SaaSの管理と棚卸しの進め方

執筆：石田誠更新 2026-11-12最終確認 2026-11-12出典 5件図解 2点

この記事の結論

SaaSの管理は、使っているサービスを台帳に洗い出して責任者・扱う情報・アカウント・契約を一か所で見られるようにし、導入の申請・入退社・年1回の見直しの流れに組み込むことで続けられます。

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

チャット、ファイル共有、経費精算、生成AIなど、部署ごとにSaaS（インターネット経由で使うソフトウェア）が増えると、「何を、誰が、どの情報で使っているか」が見えにくくなります。この記事では、総務省のガイドラインとIPA（情報処理推進機構）の資料を手がかりに、SaaSの棚卸しと管理の進め方を整理します。

この記事でわかること

SaaSを管理しないと起きやすい困りごと
棚卸しの手順と、台帳に載せる項目
導入・入退社・解約の流れに管理を組み込む方法

なぜSaaSの棚卸しが必要なのですか？

SaaSは申し込めばすぐに使えるため、会社が把握しないまま利用が広がりやすい特徴があります。把握できていないと、次のような困りごとにつながります。

退職した人のアカウントが残る：総務省のガイドラインは、退職者のIDを速やかに止めることを利用者の対策に挙げています。サービスの一覧がなければ、止める先が分かりません。
情報の置き場所が分からない：顧客の情報や社外秘の資料が、どのサービスにあるかを説明できなくなります。
費用が重なる：同じ用途のサービスを部署ごとに契約し、使われていないアカウントの費用を払い続けることがあります。
責任の分担があいまいになる：SaaSでも、アカウントやデータの扱いは利用者が受け持つ部分です（「クラウドを安全に使うための基本」参照）。

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版も、本格的に取り組む段階（STEP3）に、情報資産の管理と、取引先や外部サービスの管理を挙げています。付録6には資産管理台帳のサンプル（Excel）があります。

棚卸しは、どう進めればよいですか？

次の順番で進めると、抜けを減らせます。

① 手がかりを集めます。 経費の精算やクレジットカードの明細、請求書、シングルサインオン（SSO）の利用記録、各部署への聞き取りから、使っているサービスを拾い出します。複数の手がかりを突き合わせると、聞き取りだけでは出てこない利用も見つかります。

② 台帳に書き出します。 1サービス1行で、下の表の項目を埋めます。分からない項目は空欄のままにして、担当者に確かめます。

③ 扱う情報の重さで分けます。 社内のデータの分類ルールにそって、扱う情報が重いサービスから先に設定と契約を確かめます。

④ 整理します。 同じ用途のサービスはまとめ、使われていないアカウントや契約は止めます。止めるときは、データの返却・移行と消去の方法を確かめます。

⑤ 決まった担当を置きます。 サービスごとに責任者を決め、台帳を更新する人を決めます。

手がかりを突き合わせて、台帳にまとめます

手がかり経費・カードの明細、請求書、SSOの利用記録、各部署への聞き取り

突き合わせて1サービス1行に

SaaSの台帳責任者を決め、扱う情報の重いものから設定と契約を確かめる

整理するもの

同じ用途のサービスはまとめる
使われていないアカウント・契約は止める

複数の手がかりを突き合わせると、聞き取りだけでは出てこない利用も見つかります。止めるときは、データの返却・移行と消去の方法を確かめます。

台帳には、何を書けばよいですか？

台帳の項目は、多すぎると更新が続きません。まずは次の項目から始めると扱いやすくなります。

分類	項目の例
基本	サービス名、用途、使う部署、責任者
情報	扱う情報の分類（例：顧客の情報、社外秘、公開可）、データを保存する国・地域
アカウント	利用者の数、管理者の数、多要素認証・SSOの有無
契約	契約の形（無料・有料）、更新日、費用、入力した情報の扱い（学習への利用など）
やめるとき	データの返却・移行の方法、解約時の消去の扱い

IPAの「クラウドサービス安全利用の手引き」は、データを保存するサーバーの国・地域と、そこに適用される法規制、利用終了時のデータの返却・移行と消去を確かめる項目に挙げています。台帳の段階で書いておくと、後で確かめる手間が減ります。

台帳の書式は、ひな形「SaaSの管理台帳」を使えます。

管理を続けるには、どうすればよいですか？

棚卸しは1回で終わらせず、日々の手続きに組み込むと続きます。

導入の申請の窓口を一つにします。 総務省のガイドラインは、事業部門が独自にクラウドを使う場合のルールを定め、無許可の利用（シャドーIT）を把握し抑えることを挙げています。申請の様式に台帳の項目を入れておくと、導入と同時に台帳が埋まります。
入社・異動・退職と連動させます。 人事の手続きの一覧に「台帳のサービスのアカウントの発行・変更・停止」を入れます。アカウントの管理は、ひな形「アカウントと権限の管理台帳」とあわせて使えます。
管理者のアカウントを守ります。 管理者と一般の利用者のアカウントを分け、管理者には多要素認証を使います。
年に1回、台帳を見直します。 契約の更新や予算の時期に合わせ、使われていないサービス、責任者のいないサービス、設定が変わったサービスを確かめます。

日々の手続きに管理を組み込みます

導入するとき申請の窓口を一つにし、様式に台帳の項目を入れる

入社・異動・退職のとき台帳のサービスのアカウントの発行・変更・停止

年に1回使われていないサービス、責任者のいないサービス、設定が変わったサービスを確かめる

管理者と一般の利用者のアカウントを分け、管理者には多要素認証を使います。

生成AIのサービスも、SaaSの一つとして同じ台帳で管理します。 会社が把握していない生成AIの利用への備えは、「シャドーAIへの対策」で詳しく扱います。

チェックリスト

よくあるご質問

QSaaSの棚卸しは、どのくらいの頻度で行えばよいですか？

A決まった頻度の定めはありませんが、少なくとも年に1回、契約の更新や予算の時期に合わせて見直すと続けやすくなります。あわせて、新しいサービスの導入、入社・異動・退職のたびに台帳を更新する流れにしておくと、年に1回の見直しの負担が小さくなります。

Q部署が独自に契約したSaaSは、禁止したほうがよいですか？

A一律に禁止すると、かえって会社が把握できない利用が増えることがあります。総務省のガイドラインは、事業部門が独自にクラウドを使う場合のルールを定め、無許可の利用を把握し抑えることを挙げています。申請の窓口と確認の項目を用意し、台帳に載せてから使う流れにすると、現場の工夫を生かしやすくなります。

Q無料のプランのサービスも台帳に載せますか？

A業務の情報を扱うなら載せます。費用がかからなくても、入力した情報の扱いやアカウントの管理は、有料のサービスと同じように確かめる必要があります。生成AIのサービスも同じです。

この記事に出てくる用語

「基盤とセキュリティ」のほかの記事

この柱の解説 →

広げる　／　基盤とセキュリティAIと社内システムをAPIでつなぐ基本：仕組み・手順・安全の確かめ方石田誠2026-11-12 広げる　／　基盤とセキュリティAIのセキュリティの基本：AIへの攻撃とAIを使った攻撃への備え石田誠2026-10-26 定着させる　／　基盤とセキュリティAIの運用（MLOps・LLMOps）の基本：作った後に品質を保ち続ける仕組み石田誠2026-11-12

出典

最終確認日：2026-11-12

次の一歩

測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。