SaaSの管理台帳

ガイド「SaaSの管理と棚卸しの進め方」と「シャドーAIへの対策」で説明している手順に合わせて作ったExcelのファイルです。SaaS（インターネット経由で使うソフトウェアのサービス）を1行ずつ書き、新しく使いたいサービスは「利用の申請と承認」のシートで記録します。会社が把握していないサービスの利用（シャドーIT・シャドーAI）を見つけ、承認したサービスに移していくときにも使えます。

使い方

① 使っているサービスを集めます。 経理の支払いの記録、クレジットカードの明細、各部署への聞き取りなどから、業務で使っているサービスを集めます。無料のサービスや試用中のものも含めます。

② 1行ずつ書き出します。 「SaaS一覧」のシートに、サービスの名前、提供会社、用途、利用部署、社内の管理者を書きます。

③ 契約と費用を書きます。 契約の形（有料・無料・試用）、契約しているアカウント、利用者数、月額の費用の目安、契約の更新日、解約の申し出の期限を書きます。

④ 情報と設定を確かめます。 扱う情報の区分、個人情報の有無、生成AIの機能の有無、入力した情報の学習への利用の設定、認証の方法（シングルサインオン・多要素認証）、データの保存場所を、利用規約や管理画面で確かめて書きます。

⑤ 承認の状態を決めます。 承認済み・条件付きで承認・利用をやめる・確認中のいずれかを選びます。新しく使いたいサービスは「利用の申請と承認」のシートに記録します。

⑥ 定期的に見直します。 半年ごとや契約の更新の前に、使われていないサービス、重複しているサービス、設定の変化を確かめ、「見直しの記録」のシートに残します。

中身（見出し）

記入例

架空の会社「株式会社〇〇」の例です。

使うときの注意

• 自社の規程に合わせて直してください。 列は一般的な項目の例です。情報の区分は、自社の分類ルールの言葉にそろえます。
• 確かめた日と根拠を残してください。 利用規約・料金・設定は変わることがあります。確かめた日と資料の名前を残し、契約の更新の前などに見直します。サービスの詳しい確認には「AIの委託先・サービスの確認リスト（AIの委託先・サービスの確認リスト）」が使えます。
• 個人情報を扱うサービスは、法令を確かめてください。 個人データの取扱いを外部のサービスに任せる場合の扱いや、外国の事業者のサービスを使う場合の扱いは、個人情報保護委員会のガイドラインなどで確かめ、弁護士などの専門家に確かめていただくと安心です。
• 公的な資料も参考になります。 情報処理推進機構（IPA）の「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）の付録に、「中小企業のためのクラウドサービス安全利用の手引き」があります。
• 台帳そのものの扱いに気をつけてください。 契約のアカウントや設定の情報が集まるため、台帳を見られる人を限ります。
• このひな形は参考のための資料で、監査・評価・認証に代わるものではありません。特定の製品・サービス・会社をお勧めするものでもありません。