SaaSの導入では、①事業者の対策（認証・暗号化・事故時の対応）を確認、②初期設定（多要素認証・共有範囲・権限）を見直す、③利用者とデータを定期的に棚卸し、④解約時のデータの削除の4つを確認します。SaaSの初期設定は、使いやすさ優先で緩いことが多い点に注意してください。
導入前に確認すること
- 多要素認証・シングルサインオンに対応しているか
- アクセスの記録（監査ログ）が取れるか
- データの保存場所、暗号化、バックアップ
- 第三者認証（ISMSクラウドセキュリティ認証など）の有無
- 事故時の通知の方法と期限（契約・規約の確認）
初期設定と運用
- 多要素認証を全員に強制
- 外部共有・公開の設定を制限（公開設定）
- 管理者を限定し、退職者を削除
- 外部のアプリとの連携を管理