SaaSのセキュリティは、営業担当の「対策済みです」ではなく、11の評価基準をベンダーに書面で確かめて判断します。 評価基準は3つの領域に分かれます。組織の体制（ISMS認証）、インフラ（監視・更新・WAF）、アプリケーション（二要素認証・IPアドレス制限・操作ログなど）です。回答を比較表にし、未対応の項目は代替案を聞いてから、上長に稟議を出します。
▼ 11の評価基準の見方と、提供会社への確認から稟議までの進め方をまとめました。評価基準のチェックリスト付きです
この記事は、キャンペーン・診断・フォーム・採用などのツールを選ぶマーケティングや人事の担当者に向けて、ベンダーへの質問例と回答の読み方をまとめたものです。11の評価基準は、診断クラウド「ヨミトル」を提供する株式会社ピクルスが、自社の運用をもとに整理しました。（2026年10月時点）
- SaaSのセキュリティは、なぜ導入する側が確かめるのか？
- 委託先やツールを狙う攻撃は「10大脅威」の2位
- 漏えいの報告は年間1万7,000件を超える
- SaaSには、どんなリスクがあるか？
- クラウドを使っても、個人情報を守る責任は残る
- 「セキュリティ対策済み」の営業トークは、どこを確かめるか？
- SaaSのセキュリティ評価基準11項目とは？
- 組織の体制：ISMS認証は取得しているか？
- インフラ・サーバー：どこで動き、誰が見張っているか？
- アプリケーション：ツールそのものは安全につくられているか？
- 見落としやすい3つの確認ポイントは？
- 解約したら、データは本当に消えるか？
- 二要素認証が「メール認証」だけになっていないか？
- 漏えいしたとき、範囲を操作ログで特定できるか？
- ベンダーへの確認は、どんな手順で進めるか？
- ①評価基準のシートを送り、書面で回答をもらう
- ②未対応の項目は、代替案と今後の予定を聞く
- ③複数のサービスを比較表にまとめる
- ④比較表をつけて、上長に稟議を出す
- セキュリティチェックシートとは？送る側と答える側の違い
- よくある質問
- まとめ
- 関連記事
SaaSのセキュリティは、なぜ導入する側が確かめるのか？
SaaSで個人情報を扱うと、漏えいしたときの責任は、ツールの提供会社だけでなく導入した企業にも生じます。IPAの「情報セキュリティ10大脅威 2026」（組織編）では、「サプライチェーンや委託先を狙った攻撃」が2位でした。選んだツールの対策は、そのまま自社の対策になります。
委託先やツールを狙う攻撃は「10大脅威」の2位
IPA（情報処理推進機構）は2026年1月29日に「情報セキュリティ10大脅威 2026」を公表しました。組織編で、「サプライチェーンや委託先を狙った攻撃」は2位です。2019年に初めて選ばれ、8年連続の選出です。1位は「ランサム攻撃による被害」でした。
攻撃者は、守りの固い大企業を直接狙うより、対策の手薄な委託先や、利用しているクラウドサービスを入り口にします。キャンペーンの応募者、診断の回答者、採用の応募者の情報を預けるツールは、その入り口になりえます。
漏えいの報告は年間1万7,000件を超える
個人情報保護委員会の年次報告によると、民間事業者からの個人データの漏えい等の報告は、令和6年度が1万9,056件で過去最多でした。令和7年度も1万7,139件にのぼります。
MM総研の調査では、2026年1〜9月に初報があったサイバー攻撃による情報漏えい事案は454件です（漏えいの可能性を含む）。前年同期の304件から49％増えました。このうち、公表内容に業務委託先やクラウドサービスなど外部の関与がある事案は164件と、全体の36％を占めています。
SaaSには、どんなリスクがあるか？
SaaSのリスクは、大きく4つです。①不正アクセスによる情報漏えい、②IDの乗っ取り、③設定ミスによる意図しない公開、④提供会社の障害によるデータの消失や業務の停止です。 ①と④は提供会社の対策で、②と③は利用者の設定や運用で防ぐ部分が大きくなります。この記事の11の評価基準は、その両方を確かめるためのものです。
クラウドを使っても、個人情報を守る責任は残る
個人情報保護法は、個人データの扱いを外部に任せるときに、任せた先を監督するよう定めています。クラウドに置いた顧客や応募者の情報も、守る責任は導入した企業に残ります。ツール選びは、それ自体が情報漏洩対策の一部です。
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。 ——個人情報の保護に関する法律 第25条（委託先の監督）
クラウドサービスの提供会社が個人データを扱う場合は、この「委託」に当たります。提供会社が個人データを扱わない契約・仕組みになっていても、導入した企業には、自社のデータとして安全に管理する責任が残ります（個人情報保護委員会のQ&Aによる）。どちらの場合も、選ぶ前に提供会社の対策を確かめておく必要があります。
もう1つ押さえておきたいのが「責任共有モデル」です。大手のクラウド基盤（IaaS）が守るのは、データセンターやサーバーなどの基盤までです。その上で動くツールの不具合や、管理画面のパスワード・権限の設定は、ツールの提供会社と利用者の責任になります。
「セキュリティ対策済み」の営業トークは、どこを確かめるか？
商談で聞く「対策済み」の多くは、どこまでを守っているかを説明していません。基盤だけ、通信だけ、自己申告の基準だけ、ということがあります。よく聞く4つの言い方と、確かめるべき点は次のとおりです。
営業トーク | 実際に守られている範囲 | 確かめること |
|---|---|---|
「大手クラウドの上で動いているので安全です」 | 基盤（サーバー・データセンター）まで | ツール自体の脆弱性対策・監視の体制 |
「通信は暗号化しています」 | 通信中の盗み見（SSL/TLS） | サーバーへの侵入・データの持ち出しへの対策 |
「自社基準で厳重に管理しています」 | 自己申告の基準 | 第三者の審査（ISMS認証など）を受けているか |
「漏えい事故はゼロです」 | 見つかった事故がない | 異常を見つける仕組み（監視・操作ログ）があるか |
「事故ゼロ」は、検知する仕組みがなければ、気づいていないだけの可能性もあります。言葉の正しさではなく、裏付けになる仕組みや書類があるかで判断します。
SaaSのセキュリティ評価基準11項目とは？
11の評価基準は、①組織の体制、②インフラ・サーバー、③アプリケーションの3つの領域に分かれます。①が1項目、②が4項目、③が6項目です。いずれも、提供会社に聞けば「はい・いいえ」と根拠で答えられる項目です。
領域 | 評価基準 |
|---|---|
①組織の体制 | 1. ISMS認証（ISO/IEC 27001）を取得している |
②インフラ・サーバー | 2. 大手のクラウド基盤を採用している／3. 24時間監視している／4. OS・ミドルウェアを更新している／5. WAF・ウイルス検知を入れている |
③アプリケーション | 6. IPA基準に沿って開発し、定期的に脆弱性を検査している／7. 企業ごとに独立したデータベースである／8. 二要素認証（MFA）がある／9. ユーザー管理・権限管理ができる／10. IPアドレス制限ができる／11. 操作ログを確認・出力できる |
組織の体制：ISMS認証は取得しているか？
外から見えない提供会社の管理体制を確かめるには、第三者の審査を受けているかを見ます。代表的なのが、国際規格にもとづくISMS認証（ISO/IEC 27001）です。
質問例：ISMS（ISO/IEC 27001）の認証を取得していますか？ 対象の範囲に、このサービスは含まれますか？
回答の読み方：ISMSは、情報を守る組織の管理体制を、第三者の審査機関が審査した証明です。「独自の基準で運用している」だけの回答は、第三者の確認を受けていないことを意味します。認証の対象範囲（どの部署・サービスか）も確かめます。認証マークは、審査機関と認定機関のロゴを並べて示すのが一般的です。
インフラ・サーバー：どこで動き、誰が見張っているか？
質問例：サーバーはどのクラウド基盤で動いていますか？ 夜間・休日の監視体制はありますか？ OS・ミドルウェアの更新と、サポート期限への対応はどうしていますか？ WAFとウイルス検知は入っていますか？
回答の読み方：大手のクラウド基盤は、電源や回線の多重化まで備えています。ただし基盤が守るのはそこまでなので、監視と更新は別に確かめます。攻撃は、対応が手薄になる夜間・休日や大型連休を狙うことがあります。サポート期限が切れたOSやミドルウェアには、修正パッチが配られません。WAFはWeb特有の攻撃を、ウイルス検知はサーバー内の不正なプログラムを防ぐもので、手口が違うため両方が必要です。
アプリケーション：ツールそのものは安全につくられているか？
質問例：IPAの「安全なウェブサイトの作り方」などに沿って開発し、定期的に脆弱性を検査していますか？ データベースは企業ごとに分かれていますか？ 二要素認証・権限管理・IPアドレス制限・操作ログは、どのプランで使えますか？
回答の読み方：「安全なウェブサイトの作り方」は、IPAがWebアプリケーションの代表的な脆弱性と対策をまとめた資料です。二要素認証やIPアドレス制限が「上位プランだけ」「有料オプション」の場合は、自社が契約するプランで使えるかを必ず確かめます。セキュリティ機能がプランによって違うと、安いプランを選んだ時点で対策が外れます。
▼ いま使っている（検討中の）ツールで、二要素認証・IPアドレス制限・データベースの分離・操作ログなどを確かめられているかを、10問・約1分でチェックできます。提供会社に送る質問もまとめてコピーできます
見落としやすい3つの確認ポイントは？
11項目のうち、営業トークで見えにくく、あとから困りやすいのが次の3つです。解約したときのデータの消え方、二要素認証の方式、漏えいしたときに範囲を特定できるかどうか。どれも、導入前に聞かなければ気づきません。
解約したら、データは本当に消えるか？
1つのデータベースに複数の企業のデータを相乗りさせる「共用DB（マルチテナント）」では、プログラムの不具合1つで、他社の情報が画面に出る事故が起こりえます。解約時も、画面から見えなくするだけの削除（論理削除）になりやすく、データが残ることがあります。
企業ごとに独立したデータベースなら、解約時にデータベースごと消去できます。「解約したとき、データはいつ・どの方法で削除されますか？ 削除の証明は出せますか？」と聞いておきます。
二要素認証が「メール認証」だけになっていないか？
二要素認証（多要素認証・MFA）は、パスワードに加えて、別の要素でログインを確かめる仕組みです。ただし、確認コードをメールで送る方式は、メールを開くのと同じPCで完結します。PCの盗難やメールアカウントの乗っ取りで、両方が一度に突破されるおそれがあります。
SMSや認証アプリで、手元のスマートフォンにコードが届く方式なら、メール認証より格段に奪われにくくなります。「二要素認証の方式は何ですか？ 全員に必須にできますか？」と聞きます。
漏えいしたとき、範囲を操作ログで特定できるか？
操作ログとは、「誰が・いつ・どのデータを見たか、ダウンロードしたか」の記録です。漏えいが起きたとき、ログで範囲を絞り込めなければ、登録しているすべての人について漏えいの可能性を前提に対応することになりかねません。お詫びや公表の範囲も広がります。
「操作ログは、どの操作を、どのくらいの期間さかのぼって、管理画面から確認・出力できますか？」と聞きます。1年程度さかのぼれると、調査に使いやすくなります。あわせて、IPアドレス制限で社内など決まった場所からだけ接続できるようにすると、許可していない場所からのログインを入口で止められます。
ベンダーへの確認は、どんな手順で進めるか？
確認は、担当者一人で抱え込まず、4つのステップで組織の判断（稟議）につなげます。①評価基準のシートを送って書面で回答をもらい、②未対応の項目は代替案を聞き、③複数のサービスを比較表にし、④比較表をつけて上長に稟議を出します。
①評価基準のシートを送り、書面で回答をもらう
検討しているサービスに、11の評価基準を並べたシートを送り、書面（メールやファイル）で回答をもらいます。書面なら、あとで社内に説明するときの根拠になります。回答の期限も伝えておくと、比較が進めやすくなります。あわせて、契約書や利用規約で、障害のときの対応（SLA）、解約したときのデータの返却・削除、再委託の有無も確かめます。
②未対応の項目は、代替案と今後の予定を聞く
未対応の項目があっても、すぐに候補から外す必要はありません。今後の対応予定や、運用で補う方法（社内のIP制限やパスワード管理のルールなど）を聞きます。補えるかどうかで判断します。
③複数のサービスを比較表にまとめる
1社だけで決めず、2〜3社の回答を同じ表に並べます。対策の状況と費用のバランスが一目でわかります。「わからない」「回答なし」の欄も、空欄のまま残しておきます。②で聞いた代替案も、同じ表に書き込みます。
キャンペーンツールの機能や費用の比べ方は、>>【【比較15選】SNSキャンペーンツールのおすすめ！選び方や種類別の特徴も解説】（https://shindancloud.com/trend/4723）も参考になります。公開していない項目は、対策が無い可能性も考えます。
④比較表をつけて、上長に稟議を出す
比較表と、未対応の項目への対処をまとめて稟議に出します。最終的な判断を組織に委ねることで、担当者一人がリスクを背負う形を避けられます。情報システム部門がある企業なら、この段階で必ず相談します。
ベンダーに送る質問メールの例（そのまま使えます）
件名：〇〇（サービス名）のセキュリティ対策についてのご質問
〇〇株式会社 ご担当者様
貴社サービス「〇〇」の導入を検討しております。社内の確認のため、次の点について書面でご回答をお願いいたします。
ISMS（ISO/IEC 27001）の認証の有無と、対象範囲
二要素認証の方式（SMS・認証アプリ・メール）と、当社が契約予定のプランで使えるか
IPアドレス制限の可否と、対象のプラン
データベースは企業ごとに分かれているか。解約時のデータ削除の方法と時期
操作ログで確認・出力できる内容と、さかのぼれる期間
重大な脆弱性が公表されたときの対応方法と、過去の対応の目安
お手数をおかけしますが、よろしくお願いいたします。
▼ 1評価基準ごとの「実は」の落とし穴と、営業トークの裏側、稟議までの4ステップを1冊にまとめました。比較表に使える評価基準のチェックリスト付きです
セキュリティチェックシートとは？送る側と答える側の違い
セキュリティチェックシートとは、取引先やサービスの提供会社に、セキュリティ対策の状況を項目ごとに答えてもらう書類です。導入する企業が提供会社に送るものと、取引先から届いて自社が答えるものの2種類があり、この記事で扱っているのは前者です。
送る側（導入する企業） | 答える側（提供会社・委託先） | |
|---|---|---|
目的 | 選ぶ前に、対策を書面で確かめる | 取引先の審査に通る |
主な項目 | 認証・ログイン対策・データの扱い・ログ・事故時の対応 | 組織・人・物理・技術の対策を網羅的に |
使う場面 | ツールの選定・稟議 | 商談・契約の前、年1回の見直し |
答える側として探している場合は、取引先から届いたシートの形式に合わせて回答します。送る側として使う場合は、項目を絞り、自社が扱う情報（顧客・応募者の個人情報など）に関わる項目を優先すると、回答が早く集まります。
項目を一から作らなくても、公的なひな形があります。たとえば、IPAの「中小企業のためのクラウドサービス安全利用の手引き」（2026年6月版）があります。総務省の「クラウドサービスの安全・信頼性に係る情報開示指針（ASP・SaaS編）」や、経済産業省の「クラウドサービスレベルのチェックリスト」も使えます。政府機関向けには、審査を経たサービスを並べた「ISMAPクラウドサービスリスト」も公開されています。これらを下敷きに、自社に必要な項目を選ぶと早く作れます。
よくある質問
Q. ISMS認証を取っていれば、SaaSは安全ですか。 それだけでは判断できません。ISMSは、情報を守る組織の管理体制を第三者が審査した証明です。二要素認証や操作ログなどの機能がツールにあるかは別なので、両方を確かめます。
Q. 無料・格安のツールは使わないほうがいいですか。 一律には言えません。ただ、ツールの価格には、サーバー・監視・更新などの見えにくい費用が含まれます。安さの理由が、共用DBやセキュリティ機能の省略にないかを確かめます。顧客や応募者の個人情報を集める用途なら、とくに注意が必要です。
Q. SCS評価制度（セキュリティ対策評価制度）とは関係ありますか。 直接の関係はありません。SCS評価制度は、企業（組織）のセキュリティ対策の水準を★の数で示す制度で、経済産業省と内閣官房国家サイバー統括室の方針のもとで、IPAが運営します。★3・★4の登録申請は、2027年3月に受付開始の予定です（IPA「よくある質問」・2026年10月時点）。
ただ、委託先やツールの対策を確かめるという考え方は共通です。制度の詳しい中身は、>>【SCS評価制度★3のセルフチェックとは？セキュリティ企業が診断コンテンツでリードを獲得する方法と事例】（https://shindancloud.com/trend/2865）で解説しています。自社が取引先から★3を求められている場合は、無料の「SCS評価制度★3 準備度チェック」（https://content.shindanplatform.com/h/scs-star3-check/）で準備の状況を確かめられます。
Q. 導入したあとも、確認は必要ですか。 必要です。少なくとも年に1回は点検します。見るのは、退職した人のアカウントや広すぎる権限が残っていないか、見慣れない時間帯のログインや大量のダウンロードがないか、の2点です。提供会社のお知らせ（第三者認証の更新や脆弱性への対応）も確かめておきます。
Q. 情報システム部門がない会社では、誰が確認しますか。 ツールを使う部署の担当者が確認し、上長の判断で決めるのが現実的です。大企業を除くと、情報システムの専任部署がない企業は少なくありません。担当者一人で決めず、比較表をつけて稟議に出すことで、判断の根拠を組織で共有できます。
まとめ
SaaSのセキュリティは、営業トークではなく、11の評価基準を書面で確かめて判断します。とくに、解約時のデータ削除、二要素認証の方式、操作ログの3つは、導入前に聞かなければ気づきにくい項目です。
委託先やツールを狙う攻撃は、IPA「情報セキュリティ10大脅威 2026」組織編の2位
評価基準は、組織の体制・インフラ・アプリケーションの3領域で11項目
確認は、シート送付→代替案→比較→稟議の4ステップで、組織の判断につなげる
まずは、いま使っているツールで確認できていない項目を洗い出すところから始めましょう。
▼ 社内向けのチェックやテストを診断形式でつくりたい方は、お気軽にご相談ください
診断クラウド「ヨミトル」についての詳細はこちら
