SaaSの約半数で「MFAが未提供」、利用者による「ログ確認不可」の場合も――5300サービスを調査：不正アクセスへの備えに課題

SaaSのセキュリティ対策は、どこまで進んでいるのか。アシュアードは約5300件のクラウドサービスを対象に、認証機能やアクセス管理などのセキュリティ対策の実態を調査した。その結果から、SaaS事業者が抱える課題が浮かび上がった。

[＠IT]

　クラウドサービスのセキュリティ評価を手掛けるアシュアードは2026年10月9日、国内で発生したセキュリティインシデントの分析と、クラウドサービスのセキュリティ対策の実態に関する調査結果を発表した。調査は、同社の「Assuredクラウド評価」に回答したクラウドサービス5302件のデータを基にしている。

　同社は併せて、2026年9月1日から10月7日に国内で報道されたセキュリティインシデント64件を分析。このうち、SaaSが関係すると推測される事案は11件あったという。

　11件のうち4件は、SaaS事業者の管理サイトや外部アプリなどが侵害された事案だった。残る7件は、メールやグループウェアなどの利用者アカウントが乗っ取られた事案で、侵入経路が公表された3件はいずれもフィッシングが起点だった。

SaaSの約半数が「MFA未提供」、アクセスログも確認できず

　SaaSではどの程度セキュリティ対策が実施されているのか。アシュアードの調査を見てみよう。

　アシュアードの調査によると、独自の認証機能を持つサービスのうち、利用者向けに「多要素認証」（MFA）を提供しているのは55％で、残る45％は提供していなかった。多要素認証を提供していないサービスのうち、43％はパスワードのみの認証方式だった。また、アクセス元や利用状況などのリスクに応じて認証を制御する「リスクベース認証」を導入しているサービスは5％にとどまった。

　課題が見られたのは、利用者向けの認証機能だけではない。SaaS事業者がサービスの運営に使用する管理画面についても、全アカウントに多要素認証を適用しているサービスは53％だった。一方、35％は全アカウントでパスワードのみの認証を使用していた。

　SaaS事業者の管理画面は、複数の利用企業のデータにアクセスできる場合がある。このため、管理画面が不正アクセスを受けると、被害が複数の企業に広がる恐れがある。

　不正アクセスの発見に必要な機能にも課題がある。利用者が自らアクセスログを確認できるサービスは53％にとどまった。ログを確認できなければ、不審なログインや操作が発生しても、利用企業側で気付くことが難しくなる。

　この他、ファイルのアップロード機能を持つサービスの13％は、暗号化、バックアップ、マルウェアスキャンのいずれも実施していなかった。

　APIのセキュリティ対策についても調査している。他のサービスにAPIを提供する1955件のうち、リクエスト数の制限とアクセストークンの有効期限設定をそれぞれ実施しているサービスは約半数だった。両方を実施しているサービスは4割未満だった。

SaaSを選ぶ企業は何を確認すべきか

　こうした結果を受け、アシュアードはSaaS事業者と利用企業の双方に対策を呼び掛けている。

　SaaS事業者に対しては、管理画面の全アカウントへの多要素認証の適用に加え、IPアドレスによるアクセス制限を推奨する。また、利用者向けの多要素認証やアクセスログの確認機能を提供し、利用企業が不正アクセスを早期に発見できるようにすることも重要だとしている。

　一方、SaaSを利用する企業には、利用中のサービスが多要素認証に対応している場合、全利用者に適用することを推奨している。対応が難しい場合は、シングルサインオン（SSO）やIPアドレスによるアクセス制限で補う方法を挙げた。

　さらに、利用企業がアクセスログを確認できるかどうかを把握し、少なくとも管理者アカウントのログを定期的に確認することや、外部アプリ、API連携を棚卸しして不要なものを削除することも求めている。

　アシュアードは、SaaSの選定時には利用者向けのセキュリティ機能だけでなく、事業者側の管理画面に多要素認証が適用されているかどうかも確認すべきだと指摘している。

　今回の調査は2025年5月以降の評価結果を集計しており、調査日は2026年10月8日。各サービス事業者による回答を基にしている。