。

CASBとの違い：通信を制御するか、設定を点検するか

CASB（Cloud Access Security Broker）は、利用者とクラウドの間に立って通信を監視し、必要に応じてアクセスを制御します。未許可の SaaS へのアップロードを止める、危険なダウンロードを警告する、といった動きが得意です。CASB が見ているのは「誰が何をしようとしているか」という利用の流れです。

対して SSPM が見るのは、SaaS の内側にある設定そのものです。CASB を導入していても、Salesforce の共有設定が緩いことや、退職者のアカウントが残っていることは検出されません。

逆に SSPM は、利用者が危険な操作をしようとした瞬間に止める役割は持ちません。両者は補完関係にあり、どちらを先に入れるかは、自社の課題が「利用の統制」と「設定の点検」のどちらに寄っているかで決まります。

SaaS管理ツール・IDaaSとの違い：契約とIDの管理が主目的

SaaS 管理ツールは、どの SaaS を誰が使い、いくら払っているかを一元管理することを主目的とした製品です。入退社時のアカウント発行・削除を自動化する機能を持つものが多く、その延長で「多要素認証が未設定の利用者がいる」「退職者のアカウントが残っている」といった点検も担います。

設定点検の範囲は SSPM 専業製品より狭いことが一般的ですが、アカウントの棚卸しまで一緒に回したい場合には現実的な選択肢になります。

IDaaS は、複数の SaaS へのログインを一元化する ID 基盤です。認証を強くし、誰がどのサービスにログインできるかを管理しますが、ログインした先の SaaS 内部で共有設定がどうなっているかまでは見ません。ID 基盤を整えたうえで、その先の設定を点検するのが SSPM の位置づけになります。

ID 基盤がまだ整っていない場合は、SSPM より先に IDaaS の検討が必要になることもあります。仕組みや導入で得られること、主要サービスの比較は以下の記事にまとめています。

SSPMが必要とされる背景とSaaSの設定リスク

ここからは、SSPM の導入を社内で説明するときに使える材料として、設定不備が実際に何を引き起こしているか、そして SaaS の設定が誰の責任とされているかを確認します。

クラウドの設定不備が実際に招いた情報漏えい

総務省は設定ガイドラインの中で、設定不備によって公表に至った事案を3つ紹介しています。いずれも企業名は伏せられていますが、起きた経緯は具体的です。

クラウドサービス提供事業者が、提供している SaaS の機能変更を行った。これに伴い、当該 SaaS のユーザーアクセスに関する設定について、結果的にデフォルトでセキュリティレベルが下がってしまった。利用企業側はこれに気づかず、低いセキュリティレベルのまま利用し続けた結果、機密情報が大量に流出した。

企業従業員が個人的にクラウドサービスを利用し、自社の業務で利用する機密情報を格納していた。後にこれらのファイルが公開設定であったことが外部からの指摘で判明した。

ある企業の業務委託先が、サーバからクラウドサービスへのデータ移行を行う際に、ストレージの設定を公開設定としていた。これにより長期間機密情報が公開されている状態になった。

出典：クラウドサービス利用・提供における適切な設定のためのガイドライン Ⅱ.2.1 設定不備の事例と要因分析｜総務省

3件はそれぞれ性質が違います。1件目は提供事業者の仕様変更に追随できなかったケース、2件目は会社が把握していない SaaS が使われていたケース、3件目は委託先の作業によるものです。

総務省は、これらの事例の要因として次の3点を挙げています。

• 利用企業におけるクラウドサービス設定値に関する理解の不足と使用しているクラウドサービスに関する情報の不足
• 委託先管理やシャドーIT への対応策などの体制面の不備
• 設定不備を抑止するための体系的な対策の不備

同じ節では「実際には公開されていない事案も含めて、様々な事案が発生していることが想定される」とも述べられています。

件数の面では、IPA の「コンピュータウイルス・不正アクセスの届出状況」が原因別の内訳を公表しています。2025年（1月〜12月）の届出では、被害原因として最も多いのが「ID、パスワード管理の不備」の30件、次いで「古いバージョンの利用や修正プログラム・必要なプラグイン等の未導入によるもの」が18件、「設定の不備」が7件でした。

任意の届出制度で母数が小さいため全国の割合としては一般化できませんが、上位に並ぶアカウント管理の不備と設定の不備は、いずれも SSPM が点検対象にしている領域です。

監督官庁の見方も、社内説明の材料になります。個人情報保護委員会は令和7年度の年次報告で、不正アクセスによる漏えい等の原因として「設定ミスによりデータベースへのアクセス制御が不適切な状態になっていたこと」を挙げ、安全管理措置に不備があったケースが多く見られたとしています。

ここでの設定ミスはデータベースのアクセス制御を指しており SaaS に限った話ではありませんが、設定の不備が安全管理措置の問題として指導の対象になる、という点は社内で「なぜ今やるのか」を説明するときの根拠になります。

出典・参考資料（4件）

• 出典：コンピュータウイルス・不正アクセスの届出状況［2025年（1月〜12月）］｜独立行政法人情報処理推進機構
• 出典：令和7年度 年次報告 第4節 個人情報保護法に基づく監視・監督｜個人情報保護委員会
• 出典：令和7年版 情報通信白書 クラウドサービス｜総務省
• 出典：クラウドの設定ミス対策ガイドブック（2024年4月）｜総務省

SaaSの設定は誰の責任か

「SaaS は提供事業者が運用しているのだから、セキュリティも事業者の責任ではないか」という受け止め方があります。しかし総務省は、クラウドの安全確保は事業者と利用者が責任を分担するという前提を明示しています。この考え方は責任共有モデルと呼ばれます。

SaaS を利用する場合、図表Ⅱ．１．２－３に示すとおり、クラウドサービス利用者が責任を負う部分は、データとアプリケーションの管理の一部となる。アプリケーションの動作に係る設定（図の動作設定）は SaaS 事業者が責任を負う一方、利用者アカウントや業務データの設定（図のユーザ設定）については、クラウドサービス利用者の責任となる。

出典：クラウドサービス利用・提供における適切な設定のためのガイドライン Ⅱ.1.2 クラウドサービス事業者とクラウドサービス利用者の責任と役割｜総務省

ここで利用者の責任とされている「利用者アカウントや業務データの設定」は、SSPM が点検対象にしている領域とそのまま重なります。誰にどの権限を与えるか、どのファイルを社外に共有するかは、提供事業者が代わりに管理してくれる部分ではありません。

ただし、責任の線引きはサービスごとに違います。同ガイドラインは「クラウドサービス事業者とクラウドサービス利用者の責任範囲・内容は一律に決まるものではなく…クラウドサービス事業者の免責事項等の責任分界の確認が必要である」としています。利用規約の免責条項まで確認しておくと、社内の導入判断でも根拠を示せます。

シャドーSaaS・生成AIツールの広がりで点検対象が増えている

点検すべき対象は年々増えています。総務省の「通信利用動向調査」を基にした令和7年版情報通信白書によると、クラウドサービスを全社で利用している企業は2024年に53.1%、一部の事業所・部門での利用を合わせると80.6%に達しました。2014年の合計は38.7%だったため、10年で倍以上に広がった計算になります。

やっかいなのは、情報システム部門が把握していない SaaS が業務で使われる状況です。総務省が挙げた事例の2件目も、従業員が個人的に使っていたクラウドに業務の機密情報が置かれていたケースでした。

総務省はコラムで「シャドーＩＴを取り締まるというのは難しいですが、まずはルールを決めて周知するところから始めるとよいでしょう。最近では、シャドーＩＴを検知するサービスなども登場しています」と述べており、ルールの整備と検知の仕組みを組み合わせる方向を示しています。

近年はここに生成AIツールが加わりました。利用者が自分のアカウントで外部の AI サービスに業務データを渡す、あるいは既存の SaaS に AI 機能が追加され、社内データの参照範囲が広がる。どちらも管理者が意識しないうちに点検対象が増える動きです。製品によっては、こうした AI 関連の連携を個別に可視化する機能を備えています。

SSPMの主な機能

製品を比べる前に、SSPM がどんな機能で構成されているかを4つに分けて押さえておきます。この後の比較表で製品ごとの差がとくに出るのは、このうち「どこまでのリスクを検出できるか」と「検出した後に何をしてくれるか」の2点です。

設定・権限の継続的な監視とアラート

SSPM は各 SaaS の管理用 API に接続し、設定値やアカウントの一覧を定期的に取得します。あらかじめ定義された検知ルールと突き合わせ、条件に当てはまる状態を見つけると管理者に通知する流れです。通知はメールのほか、Slack や Microsoft Teams、ITサービス管理ツールへ連携できる製品もあります。

検知ルールの本数と細かさは製品差が大きい部分です。標準ルールをそのまま使えるか、自社のセキュリティポリシーに合わせて条件を書き換えられるかは、運用に乗せるうえで効いてきます。

リスクスコアリングとコンプライアンス基準への照合

検出した項目には重大度が付き、ダッシュボードで優先順位を判断できるようになっています。あわせて、公開されているセキュリティ基準に照らして評価する機能を持つ製品もあります。

ここで注意したいのは、基準がすべての SaaS に用意されているわけではない点です。

Center for Internet Security（CIS）は Microsoft 365 と Google Workspace について設定基準（Foundations Benchmark）を公開していますが、Salesforce・Slack・Box・ServiceNow・kintone に相当するベンチマークは公開されていません（2026年8月時点）。

「基準に準拠して評価します」という説明を見たときは、どの SaaS についての話なのかを確かめる必要があります。

後半の比較表にも「CISベンチマーク基準」と記載した製品がありますが、その評価が効くのは基準が公開されている SaaS の範囲にとどまります。それ以外の SaaS については、各製品が独自に用意した検知ルールで点検することになります。

より広い枠組みとしては、総務省が設定ガイドラインの中で ISO/IEC 27017、NIST SP 800-53 Revision 5、NIST SP 800-171 Revision 1 の管理策を参照先として案内しています。これらは「本ガイドラインの設定項目の対策の一部を広い意味で含むものの、より一般的な内容となっている」という位置づけです。

包括的な管理策まで押さえておきたい場合の手がかりになります（NIST SP 800-171 はその後 Revision 3 が公開されており、ガイドラインが参照しているのは Revision 1 時点の管理策です）。

外部連携アプリ（OAuth）・SaaS間連携の可視化

利用者が「このアプリに Google ドライブへのアクセスを許可しますか」という画面で承認したアプリは、管理者の関与なしに社内データへの経路を持ちます。SSPM はこの許可の一覧を集め、どのアプリがどこまでの権限（スコープ）を持っているかを見えるようにします。

あわせて、SaaS 同士が連携している経路も対象になります。業務効率化のために結んだ連携が、一方の SaaS の権限をもう一方に渡す形になっていることがあり、この経路は個別の管理画面を見ているだけでは把握しづらい部分です。

検出後の対応 ─ 手順の提示か、製品側からの自動修復か

検出した後に何が起きるかは、製品によって大きく2通りに分かれます。ひとつは、危険な設定と推奨される設定値、そして直し方の手順を提示する方式です。実際に設定を変えるのは管理者で、SSPM は判断材料を渡すところまでを担います。

もうひとつは、製品側から SaaS の設定を書き換える方式です。過剰な権限を取り消す、公開リンクを無効にする、OAuth アプリのトークンを失効させるといった操作を、承認を挟んで実行したり、条件に合致したら自動で実行したりします。これは自動修復と呼ばれます。

この違いは運用工数に直結します。手順提示型は、検出件数がそのまま管理者の作業量になります。自動修復型は作業を減らせる一方、意図した設定まで戻されないよう、実行条件の設計と検証が必要になります。前掲の総務省ガイドラインが「なるべく早く適正な設定値に戻す、又は自動で復元する仕組みを組み込んでおく」と両方の言い方をしているのも、どちらか一方が正解ではないためです。

出典・参考資料（2件）

• 出典：CIS Benchmarks｜Center for Internet Security
• 出典：クラウドサービス利用・提供における適切な設定のためのガイドライン（2022年10月）｜総務省

SSPMを導入するメリット

機能を踏まえて、導入によって現場の仕事が何から何に変わるのかを整理します。

SaaSごとに管理画面を開いて確認する作業がなくなる

SaaS が10種類あれば、設定を確認するには10の管理画面にログインし、それぞれ違う画面構成の中から該当項目を探すことになります。SSPM を入れると、この確認は1つのダッシュボードに集約されます。棚卸しのたびに管理画面を一つずつ開いて回っていた作業が、通知を受けて必要な項目だけを確認する運用に置き換わります。

効果は SaaS の数が増えるほど大きくなります。使っているサービスが2〜3種類なら手作業でも回りますが、部門ごとに導入が進んで全社で数十種類という状態になると、人手での定期確認は現実的でなくなります。

設定不備や過剰な権限を、事故になる前に見つけられる

手作業の点検では、確認と確認の間に空白が生まれます。四半期に一度なら、危険な設定が最長3か月放置される可能性があるということです。継続的な点検はこの空白を縮め、設定が変わった時点で気づける状態にします。

とくに SaaS 側の仕様変更が原因の劣化は、自社に変更した記憶がないぶん手作業の点検では見落としやすくなります。設定値そのものを機械的に突き合わせる仕組みは、この種の見落としに強く働きます。

ISMS審査やセキュリティチェックシートで点検の仕組みを説明できる

ISMS の更新審査や、取引先から届くセキュリティチェックシートでは、「クラウドサービスの設定をどのように点検しているか」を問われることがあります。担当者が随時確認していますという回答と、点検の頻度・対象・検出時の対応手順を記録つきで示せる状態とでは、説明の重みが変わります。

総務省の設定ガイドラインは、定期的なチェックと監査を基本の対策に挙げています。原文は「システム動作環境の設定項目の保全のため、定期的なチェックと対処を実施し、必要に応じて組織の内部基準に基づく監査を実施し、適切に対応すること」です。ベストプラクティスには「定期的なチェックや内部監査等にツールを使用し効率化を行う」が含まれています。ツールの導入は、この要求に応えていることを示す材料にもなります。

出典・参考資料（1件）

• 出典：クラウドサービス利用・提供における適切な設定のためのガイドライン（2022年10月）｜総務省

SSPM製品の3つのタイプ

SSPM として検討できる製品は、成り立ちによって3つのタイプに分かれます。どこまでを1つの製品に任せたいかで、選ぶべきタイプが変わります。総務省の「クラウドの設定ミス対策ガイドブック」も、ツールによる対策の節で CASB・CSPM・SSPM を並べて解説しており、この3つは実務上セットで検討される関係にあります。

SSPM特化型：設定の点検そのものを深く見たい場合

SaaS の設定・権限・外部連携の点検に専業で取り組む製品です。検知ルールの本数が多く、SaaS-to-SaaS 連携や OAuth アプリの可視化まで踏み込むものが中心で、自動修復の作り込みも進んでいます。設定リスクの検出と是正を重点的に対策したい場合に向きます。

このタイプはほぼすべてが海外ベンダーの製品で、日本では国内の販売代理店を通じた提供が中心です。日本語のサポート窓口や導入支援をどこが担うのかは、製品ごとに確認が必要になります。

SaaS管理ツール一体型：アカウント棚卸しまで一緒に回したい場合

SaaS の契約・アカウント・コストの管理を主目的とするツールが、その延長で設定やアカウント状態の点検も担うタイプです。多要素認証の未設定、退職者アカウントの残存、外部公開ファイルといった項目を扱い、入退社時のアカウント発行・削除まで同じ画面で処理できます。

点検できる項目の範囲は特化型より狭いことが多い一方、国産の製品が多く、料金が公開されているものもあります。

総務省のガイドブックが「現在、ＳＳＰＭは、グローバルなＳａａＳ（Microsoft 365 や BOX、Salesforce など）には対応していますが、日本のＳａａＳには対応していないこともあります」と注意している点も、このタイプを検討する理由になります（2024年4月時点の記述）。国内で広く使われている SaaS への対応は、国産ツールのほうが手厚い場合があります。

アクセス制御一体型（CASB系）：利用そのものも止めたい場合

クラウドの入口で通信を監視・制御する製品が、設定点検の機能も併せ持つタイプです。設定の不備を見つけるだけでなく、未許可の SaaS へのアップロードを止める、危険な操作をブロックするといった対応まで一つの基盤で扱えます。

すでに同じベンダーのアクセス制御やエンドポイント保護を導入している企業では、管理画面と運用体制を共通化できる利点があります。一方で、点検機能が上位のプラットフォーム契約に含まれる形になっている製品もあり、点検だけを単体で契約できるかどうかは製品ごとに分かれます。

3つのタイプの違いを表にまとめます。

※上記は各タイプにおける一般的な機能の傾向です。個別のサービスにおける実際の機能搭載の有無や提供形態（標準・オプション等）については各社情報をご確認ください。

出典・参考資料（2件）

• 出典：クラウドの設定ミス対策ガイドブック（2024年4月）｜総務省
• 出典：クラウドサービス利用・提供における適切な設定のためのガイドライン（2022年10月）｜総務省

自社がどのタイプに当てはまるかは、使っている SaaS の顔ぶれと、どこまでを1つの製品に任せたいかで決まります。以下の選定診断は、その2点に既存のセキュリティ基盤と修復方針を加えた4問で、後半に紹介する18製品から条件の近いものを絞り込むものです。

SSPMの選び方 ─ 比較表のどこを見て絞り込むか

ここからは、この後の比較表を自社の状況に紐づけて読むための判断軸を説明します。はじめの6つは比較表の列（提供会社を除く6列）にそのまま対応し、残る3つは表には載らないものの、導入後の運用を左右する検討事項です。

自社が使っているSaaSに対応しているか

最初に確認すべきは、点検したい SaaS が対応リストに入っているかどうかです。対応数の多さよりも、自社の中心的な SaaS が含まれているかが重要になります。

比較表の18製品では、Microsoft 365 を対応 SaaS として名前で挙げているのが16製品、Google Workspace が14製品でした（設定点検の手順が公式に載っているのが Salesforce のみの製品は、この数から除いています）。対応 SaaS を具体名では公開していない製品や、Google Workspace を挙げていない製品もあります。

Microsoft 365 と Google Workspace を併用している場合は、両方を名前で挙げている製品が候補になります。比較表の「対応する主なSaaS」列で両方が並んでいるかを確認してください。両方を挙げているのは14製品で、SSPM 特化型とアクセス制御一体型のほとんどが該当します。

選定診断は「最も重要なもの」を1つ選ぶ形ですが、併用している場合はどちらで診断しても候補が大きく変わりません。比較表側で両対応を確認するのが確実です。

Salesforce・Slack・Box・ServiceNow・GitHub あたりからは、対応の有無がはっきり分かれます。

国内で広く使われている SaaS については、対応状況をとくに丁寧に確かめる必要があります。総務省も、SSPM がグローバルな SaaS には対応する一方で日本の SaaS には対応していないことがある、と注意を促しています。

比較表の18製品のうち、国産 SaaS を対応先として名前で挙げているのは、国産の SaaS 管理ツール一体型です。kintone・サイボウズ Office・Garoon・Chatwork・SmartHR・LINE WORKS・freee人事労務といった名前が、公式の連携一覧に並んでいます。どの製品がどの国産SaaSを挙げているかは、比較表の「対応する主なSaaS」列で確認できます。

ただし、そこに公式に記載されているのはアカウントの連携と棚卸しであり、これらの SaaS 内部の設定を点検する機能ではありません。

対応数が300を超える製品は、連携先の個別のサービス名も公式の連携一覧ページで公開しています。各製品のサイトは比較表のボタンから開けます。数の多さは一覧で確かめられますが、その中で設定の点検まで及ぶ SaaS がどれかは、対応数からは読み取れません。

国産の業務システムまで点検したい場合、アカウントの連携に対応していることと、設定の点検まで及ぶことは別の話になります。後者は対象のサービス名を挙げて各社に確認するところから始めることになります。

もうひとつの確認点は、対応の深さです。同じ「Microsoft 365 に対応」でも、アカウントの一覧を取得できるだけの製品と、テナントの詳細な設定項目まで評価する製品があります。無償の評価版や PoC（Proof of Concept＝本契約の前に自社環境で試す検証）が用意されている製品なら、実際に何が検出されるかを見てから判断できます。

どのリスクまで検出できるか ─ 比較表の「検出できるリスク」列の読み方

比較表の「検出できるリスク」列は、各製品が何を危険な状態として見つけられるかを5つの項目で構成しています。

5つの項目は、記事前半で挙げたものと同じ区分です。

• 設定不備：多要素認証の未設定、共有範囲が広すぎるなど、SaaS の設定値そのものの問題
• 過剰権限：業務に必要な範囲を超えた管理者権限やロールの付与
• 外部共有：社外に公開されたファイルや共有リンク
• OAuth連携アプリ：利用者が個別に許可した外部アプリの権限
• 退職者・休眠アカウント：使われていないアカウントの残存

あわせて押さえておきたいのが「公式に記載なし」という表記の意味です。これは、公式サイト・公式ドキュメント・国内代理店の公開資料を確認した範囲でその機能を確認できなかったという意味であり、機能がないと確定したものではありません。

18製品のうち14製品は、いずれかの項目がこの表記になっています。自社にとって外せない項目があるなら、そこは問い合わせや実機検証（PoC）で直接確かめる前提で候補に残しておくのが現実的です。

5項目すべてを公式情報で確認できたのは4製品でした。一方で、公式に確認できたのが退職者・休眠アカウントの検出に限られる製品も3つあります。どの製品がどこまで公開しているかは比較表の該当行で確かめられます。

この3製品はいずれも SaaS 管理ツール一体型で、アカウントの棚卸しと入退社処理を主目的に選ぶ製品として読むのが実態に合います。SaaS の設定そのものを点検したいのであれば、特化型かアクセス制御一体型が候補になります。

自動修復まで必要か、手順の提示で足りるか

前の章で説明した2つの方式のうち、自社にどちらが要るかは、検出された項目を誰が直すかで決まります。情報システム部門が SaaS の管理者権限を持ち、自分たちで設定を変えられるなら、手順提示型でも運用は回ります。

一方、SaaS ごとに管理者が別部門に分かれている場合、検出のたびに依頼と確認のやりとりが発生します。この状態では自動修復の価値が高くなります。ただし自動で設定を戻す運用は、業務上必要だった変更まで巻き戻すおそれがあるため、対象を限定して始めるのが現実的です。

点検範囲を未申請のSaaS・OAuth連携アプリまで広げるか

会社が契約している SaaS の設定だけを点検するのか、把握していない SaaS の利用まで見つけたいのかで、必要な機能が変わります。後者を求めるなら、シャドーSaaS をどの経路で検出するのかが確認すべき点になります。

検出の元になるデータは製品によって異なり、ID 基盤のログイン履歴、経費や請求のデータ、業務端末のブラウザ拡張、ネットワーク機器のログなどが使われます。どのデータを見るかで、見つけられる範囲と導入の手間が変わります。ブラウザ拡張を配布する方式なら端末側の準備が要る一方、社外からの利用も拾えます。

OAuth 連携アプリの可視化も、この判断軸に含まれます。一覧化できるか、権限の範囲まで見えるか、危険なアプリのトークンを失効させられるか。この3点で製品ごとの差が出ます。

国内代理店経由の提供と日本語サポート

SSPM 特化型の製品はほぼすべてが海外ベンダー製で、日本では国内の販売代理店を通じて提供されています。契約先が代理店になるのか、ベンダーと直接なのかは、見積もりや問い合わせの経路に影響します。

確認したいのは、日本語で問い合わせられる窓口があるか、管理画面や設定ガイドが日本語化されているか、そして導入時の設計支援を受けられるかの3点です。管理画面が英語のみでも運用できる体制なら選択肢は広がりますが、担当者が交代したときの引き継ぎまで考えると、日本語のドキュメントが揃っているかは効いてきます。

費用と課金単位の見方

SSPM は価格を公開していない製品が多い領域です。ただし、課金の単位がわかれば、費用がどんな条件で増えるかの見当はつきます。単位は大きく3種類に分かれます。

• 利用者数による課金：管理対象の従業員数やアカウント数に応じて増えます。SaaS を追加しても費用は変わりにくく、社員数が安定している企業では予算を組みやすい形です
• 接続する SaaS の数による課金：点検対象を増やすほど費用が上がります。まず主要な数サービスから始めて広げる進め方と相性がよい一方、全社の SaaS を網羅すると総額が読みにくくなります
• 既存製品へのアドオン：同じベンダーのアクセス制御基盤やエンドポイント保護に追加する形です。基盤をすでに契約していれば追加費用は抑えられますが、基盤ごと導入する場合は総額が大きくなります

金額の目安が付けやすいのは、料金を公開している国産の SaaS 管理ツール一体型です。1IDあたりの月額は250〜300円の水準で公開されており、500ID以下で250円（税抜）、50ID を超えた分が300円といった刻みになっています。

従業員300名で単純に計算すると、年額はおよそ90万〜110万円です。

人数ではなく定額で示している製品もあります。20名まで月額1万円・100名まで月額5万円、あるいは300名まで月額100ドル（年間契約）といった価格が公開されています。

無料で始められる枠を持つ製品もあります。SaaS 管理ツール一体型には50IDまで無料のものがあり、特化型にも最大1,000ユーザーまでの無料プランがあります。ただし後者の無料の範囲は未承認SaaS・AIの発見とスピアフィッシング検知で、設定の点検は上位プランです。

一方、SSPM 特化型とアクセス制御一体型は、比較表のとおりほぼすべてが「要お問い合わせ」で、公開価格から相場をつかむことはできません。この領域の費用は、公開情報からは推し量れないと考えたほうが確実です。

価格が出てこないのは、接続する SaaS の数・利用者数・契約年数・代理店の支援範囲の組み合わせで金額が変わり、代理店経由の販売が中心だからです。裏返せば、この4つを先に決めておけば見積もりは出ます。相場を探して時間を使うより、候補を2〜3製品に絞って同じ条件で見積もりを取り、横並びで比べるほうが早く着地します。

数少ない公開例として、アクセス制御一体型の設定点検アドオンが AWS Marketplace の年間契約価格に、点検対象の SaaS アプリのアカウント1つあたり10,000米ドル（利用者1人あたりではありません）で掲示されています。ただし公式サイトに一般公開の料金表はなく、実際は代理店経由の見積もりになります。

見積もりを依頼するときは、従業員数（またはアカウント数）、点検したい SaaS の名前と数、自動修復を使うかどうか、想定する契約期間の4点を先に伝えると、やりとりの往復が減ります。社内で示す金額感を先に固めたい場合は、公開価格のある SaaS 管理ツール一体型で下限を押さえ、特化型は実機検証と並行して見積もりを取る進め方が現実的です。

検知ルールの充実度とカスタマイズ性

検知ルールを見るときの観点は、標準で用意されている本数と、自社ポリシーに合わせて調整できるかの2点です。本数が多いほど網羅性は上がりますが、そのぶん初期のアラートも増えるため、不要なルールを無効化したり、しきい値を変えたりできることが運用上は効いてきます。

自社に独自のルールがある場合は、それを検知条件として書けるかどうかも判断材料になります。たとえば「特定の部署以外は外部共有を禁止」といった社内規程は、標準ルールには含まれません。

ただし、公開されている数字は製品ごとに数え方が違います。設定チェック項目の数を「3,500以上」と公式に記載している製品もありますが（比較表の「検出できるリスク」列に併記しています）、同じ数え方の数字を他社が公開していない以上、そのまま横並びには置けません。カタログ上の数字で比べるより、自社環境に接続して実際に出る検出内容を見るほうが確実です。

費用をかけずに試せる例としては、国内代理店経由で2週間・無償の実機検証を用意している特化型の製品があります。前述の無料プランとあわせて、実際の検出内容を見てから判断する余地は残されています。

既存のCASB・EDR・IDaaSとの重複と統合

すでにセキュリティ製品を導入している企業では、機能の重複と管理画面の分散が問題になります。同じベンダーの製品なら、管理コンソールが統合されて運用負荷が下がる場合があります。

具体的には、EDR を導入済みなら同じベンダーの SSPM が同じ基盤に乗りますし、アクセス制御一体型の設定点検機能も、それぞれのクラウドアクセス制御基盤の上に載る形になります。どの製品がどのベンダーの基盤に属するかは、比較表の「提供会社」列で確かめられます。

IDaaS を使っているなら、そのログイン履歴を手がかりに未管理の SaaS を検出する SaaS 管理ツール一体型と組み合わせやすくなります。

Microsoft 365 を使っている企業からよく出るのが、「Microsoft Defender for Cloud Apps で代用できないか」という問いです。Microsoft 365 E5 のように Defender for Cloud Apps を含むライセンスを契約していれば、追加契約なしで設定点検を始められます。

ただし公式ドキュメント上、設定点検（セキュリティ ポスチャ管理）の対象は一般提供11アプリとプレビュー3アプリに限られ、クラウド検出で可視化できる34,000超のアプリとは別の範囲です。

Microsoft 365 とこの対象に含まれる SaaS が点検できれば足りるなら追加投資なしで始められますし、対象外の SaaS を点検したいなら別の製品が要る、という判断になります。

逆に、点検機能が上位プラットフォームの契約に含まれている製品では、その基盤ごと導入することが前提になります。すでに別ベンダーの基盤を使っているなら、点検機能を単体で契約できるかが判断の分かれ目です。検出したアラートを既存の監視基盤やITサービス管理ツールに送れるかどうかも、あわせて見ておきたい点です。

情シス1〜2名でも回る運用か

導入後の運用を誰が担うかは、製品選定と同じくらい結果を左右します。検出された項目をすべて直そうとすると、初期は相当量のアラートが出ます。重大度で絞り込めるか、対応済みの項目を除外できるか、レポートを定期送付できるか。こうした運用機能の有無が、その後の負荷を左右します。

専任の担当者を置けない場合は、運用まで含めて委託できるサービスの有無も選択肢に入ります。委託先の候補と、どこまでを任せるかの決め方は、記事後半の注意点で扱います。

ここまでの9つの軸を、次の比較表で製品ごとに確認できます。自社にとって外せない軸から順に見ていくと、候補は数製品まで絞り込めます。

【比較表】SSPM製品18選の対応SaaS・修復機能・料金を比較

ここからは、自社の課題や要件に合わせた客観的な比較・選定ができるよう、主要な SSPM 製品18サービスを3つの目的別（タイプ別）に分類してご紹介します。3つの表は同じ列で構成しているため、タイプをまたいだ読み比べもできます。

SSPM特化型の比較

※2026年8月時点の各社公式サイト・公式ドキュメント・国内代理店の公開情報に基づきます。「公式に記載なし」は公式情報の範囲でその機能を確認できなかったことを示すもので、機能がないと確定したものではありません。最新の仕様・料金は各社にご確認ください。

SaaS管理ツール一体型の比較

※2026年8月時点の各社公式サイト・公式ドキュメント・国内代理店の公開情報に基づきます。「公式に記載なし」は公式情報の範囲でその機能を確認できなかったことを示すもので、機能がないと確定したものではありません。最新の仕様・料金は各社にご確認ください。

アクセス制御一体型（CASB系）の比較

※2026年8月時点の各社公式サイト・公式ドキュメント・国内代理店の公開情報に基づきます。「公式に記載なし」は公式情報の範囲でその機能を確認できなかったことを示すもので、機能がないと確定したものではありません。最新の仕様・料金は各社にご確認ください。

SSPM製品18選の詳細比較

各製品が対応している SaaS、検出できるリスクの範囲、検出後の対応方式、国内での提供体制を個別に見ていきます。

SSPM特化型

SaaS の設定・権限・外部連携の点検を専業で手がける製品です。検知の深さと修復機能の作り込みで差が出ます。

1. AppOmni（AppOmni, Inc.）

米国の AppOmni, Inc. が開発する SSPM で、国内では株式会社日立ソリューションズが2022年12月15日から販売代理店として取り扱っています。

対応 SaaS は Microsoft 365・Salesforce・ServiceNow・Google Workspace・Workday を軸に、Slack・Zoom・GitHub、ChatGPT や Claude などの生成AIサービスまで公式の対応一覧に並びます。

検出できるのは、設定不備とベースラインからの設定ドリフト、過剰な権限と権限昇格、データ露出、危険な SaaS 間連携、OAuth 連携アプリの悪用です。会社が把握していない SaaS や生成AIツールの利用を洗い出す機能も、公式サイトに明記されています。

検出後は、対象の設定やオブジェクト ID を添えた修復手順の提示が基本で、ログ管理基盤（SIEM）、対応の自動化基盤（SOAR）、ITサービス管理ツールと連携したチケット起票にも対応します。加えて調査エージェント「Marlin AI」が、一部の設定不備をワンクリックで修復します。

ただし Salesforce 側の設定変更のように、AppOmni の画面内で完結しない操作には制約があるとされています。料金と課金単位は公開されておらず個別見積もりで、日立ソリューションズ経由で2週間・無償の PoC を利用できます。

2. CrowdStrike Falcon Shield（CrowdStrike, Inc.）

SSPM 専業だった Adaptive Shield を CrowdStrike, Inc. が2024年11月6日に買収すると発表し、Falcon プラットフォームへ統合したのが本製品です。

連携先は Microsoft 365・Google Workspace・Slack・Salesforce・Box・Okta・GitHub・ServiceNow・Workday などです。対応数は公式サイトが200以上、公式ブログが175以上、国内代理店ページが180種類以上と表記に幅があります。

検出範囲は、設定不備、過剰権限と権限の肥大化、外部共有によるデータ露出、OAuth 連携アプリに付与されたスコープに及びます。退職済みでアクセス権が残る利用者や、サービスアカウントのように人が使うわけではない ID も対象です。未申請の SaaS の識別と、SaaS 上に作られた AI エージェントの検出も公式に明記されています。

検出後は、段階的な手順を示すガイド付き修復と、ポリシーに基づく自動修復の両方を用意しています。国内は株式会社マクニカが総代理店として、平日9:00〜17:00の電話・メール窓口を持ちます。2026年6月からは伊藤忠テクノソリューションズ株式会社が、運用監視をパッケージ化したマネージドSSPMサービスを提供しています。料金は公式・代理店とも公開されておらず要問い合わせです。

3. Obsidian Security（Obsidian Security, Inc.）

設定の点検に加えて、ID 脅威の検知と AI エージェント向けのセキュリティを1つのプラットフォームにまとめた製品です。開発元は Obsidian Security, Inc. で、国内では株式会社テリロジーが2025年11月4日に販売代理店契約の締結と販売開始を発表し、以後、国内で取り扱っています。公式サイトは英語のみのため、製品画面の日本語対応と国内の導入事例は公式には確認できません。

対応 SaaS を公式は「数百の事前構築済みコネクタ」と表現し、Google Workspace・Microsoft 365・Salesforce・ServiceNow・Snowflake・GitHub・Workday・Okta などを名指ししています（テリロジーの紹介ページでは200種類以上と案内）。

検出対象は、設定不備、利用者と連携アプリの双方で権限が業務範囲を超えて増えた状態、未承認・新規・休眠の SaaS 間連携、多要素認証が未設定のアカウントや休眠アカウントです。

検出後は、不要なアクセスの自動失効やチケットシステムへの連携による自動修復と、ID 脅威の領域での個別の修復手順の提示を併用します。料金は最大1,000ユーザーまで無料の Free プランが公開されており、シャドーSaaS・未承認AIの発見とスピアフィッシング検知を含みます。上位の Foundations と Advanced は要見積もりです。

4. Valence Security（Valence Security, Inc.）

国内では2024年11月1日から、東京エレクトロン デバイス株式会社が初の販売代理店として取り扱っています。開発元は米国の Valence Security, Inc. で、SaaS・AI の利用状況の発見、SSPM、AI 向けの設定管理、リスク修復、ID 脅威検知の5つのモジュールでプラットフォームを構成しています。

公式サイトは175以上の SaaS・AI アプリへの対応を掲げ、Microsoft 365・Google Workspace・Salesforce・Okta・GitHub・Slack・ServiceNow・Workday などを列挙しています（代理店の2024年11月発表時点では67種類）。

検出対象は、設定ドリフト、過剰な外部共有リンク、OAuth 連携アプリの過剰権限や休眠、シングルサインオン（SSO）の管理外にあるものを含む休眠・退職者アカウントです。

修復は「Remediation by Choice」として、手順の提示、画面上でのワンクリック修復、チケット連携、条件に応じた完全自動の実行の4段階から選べます。退職者アカウントに紐づく OAuth トークン・API キー・外部共有をまとめて無効化するポリシーも設定できます。料金は公式・代理店とも非公開で要問い合わせです。

5. DoControl（DoControl, Inc.）

ファイル共有とアクセス権の制御を出発点にしたプラットフォームで、Google Workspace・Microsoft 365（OneDrive・SharePoint・Teams）・Slack・Box・Dropbox・Zoom・Salesforce・GitHub・Jira と連携します。2025年8月に発表した設定ドリフト機能では、200以上の SaaS への対応を進めているとしています。

検出対象は、設定不備、利用者とサードパーティアプリの過剰権限、社外や個人アカウントへの過度なファイル共有、OAuth 連携アプリ、退職者アカウントに残る権限、未申請の SaaS 連携です。自然言語処理により、個人情報や認証情報を含むファイルを判別する機能も備えます。

修復ワークフローはオンデマンド・スケジュール・完全自動の3方式で実行でき、退職者のアクセス一括遮断とデータ資産の所有権の移管まで自動化できます。国内は丸紅情報システムズ株式会社が2025年12月1日に販売代理店契約の締結と提供開始を発表していますが、公式サイトは英語のみで、日本語での提供体制の詳細と料金・課金単位は公開されていません。

6. Wing Security（Wing Security Ltd.／現 With Wings）

2025年9月30日に AI セキュリティ中心の企業への転換を発表し、公式サイトは AI エージェントのセキュリティを主軸とする構成へ再編されました。現在の公式表記は「With Wings」で、旧ドメイン wing.security は withwings.ai へ移行しています。同社はSSPM を土台に AI エージェントのセキュリティへ広げたという位置づけを示しています。

国内は株式会社テリロジーが2024年10月29日から販売代理店として取り扱っています。

公式ページで確認できる連携先は Google Workspace・Microsoft 365・Salesforce・GitHub・Okta・Slack・ServiceNow・SailPoint などで、直接連携（ネイティブ統合）は180以上と記載されています。

検出対象は設定不備、過剰権限、休眠・退職者アカウント、設定ドリフト、OAuth 連携アプリのリスク、未申請の SaaS で、SaaS 内での生成AI利用も可視化します。

検出後の対応は、セッションの取り消しなど低リスクの操作を自動実行し、影響の大きい操作には人の承認を挟む方式です。一方で現行サイトには料金ページがなく、2024年に発表された無料プランを含む4段階のプラン構成が今も続いているかは公式に確認できません。テリロジーの紹介内容もブランド変更前のものであるため、費用と現行の機能範囲は問い合わせて確かめる必要があります。

SaaS管理ツール一体型

SaaS の契約・アカウント管理を主目的としながら、設定やアカウント状態の点検も担う製品です。国内で提供されているものが中心で、料金が公開されているものもあります。

7. マネーフォワードAdmina（マネーフォワードi株式会社）

マネーフォワードi株式会社が提供する、SaaS のアカウントと IT デバイスを従業員単位でまとめて管理するツールです。デバイスの台帳管理は別プラン（Admina Device）として区分されています。2021年11月にマネーフォワード IT管理クラウドとして提供を開始し、2023年2月に現在の名称へ変更しました。

公式サイトでは対応 SaaS 数を380以上、うちアカウントの追加・削除まで実行できる SaaS を200以上としています。

点検にあたる機能は、二要素認証（2FA）が未設定の利用者の把握、退職済みアカウントのアラート、Google Drive・Box・OneDrive で公開状態になっているファイルの検出です。退職者アカウントはボタン操作で削除でき、公開ファイルは Admina の画面から共有を停止できます。OAuth 連携アプリの可視化と全社横断の権限棚卸しは、公式には記載がありません。

シャドーIT は、Google Workspace のログイン履歴、Chrome の拡張機能、会計・経費システムとの連携、自社の SaaS データベースとの照合という4系統から検出します。料金は50ID まで無料で、51ID 以上は1ID あたり月額300円。初期費用はかからず、2週間の無料トライアルがあります。

8. ジョーシス（ジョーシス株式会社）

ラクスル株式会社の社内プロジェクトから2022年に独立したジョーシス株式会社が運営する、SaaS アカウントと IT デバイスを従業員単位で管理するクラウドサービスです。公式サイトでは導入1,000社以上と記載しており、Google Workspace・Microsoft 365・Salesforce・Slack・Okta など350以上の SaaS と連携します。

セキュリティ設定モジュールがシングルサインオンと多要素認証の導入状況をモニタリングし、休眠状態の管理者ユーザーや過剰な権限を持つアカウントを検出します。検出後は個々の SaaS の管理画面を開かずに、ジョーシス上から権限・ロール・ライセンスの変更やアカウントの削除を実行できます。

外部共有の検出と OAuth 連携アプリの可視化については、公式には記載がありません。シャドーIT は Okta などの ID 基盤との連携で、従業員がログインした未管理の SaaS を検出する方式です。料金は可視化中心の Josys Discovery が年間契約で月額100ドル（300名まで）、上位プランは個別見積もりで、日本円の価格は問い合わせでの案内となります。

9. freee IT管理（フリー株式会社）

Bundle by freee を2025年12月に改称したサービスで、フリー株式会社が提供しています。SaaS アカウント・デバイス・備品を一元管理し、freee 会計や freee 固定資産と連携させる構成が特徴です。連携できる SaaS の数は公式に公開されていませんが、SCIM API を公開している SaaS であれば利用企業側の設定で追加できます。

設定点検にあたるのはリスク発見機能で、二要素認証の未設定や特権管理者が多すぎる状態を検知します。公式の記載は「通知します」までで、freee IT管理から SaaS 側の設定を変更する機能は示されていません。外部共有の検出と OAuth 連携アプリの可視化についても、公式には記載がありません。

退職者については、従業員マスタと紐づかないアカウントをシャドーアカウントとして抽出する機能がありますが、退職者・休眠アカウントの検出としての明記はありません。シャドーIT はブラウザ拡張機能と freee 会計の支払データ照合の2経路で検出します。料金は初期費用0円、1ID あたり月額300円（年払い）で、50ID からの契約です。

10. OPTiM サスマネ（株式会社オプティム）

SaaS だけでなく、従業員がインストールしたオンプレミスのソフトウェアや貸与デバイスまで、同じ従業員軸で棚卸しできる点を打ち出したツールです。提供元は東証プライム上場の株式会社オプティムで、Office365・Zoom・SmartHR・Slack・GitHub などと連携しますが、連携できる SaaS の総数は公開されていません。

点検にあたる機能は、退職済み従業員や未稼働アカウントをアラートで知らせる削除漏れID検知と、未承認ソフトウェアの利用を従業員ごとに捉えるシャドーIT検知の2つです。多要素認証の未設定検出・権限の棚卸し・外部共有の検出・OAuth 連携アプリの可視化は、いずれも公式には記載がありません。

シャドーIT の検出は従業員の PC に導入するエージェントアプリが担い、SaaS 以外のソフトウェアを自動検知できる SaaS 管理ツールとして国内初と訴求しています（同社調べ、2024年3月26日時点）。検出後は各 SaaS の管理画面を開かずにアカウントの作成・削除ができます。料金は500ID 以下で1ID あたり月額250円（税抜）、501ID 以上は個別見積もりです。

11. dxeco（株式会社オロ）

dxeco（デクセコ）は、メンバー20名までのスタータープランを月額1万円で公開している SaaS 管理ツールです。提供元は東証プライム上場の株式会社オロで、100名までのスタンダードプランは月額5万円、人数無制限のエンタープライズプランは月額5万円からとなっています。初期費用は公式に記載がありません。

契約情報とコストの把握には2,000以上の SaaS を登録した独自データベースを使い、アカウント連携は Slack・Microsoft 365・Google Workspace・Box・SmartHR などに対応します。点検にあたる機能は、ブラウザ拡張機能によるシャドーIT検出（特許第7288636号）と、グループウェア連携による退職者・異動者アカウントの自動検知です。

多要素認証の未設定検出、権限の棚卸し、外部共有の検出、OAuth 連携アプリの可視化については、公式には記載がありません。検出結果はアラートとタスクとして担当者に割り当てられ、停止や削除は各 SaaS の管理画面で行うのが基本ですが、HENNGE One との連携に限っては dxeco 側からアカウントの新規作成・削除まで実行できます。

12. ITboard（ITcrowd Corp.）

サービス・ユーザー・部署ごとの SaaS 利用台帳を自動で作成し、専属担当による毎月の定例会と報告レポートまでをセットで提供する SaaS 管理プラットフォームです。運営は ITcrowd Corp. で、公式サイトには Slack、Microsoft 365、AWS、Notion など50以上の SaaS のロゴが掲載されていますが、連携数の合計は明示されていません。

点検にあたる機能として公式サイトに挙がっているのは、放置・削除漏れアカウントの検知と、ブラウザ上のログから未許可の SaaS 利用を捉えるシャドーIT検知です。検知後に ITboard 側でアカウントの停止や削除まで実行できるかは公式サイトに記載がなく、問い合わせでの確認が必要です。

公式の導入事例では、沖電グローバルシステムズ株式会社が棚卸し業務の時間を1/20に短縮したと記載されています。料金は初期費用が無料で、月額は管理対象 ID 数に応じた個別見積もりです。契約は年単位で、支払いは月払いと一括払いから選べます。

アクセス制御一体型（CASB系）

クラウドの入口でのアクセス制御を担う基盤が、設定点検の機能も併せ持つ製品です。点検機能を単体で契約できるかは製品ごとに分かれます。

13. Microsoft Defender for Cloud Apps（Microsoft Corporation）

CASB・SSPM・脅威保護・アプリ間の保護という4つの機能領域を1つにまとめた、Microsoft の SaaS セキュリティ製品です。SSPM は製品の柱の1つとされており、本体のライセンスと対応アプリの接続だけで利用できます。本体は単体ライセンスでの購入も可能と公式に明記されています。

設定点検の対象になるのは、Microsoft 365・Google Workspace・Salesforce・ServiceNow・GitHub など一般提供11アプリとプレビュー3アプリに限られます。クラウド検出で可視化できる34,000超のアプリとは別の範囲なので、自社の主要な SaaS が含まれているかを先に確認しておく必要があります。

検出された不備は Microsoft セキュア スコアの推奨アクションに反映され、修復は提示された手順に沿って管理者が各 SaaS 側で行います。OAuth トークンの取り消しやアカウントの一時停止は、ポータルから直接実行できます。

日本語のドキュメントと管理画面が用意され、アプリガバナンス機能のデータは日本国内に保存されます。料金は Microsoft 365 E5 の1ユーザー月額8,995円（年払い）などのバンドル価格が公開されている一方、単体ライセンスの円建て価格は公式の価格表に掲載がありません。

14. Netskope SaaS Security Posture Management（Netskope, Inc.）

Netskope One という統合プラットフォームのモジュールとして提供される設定点検機能です。CASB、Webアクセスを制御する SWG、社内システムへの接続を制御する ZTNA などと同じコンソール、同じポリシー基盤の上で動く構成で、SSPM だけを独立して契約できるかについては公式に明記がありません。

点検の対象は Microsoft 365・Salesforce・ServiceNow・Google Workspace・Slack Enterprise などで、設定値を CIS・PCI-DSS・NIST・HIPAA といったベンチマークと継続的に比較します。

承認済み SaaS に接続された未検証の OAuth アプリも検出しますが、ネットワーク全体での未申請 SaaS の発見は CASB 側が担う機能です。

検出後は段階的な手順を示すガイド付き修復が中心で、設定を自動で書き換える機能は公式には示されていません。国内は Netskope Japan 株式会社と、ソフトバンクや日立ソリューションズなどの販売代理店が導入・保守の窓口を担います。料金は公開されておらず、見積りでの確認になります。

15. Zscaler SaaSセキュリティポスチャー管理（Zscaler, Inc.）

Zscaler は、設定と権限の継続監視を担う SSPM と、データ保護やアクセス制御を担う CASB を「Unified SaaS Security」として一体で提供しています。日本語の製品ページとヘルプポータルが用意され、ゼットスケーラー株式会社が国内の窓口です。

CIS ベンチマークを基準に危険な設定ミスを特定するほか、過剰な権限を持つ利用者、リスクのある共有設定、サードパーティアプリの OAuth 連携、退職者アカウントや多要素認証の未設定を検出します。対象として名前が挙がっているのは Microsoft 365・Google Workspace・Salesforce・Slack・Box などで、対応アプリの総数は公式に示されていません。

検出後の対応は、自動修復とガイド付き修復の両方に対応すると公式に明記されています。SaaS Security 自体はプラットフォームのバンドルなしで契約できますが、点検機能だけを切り出して契約できるかは公式に記載がありません。料金も非公開で、ユーザー数に基づく年間契約という枠組みのみ示されています。

16. Palo Alto Networks SSPM（Palo Alto Networks, Inc.）

ユーザー単位のスタンドアロンライセンスで契約できることが公式ドキュメントに明記されている、SaaS Security の設定点検コンポーネントです。CASB-X・CASB-PA といったバンドルの一部としても提供されるため、SASE 基盤ごと導入するかどうかを選べます。

点検の対象は Microsoft 365・Google Workspace・Salesforce・ServiceNow・GitHub などです。設定・アカウントの権限・OAuth 連携アプリを継続的にスキャンし、過剰な権限や休眠アカウント、ローテーションされていない認証情報を検出します。対応アプリ数は製品ページで100以上、ドキュメントで90以上と公式内で表記が分かれています。

検出したリスクに対しては、過剰な権限の取り消し、誤設定のリセット、リスクのある OAuth トークンのブロックをワンクリックまたは手動で実行できます。CIS や NIST SP 800-53、ISO/IEC 27001 など10種のフレームワークに照らした非準拠設定の一覧も確認できます。

日本法人のパロアルトネットワークス株式会社があり、日本語の製品ページとデータシートが公開されています。国内ではテクマトリックス・SCSK・日立ソリューションズなどが導入窓口を担い、料金は非公開で見積りが必要です。

17. Skyhigh Security（Skyhigh Security LLC）

設定点検にあたる機能は独立した製品ではなく、CASB の Sanctioned Apps モジュール配下の「Security Configuration Audit for SaaS」として提供されます。点検だけを切り出した単体製品は公式のラインナップに無く、CASB を含むパッケージを契約する形になります。

CIS ベンチマークなどの業界標準に基づいて設定を監査し、改善案を提示します。API 連携の対象として名前が挙がっているのは Microsoft 365（SharePoint・OneDrive・Teams を含む）、Google Workspace、Salesforce、Box、ServiceNow などです。

是正については、SharePoint 向けにポリシー違反を検知した際の自動修復が公式ドキュメントで確認できます。ほかのアプリでも同じ自動修復が使えるかについては記載がありません。日本語ページと東京オフィスがあり、国内は代理店経由の販売が中心で、料金はユーザー数と年単位のボリュームに基づく見積りです。

18. Forcepoint ONE CASB（Forcepoint LLC）

未承認の SaaS 利用そのものを止めたい企業向けに、ログ解析によるシャドーIT の可視化とアクセス制御を提供する CASB です。設定点検は本体に標準搭載されておらず、Forcepoint ONE SSPM という有償アドオンとして追加する形になります。

アドオンで設定手順まで公式ヘルプに記載されているのは Salesforce で、ServiceNow や Microsoft、Google Workspace はヘルプの項目として挙がっている段階です。検出したリスクの扱いは、レポートの生成までが公式に明記されている範囲で、設定を自動で修正するかどうかの記載はありません。

アドオンの価格は、AWS Marketplace の年間契約の掲載で SaaS アプリのアカウント1つあたり10,000米ドルとされています。公式サイトに一般公開の料金表はなく、実際の費用は代理店経由の見積りになります。国内は日立ソリューションズと株式会社ネットワークバリューコンポネンツが販売代理店で、日本語のサポートも代理店が担います。

SSPM導入から運用定着までの進め方

候補が絞れたら、実際に導入して運用に乗せるまでの段取りを組みます。ここでは5つの段階に分けて説明します。

STEP1：利用中のSaaSと管理者権限を棚卸しする

まず、自社がどの SaaS を使っていて、それぞれ誰が管理者権限を持っているかを一覧にしておくと、対応 SaaS の比較がしやすくなります。この棚卸しがないと、比較表のどの列も自社に引き寄せて読めません。

情報システム部門が契約していないサービスも拾う必要があります。経費精算の記録や請求書、部門への聞き取りが手がかりになります。手作業での棚卸しが難しい場合は、シャドーSaaS 検出を持つ製品でまず可視化から入り、出てきた一覧を棚卸しの土台にする進め方もあります。棚卸しの結果は、後で PoC の対象を決めるときにも使います。

STEP2：優先して点検するSaaSを決める

すべての SaaS を最初から対象にすると、初期のアラート量が処理しきれなくなります。扱っている情報の機密度と利用者数の2軸で優先順位を付け、上位の数サービスから始めるのが現実的です。

接続する SaaS の数で課金される製品の場合、この優先順位がそのまま初年度の費用に効いてきます。

STEP3：PoCで検知内容と運用負荷を確かめる

候補を2〜3製品に絞った段階で、自社環境に接続すると実際に何が検出されるかが見えてきます。見るべきは検出件数そのものではなく、検出された項目が対応すべきものとして納得できるか、そして対応の手順が現場に説明できる形かどうかです。

製品によっては無償の評価期間や PoC 支援が用意されています。この段階で、日本語での問い合わせにどのくらいの速さで回答が返るかも見ておくと、導入後のサポート体制の見当が付きます。

STEP4：ポリシー設計と段階導入

どの検知ルールを有効にし、どの重大度から対応するかを先に決めておくことが重要です。自動修復を使う場合は、対象を限定して始めるのが安全です。公開リンクの無効化のように、戻しても業務影響が小さい操作から適用範囲を広げていくと、想定外の巻き戻しを避けられます。

あわせて、検出された項目を誰が直すかという役割分担も決めておく必要があります。SaaS ごとに管理者が分かれている場合は、この取り決めがないまま運用を始めると、アラートが放置される状態になりがちです。

STEP5：運用の定着と定期レビュー

運用が始まってからは、検知ルールと対応状況の定期的な見直しが要ります。総務省の設定ガイドラインは、定期的なチェックに加えて「クラウドサービスの機能追加や仕様変更に対しては定期的ではなく特別に注意してチェック及び対応を行う」ことをベストプラクティスに挙げています。SaaS 側の大きな更新があったときは、定期レビューを待たずに影響を確認するということです。

点検の記録は、ISMS の審査や取引先への説明にそのまま使えます。レポート機能で月次の状況を残しておくと、後から用意する手間がかかりません。

出典・参考資料（1件）

• 出典：クラウドサービス利用・提供における適切な設定のためのガイドライン（2022年10月）｜総務省

SSPM導入・運用時の注意点

最後に、導入後に想定とのずれが起きやすい点を3つ挙げます。

SSPMだけでは守れない範囲がある

SSPM が扱うのは設定とアカウントの状態です。マルウェアの検出、端末の保護、通信経路での制御、データそのものの暗号化は範囲外になります。SaaS の設定が適正でも、認証情報が盗まれれば正規のログインとして侵入を許します。

総務省も、支援ツールの活用を推奨する節の中で「ツール等の利用に当たっては、ツール過信に陥らないよう、組織としてのレビュー及び判断を行う」と併記しています。ツールの導入は対策の一部であって、それ自体が目的にはなりません。

盗まれた認証情報による正規のログインを防ぐには、ログイン側の対策を別に用意する必要があります。認証方式ごとの違いや主要サービスの比較は、以下の記事で解説しています。

初期チューニングと定常運用に工数がかかる

導入直後は、これまで見えていなかった状態が一度に可視化されるため、検出件数が多くなります。この段階の作業は、検出された項目を1件ずつ確認し、対応するもの・許容するもの・ルールを調整するものに仕分ける作業です。

工数を決めるのは、接続した SaaS の数、検知ルールをどれだけ自社向けに調整するか、そして自動修復をどこまで使うかの3点です。

なお、初期チューニングにかかる時間の公的な統計はなく、各社も公表していません。実機検証の期間に検出件数と仕分けに要した時間を記録しておくと、自社の条件での工数を実測できます。手順提示型の製品を選び、SaaS ごとに管理者が分かれている構成では、検出件数がそのまま調整のやりとりの量になります。逆に対象 SaaS を絞り、標準ルールのまま始めれば、初期の負荷は抑えられます。

自社運用が難しい場合は運用込みの委託も選べる

情報システム部門が数名という体制では、日々のアラート対応まで自社で抱えるのが難しいことがあります。この場合、製品のライセンスだけを買うのではなく、監視と対応まで委託する形のサービスを選ぶ方法があります。国内でも、SSPM 製品を使った運用代行サービスを提供する事業者が出てきています。

委託を検討する場合は、どこまでを委託先が判断するのかを最初に決めておくことが要点になります。検出の一次確認までなのか、設定変更の実施まで含むのかで、契約内容も自社に残る作業量も変わります。

出典・参考資料（1件）

• 出典：クラウドサービス利用・提供における適切な設定のためのガイドライン（2022年10月）｜総務省

まとめ

SSPM は、SaaS の設定・権限・外部共有・連携アプリの状態を継続的に点検し、危険な状態を見つけて知らせる仕組みです。SaaS の設定のうち利用者アカウントや業務データに関わる部分は利用企業の責任とされており、その点検を人手だけで続けるには、SaaS の数も仕様変更の頻度も増えすぎました。

製品を選ぶときは、対応 SaaS に自社の中心的なサービスが含まれているか、検出後に手順の提示までなのか設定変更まで行えるのか、そして課金が何の単位でかかるのかを確認します。設定の点検だけを深くやりたいのか、アカウントの棚卸しまで一緒に回したいのか、利用そのものの制御まで踏み込みたいのかで、選ぶべきタイプが変わります。

今回18製品を公式情報で確認した範囲では、5項目すべてを確認できたのは4製品にとどまり、14製品はどこかが「公式に記載なし」でした。公式に確認できたのが退職者・休眠アカウントの検出だけという製品も3つあります。

料金を公開しているのは国産の SaaS 管理ツール一体型に偏り、特化型とアクセス制御一体型はほぼ要問い合わせです。CIS ベンチマークに沿った評価が効くのも、基準が公開されている Microsoft 365 と Google Workspace の範囲にとどまります。

つまり、公開情報だけで1製品に絞り切れる領域ではありません。自社にとって外せない項目があるなら、比較表で候補を3つほどに絞ったうえで、その項目を問い合わせと実機検証で潰していくのが現実的な進め方になります。

候補が絞れたら、自社環境に接続して何が検出されるかを確かめるのが確実です。特化型とアクセス制御一体型は価格が公開されていないため、対応 SaaS と課金単位を整理したうえで見積もりを取る段取りになります。

MCB FinTechカタログでは、SaaS 管理ツール一体型のサービスについて、提供企業の担当者とのオンライン打ち合わせを予約できます。設定の点検とアカウントの棚卸しをまとめて回したい場合の相談先です。SSPM 特化型とアクセス制御一体型は各社への問い合わせになるため、比較表のボタンから公式サイトを開いてください。

SSPMに関するよくある質問

Q. SSPMとは何ですか？

A. SSPM とは、企業が使っている SaaS のセキュリティ設定やアカウントの状態を継続的に点検し、危険な状態を検出して管理者に知らせる仕組みです。

名称は SaaS Security Posture Management の略で、情報処理推進機構（IPA）は「情報セキュリティ10大脅威 2026 解説書」で、SaaS のセキュリティ設定のミスやアカウント管理の不備、不審なアクセスの有無等を監視し、検知すると管理者へアラートを通知するもの、と説明しています。

設定ミスそのものを起こさせない製品ではなく、起きてしまった設定ミスを早期に見つけるための製品にあたります。

Q. SaaSのセキュリティ設定は、提供事業者と利用企業のどちらの責任ですか？

A. SaaS の設定のうち、利用者アカウントや業務データに関する設定は、利用企業側の責任とされています。

総務省の「クラウドサービス利用・提供における適切な設定のためのガイドライン」は、SaaS ではアプリケーションの動作に係る設定は SaaS 事業者が責任を負う一方、利用者アカウントや業務データの設定（ユーザ設定）については利用者の責任になる、と整理しています。

ただし責任範囲は一律に決まるものではないとも述べているため、利用中の SaaS ごとに、利用規約の免責事項まで含めて分界点を確認しておく必要があります。

出典・参考資料（1件）

• 出典：クラウドサービス利用・提供における適切な設定のためのガイドライン Ⅱ.1.2 クラウドサービス事業者とクラウドサービス利用者の責任と役割｜総務省

Q. SaaSに標準で備わっているセキュリティ機能では、SSPMの代わりになりませんか？

A. 使っている SaaS が1〜2種類なら標準機能で足りる場合もありますが、SSPM の値打ちは、複数の SaaS を同じ基準で横断的に点検し、SaaS 同士の連携や OAuth 連携アプリまで一覧化できる点にあります。

SaaS によっては、自社サービスの範囲内で推奨設定との差分やスコアを示す機能を備えているものもありますが、評価の切り口も画面も各社ばらばらなため、SaaS が増えるほど「どのサービスのどの項目から手を付けるべきか」を横並びで判断しづらくなります。

SaaS ベンダーやセキュリティ基盤ベンダー自身が SSPM 機能を提供している場合も、点検できるのは接続に対応済みのアプリに限られます。自社の主要な SaaS が対象範囲に含まれているかは、標準機能・専業製品のどちらを検討する場合でも先に確認しておく必要があります。

Q. Microsoft Defender for Cloud Apps があれば、SSPM製品は不要ですか？

A. Microsoft 365 E5 のように設定点検の機能を含むライセンスを契約済みなら、追加費用なしで点検を始められます。Microsoft 365 が中心で、点検したい SaaS がその対象範囲に収まっているなら、まずこれで足ります。

ただし公式ドキュメント上、設定点検の対象は一般提供11アプリとプレビュー3アプリに限られます。利用状況の可視化ができるアプリ数とは別の範囲なので、混同しないよう注意してください。対象外の SaaS まで点検したい場合は、別の製品が必要になります。

判断の手順としては、まず自社の主要な SaaS を並べ、そのうち何種類が対象範囲に含まれるかを数えます。半分以上が対象外なら、比較表で対応 SaaS の広い製品を検討する段階です。

Q. 中小企業や情報システム担当が数名の企業でも、SSPMは必要ですか？

A. SSPM が要るかどうかは、従業員数よりも、利用している SaaS の数と管理者がどれだけ分散しているかで決まります。従業員が少なくても、部門ごとに SaaS を契約し、それぞれ別の担当者が管理者権限を持っている状態なら、手作業での点検はすぐに追いつかなくなります。逆に、全社で使う SaaS が数種類で管理者も1人に集約されているなら、まず点検の手順と頻度を決めて運用する方が現実的です。

ツールの前に足元を固めたい場合は、IPA が「中小企業のためのクラウドサービス安全利用の手引き」（2026年6月）で、利用者の範囲を決める、利用者の認証を厳格に行うといった平易なチェック項目を公開しています。

そのうえで検討に進む場合も、無料で使える範囲を設けた製品や、対象 SaaS を絞ってスモールスタートできる料金体系の製品があります。比較表の料金欄と課金単位が、始めやすさを見極める材料になります。

出典・参考資料（1件）

• 出典：中小企業のためのクラウドサービス安全利用の手引き（2026年6月）｜独立行政法人情報処理推進機構

Q. SSPMの導入には、点検対象となるSaaSの管理者権限が必要ですか？

A. 多くの製品は、点検対象の SaaS に管理者権限で API 連携する形で接続します。管理画面から接続用アプリを承認する、専用アカウントを作って権限を割り当てるといった作業が発生するため、どの SaaS の管理者権限を誰が持っているかを事前に把握しておく必要があります。導入の第一歩として棚卸しが欠かせないのは、この確認が製品選定と接続作業の両方に効いてくるためです。

あわせて確認したいのが、付与する権限の強さです。設定やアカウント情報を読み取るだけなら読み取り専用の権限で足りますが、製品側から設定を書き換える自動修復を使う場合は変更権限が必要になります。必要な権限は製品と対象 SaaS の組み合わせで変わるため、PoC の段階で具体的に確認しておくと、社内の承認手続きが進めやすくなります。

Q. SSPMを導入すると、SaaS内のファイルやメールの中身まで見られることになりませんか？

A. 取得する情報の範囲は製品によって異なり、設定や権限の情報だけを扱うものと、ファイルの共有状態や中身の分類まで踏み込むものがあります。SSPM 自体が各 SaaS に強い権限で接続する仕組みである以上、「何をどこまで取得し、どこに保存するのか」は選定時の確認事項になります。

確認しておきたいのは、取得する情報の種類、取得したデータの保存先が国内か海外か、そして自社の情報取扱規程やデータの取り扱いに関する取り決めと整合するかの3点です。セキュリティ部門の審査で問われやすい部分なので、実機検証に進む前に資料や公式ドキュメントで押さえておくと手戻りを避けられます。

Q. SSPMを導入すると、SaaSを使う従業員の側にも作業や影響が生じますか？

A. 管理用 API で接続する方式であれば、従業員側の作業は原則として発生しません。SSPM は各 SaaS の管理者側から設定やアカウントの情報を取得するため、利用者が何かをインストールしたり、日々の使い方を変えたりする必要は基本的にありません。

例外は2つあります。ひとつは、会社が把握していない SaaS の利用まで検出するために、業務端末にブラウザ拡張やエージェントを配布する方式を採る場合で、端末側の準備と利用者への説明が必要になります。もうひとつは自動修復で、公開リンクを無効にしたり連携アプリの許可を取り消したりする操作は、進行中の業務に影響します。適用する対象を限定し、事前に周知したうえで始めると混乱を避けられます。

Q. SSPMを導入すれば、ISMS審査や取引先のセキュリティチェックシートの要求を満たせますか？

A. ツールを導入しただけでは要求を満たしたことにはならず、点検の頻度・対象・検出時の対応手順を運用として定め、記録を残して初めて説明できる状態になります。

総務省の設定ガイドラインは、定期的なチェックと対処の実施、および必要に応じた内部基準に基づく監査を基本の対策として挙げ、ベストプラクティスに「定期的なチェックや内部監査等にツールを使用し効率化を行う」を含めています。ツールはあくまで、この要求に応えるための効率化の手段という位置づけです。

裏を返せば、点検結果を定期的なレポートとして残せる製品を選んでおくと、審査やチェックシートへの回答時に資料を作り直す手間が減ります。比較表の「検出後の対応」欄とあわせて、レポート出力の可否を確認しておくとよいでしょう。

SSPMの料金・対応SaaSを一括チェック

本記事の比較表では、18製品の対応 SaaS・検出できるリスク・検出後の対応・課金単位を並べて確認できます。そのうえで自社の SaaS 構成での対応可否と費用まで詰めたい場合、SaaS 管理ツール一体型については MCB FinTechカタログから提供企業の担当者とのオンライン打ち合わせを予約できます。使っている SaaS の名前と数、点検したい範囲、想定の予算を伝えると、話が早く進みます。

特化型とアクセス制御一体型は、比較表のボタンから各社の公式サイト経由で問い合わせてください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。