Microsoft 365、Google Workspace、Salesforce、SlackなどのSaaSは、業務効率を高める一方で、アカウント乗っ取りや過剰権限、外部共有、OAuth連携などを起点とした情報漏えいのリスクがあります。クラウド事業者がインフラを管理しているからといって、利用企業側のセキュリティ対策が不要になるわけではありません。

SaaSでは、サーバーOSそのものの管理よりも、誰がログインできるか、どのデータへアクセスできるか、どの外部アプリへ権限を与えているかといった「ID・権限・設定」の管理が重要です。正規アカウントを攻撃者に奪われると、通常のログインやAPIを悪用して大量のデータを取得されても、表面的には正常な操作に見えることがあります。

また、外部共有リンクやOAuthアプリ、退職者アカウントなどを長期間放置すると、情報漏えいにつながる恐れがあります。そのため、MFAを導入するだけでなく、特権ID、外部共有、API連携、監査ログまで一貫して管理することが重要です。

そこで本記事では、SaaSセキュリティの基本、企業が注意すべき主なリスク、優先して実施したい対策、Microsoft 365やGoogle Workspaceでの実装例、SaaS侵害が疑われる場合の確認方法までを解説します。

SaaSセキュリティとは

SaaSセキュリティとは、クラウドサービス上で扱うデータ、ID、設定、外部連携などを安全に管理するための仕組みや運用を指します。

ユーザーIDと認証情報

SaaSでは、ユーザーIDが実質的なセキュリティ境界になります。フィッシングやパスワード流出によって正規アカウントが奪われると、攻撃者が通常の利用者としてログインできるためです。

MFA疲労攻撃やセッショントークン窃取など、パスワードだけを狙わない攻撃にも注意が必要です。

アクセス権限と管理者権限

必要以上の権限が付与されていると、一つのアカウントが侵害された際の影響が大きくなります。

特に全体管理者や特権ロールを常時付与している環境では、アカウント侵害からテナント全体の設定変更へ発展する可能性があります。

クラウド上の業務データ

SaaSには顧客情報、契約書、社内資料、メールなど重要なデータが保存されています。

外部共有、ダウンロード、エクスポート、同期などによって、正規機能を通じて情報が外部へ持ち出される場合があります。

テナント設定と共有設定

監査ログ、共有ポリシー、メール転送、条件付きアクセスなどの設定が適切でなければ、攻撃者の操作を検知しにくくなります。

導入時に適切だった設定でも、運用中の変更によって徐々に安全性が低下する「設定ドリフト」に注意が必要です。

OAuth・APIによる外部連携

SaaSでは、外部アプリへOAuth権限を付与したり、APIトークンを発行したりすることがあります。

悪意のあるアプリへ広い権限を与えると、パスワードを変更してもOAuthトークンなどを通じてデータへ継続アクセスされる場合があります。

SaaSセキュリティで注意すべき主なリスク

SaaSでは、マルウェアによる侵入だけでなく、正規アカウントや正規APIを悪用した攻撃にも注意する必要があります。

アカウント乗っ取り

フィッシングや認証情報流出によってSaaSアカウントが乗っ取られると、メール、ファイル、顧客情報などへ正規ユーザーとしてアクセスされる可能性があります。

セッション情報が盗まれた場合は、MFAを有効化していても不正アクセスされるケースがあります。

過剰権限・特権アカウントの悪用

一般業務に不要な管理権限を長期間付与していると、一つのアカウント侵害が組織全体へ影響する可能性があります。

通常業務用アカウントと管理者アカウントを分離し、常設の特権を最小限にすることが重要です。

外部共有による情報漏えい

「リンクを知っている全員が閲覧可能」などの共有設定では、意図せず情報が組織外へ公開される可能性があります。

共有期間、対象者、ダウンロード可否などを明確に制御する必要があります。

OAuth・API連携の悪用

外部アプリへメール閲覧、ファイルアクセス、ユーザー情報取得などの権限を付与すると、そのアプリがSaaS内のデータへアクセスできます。

利用者が自由にアプリへ同意できる環境では、不正アプリへの権限付与を見落としやすくなります。

シャドーITによる管理外利用

情報システム部門が把握していないSaaSや生成AIサービスへ、従業員が業務データをアップロードするケースもあります。

どのサービスが利用されているかを可視化し、許可済み・禁止・条件付き利用を整理することが重要です。

SaaSでは正規操作による情報持ち出しにも注意する

SaaS環境では、攻撃者がマルウェアを使わず、盗んだ正規アカウントからファイルをダウンロードしたり共有設定を変更したりすることがあります。

そのため、「不正ログインがあったか」だけではなく、大量ダウンロードや外部共有まで確認することが重要です。

SaaSセキュリティで優先して実施したい対策

SaaSの安全性を高めるためには、まずIDと権限の管理から着手します。そのうえで外部共有、OAuth、ログ監視などへ対策範囲を広げると効果的です。

フィッシング耐性のあるMFAを導入する

すべての利用者へMFAを適用し、特に管理者ではフィッシング耐性の高い認証方式を優先します。

対応できる環境では、FIDO2/WebAuthn、パスキー、証明書ベース認証などを検討します。

SSOと条件付きアクセスを利用する

IdPを中心にSSOを構成すると、認証ポリシーを一元管理しやすくなります。

未管理端末、通常と異なる地域、リスクの高い認証、旧式認証などを条件にアクセスを制限します。

特権IDを分離する

日常業務で利用するアカウントと管理者アカウントを分離し、全体管理者などの強い権限を持つアカウントを最小限にします。

緊急用のブレークグラスアカウントを用意する場合も、通常利用せず厳重に監視することが重要です。

権限と外部共有を定期的に棚卸しする

入社・異動・退職に応じてアクセス権を更新し、不要な権限を残さないようにします。

外部共有についても、匿名リンクや無期限共有を原則禁止するなど、組織として基準を定めることが重要です。

OAuth・API連携を管理する

OAuthアプリへの同意を利用者任せにせず、管理者承認フローへ寄せることで、不正アプリへの権限付与を減らせます。

高リスクな権限、長期間利用されているトークン、個人所有アプリなどを定期的に確認します。

監査ログを収集・監視する

認証、管理者操作、メールルール、外部共有、OAuth同意、API利用などのログを保存します。

SIEMなどへ集約し、普段とは異なるログインや大量ダウンロードを検知できる状態にしておくことが重要です。

SSPM・CASB・DLPの違い

SaaSセキュリティを強化するために、SSPM、CASB、DLPなどのツールが利用されます。それぞれ役割が異なるため、目的に応じて使い分ける必要があります。

SSPMで設定不備を継続監査する

SSPMは、SaaS Security Posture Managementの略称で、SaaSテナントの設定不備や設定変更を継続的に監視するために利用されます。

初期設定だけでなく、運用中に安全な状態から逸脱していないかを確認する用途に向いています。

CASBでSaaS利用を可視化する

CASBは、組織内で利用されているSaaSを可視化し、アクセス制御やシャドーIT対策などに利用されます。

管理部門が把握していないクラウドサービスの利用を発見する際にも有効です。

DLPで機密データの持ち出しを防ぐ

DLPは、機密情報の共有やアップロードなどを検知・制御するために利用されます。

個人情報や機密文書など、データの種類に応じたポリシーを適用することで、誤送信や持ち出しを抑止しやすくなります。

ただし、これらの製品を導入するだけでSaaSセキュリティが完成するわけではありません。ID基盤、データ分類、管理責任者、運用手順を明確にしたうえで利用することが重要です。

Microsoft 365やGoogle Workspaceで最低限確認したい設定

Microsoft 365やGoogle Workspaceなどを利用する場合は、細かな設定をすべて見直す前に、影響が大きい項目から優先して確認します。

MFAと旧式認証

全ユーザーでMFAを有効化し、可能であれば旧式認証を無効にします。

管理者では、より強い認証方式を利用することが重要です。

管理者権限

全体管理者などの特権アカウントを棚卸しし、常設の管理者を必要最小限にします。

外部共有

匿名リンクや無期限リンクを原則無効化し、外部共有を必要なユーザーやグループへ限定します。

OAuth同意

利用者が自由に高権限アプリへ同意できないよう、管理者承認を中心とした運用へ変更します。

高リスク操作のアラート

メール自動転送、受信ルール変更、管理者ロール付与、外部共有、MFA変更などを高優先度で監視します。

退職者アカウント

退職時はアカウント停止だけでなく、ログインセッションやリフレッシュトークンを失効させます。

共有ファイルや所有データについても、後任者や組織アカウントへ適切に移管する必要があります。

SaaSへの不正アクセスが疑われる場合の対処法

SaaSアカウントの侵害が疑われる場合、端末をネットワークから切り離すだけでは十分とは限りません。クラウド側に残っているセッション、トークン、OAuthアプリなども確認する必要があります。

セッションとトークンを失効する

対象ユーザーのログインセッションやリフレッシュトークンを失効し、攻撃者が継続してアクセスできる状態を止めます。

パスワードとMFAを再設定する

パスワードを変更し、MFA登録情報も確認します。攻撃者によって不正な認証手段が追加されている場合は削除する必要があります。

OAuth・API連携を確認する

見覚えのないOAuthアプリ、サービスプリンシパル、APIキー、トークンなどがないか確認します。

不審なアプリに権限が付与されている場合は、パスワード変更後もアクセスされる可能性があります。

管理者権限や共有設定を確認する

管理者ロール、メール転送、受信トレイルール、共有設定、委任アクセスなどに不審な変更がないか確認します。

監査ログから被害範囲を確認する

認証元IP、User-Agent、API操作、ダウンロード、外部共有、エクスポート、削除などを時系列で整理します。

侵害されたアカウントを起点に、他ユーザーや共有先へ影響が広がっていないかも確認する必要があります。

SaaSの侵害では、パスワード変更によってログインできなくなっただけで、被害が完全に終わったとは限りません。ログや設定を確認する前に削除すると、被害範囲を確認できなくなる恐れがあります。

SaaSの不正アクセスや情報漏えいをフォレンジック調査で確認する方法

SaaS侵害では、正規アカウントやAPIが悪用されるため、単純なウイルススキャンだけでは被害を把握できない場合があります。監査ログや端末側の記録を組み合わせて事実関係を確認することが重要です。

不正ログインの侵入経路

認証ログや端末側の記録を確認し、フィッシング、セッション窃取、認証情報流出など、どの経路から侵入された可能性があるのかを整理します。

データの閲覧・ダウンロード・外部共有

監査ログから、どのファイルやメールへアクセスし、ダウンロードや共有、エクスポートなどを行ったのか確認します。

「ログインされた」という事実だけでなく、実際にどのデータへ影響したかを調べることが重要です。

OAuth・APIを利用した不正アクセス

不審なOAuthアプリやAPI利用がある場合は、どの権限が付与され、どのデータにアクセスされた可能性があるかを確認します。

他ユーザー・端末への横展開

侵害されたアカウントから共有されたファイル、メール、チャットなどを起点に、他ユーザーへ攻撃が広がっていないか確認します。

SaaSの不正アクセス調査をフォレンジック調査会社に相談する

SaaS環境では、正規アカウントから通常のAPIや共有機能を利用して情報が持ち出される場合があります。そのため、アカウントを停止しただけでは、どのデータが閲覧・取得されたのかを判断できないことがあります。

また、ログの保持期間を過ぎると重要な記録が失われる可能性があります。不審な操作が確認された場合は、監査ログが消える前に保全することが重要です。

Microsoft 365、Google Workspaceなどで不正ログイン、外部共有、OAuthアプリの悪用、大量ダウンロードなどが疑われる場合は、SaaSログと端末を横断して確認できるフォレンジック調査会社への相談を検討してください。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 その中でも【

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

「パソコンが遠隔操作され、詐欺にあったかもしれない…」 「会社のパソコンのログを確認したら、未知のIPアドレスから不正アクセスを受けた痕跡を見

まとめ

SaaSセキュリティでは、クラウド事業者にインフラ運用を任せていても、利用企業側でID、権限、共有、設定、API連携などを適切に管理する必要があります。特にMFA、特権ID、外部共有、OAuth、監査ログは優先的に確認したい項目です。

また、SaaSでは正規アカウントや正規APIを使った情報持ち出しが行われる可能性があるため、「ログインできたか」だけでなく、その後のファイル閲覧、大量ダウンロード、外部共有、管理設定変更まで確認することが重要です。

不正ログインや大量ダウンロード、見覚えのないOAuth連携などが確認された場合は、セッションやトークンを失効させたうえで、監査ログを保全してください。被害範囲が判断できない場合は、SaaSと利用端末のログを横断したフォレンジック調査を検討することが重要です。