セキュリティ情報は“守り”から“攻め”へ ～情報開示が競争力になる時代、SaaSに求められる新たな視点～
アイティクラウド株式会社
B2B向けIT製品/SaaSのレビュープラットフォーム「ITreview（アイティレビュー）」を運営するアイティクラウド株式会社（本社：東京都港区、代表取締役社長 兼 CEO：黒野 源太）は、SaaSベンダーおよび利用企業を対象に、SaaSセキュリティ評価に関するアンケート調査を実施しました。
近年、SaaS導入時におけるセキュリティ評価の重要性が高まっており、企業間での情報共有や事前確認のニーズが拡大しています。当社では、SaaS製品のセキュリティ情報を事前に公開・比較できるサービス「ITreview SaaSセキュアチェック」を提供しており、SaaSセキュリティ評価に関する現状や課題の把握を目的として本調査を実施しました。
調査の結果、SaaSベンダーの69%と約7割が自社製品のセキュリティ情報を営業・マーケティングに活用できていないことが判明。一方、SaaS利用企業の57%が導入時の最大懸念に「セキュリティリスク」を挙げるなど、両者の間にある「情報のギャップ」が浮き彫りになりました。
調査結果サマリ
50%のSaaSベンダーが「セキュリティ評価シート対応工数の多さ」を課題視
69%のSaaSベンダーが「セキュリティ情報を活用できていない」
55%のSaaSベンダーはセキュリティ情報の公開に前向きだが、「方法」に課題
利用企業の57%が「セキュリティリスク」を最大懸念と回答
1. セキュリティ評価シートが営業の“足かせ”に
一般的にSaaSを新たに導入する際、導入しようとする企業からSaaSベンダーへセキュリティ評価シートへの記入依頼がされます。この依頼においてSaaSベンダーの50%が「対応工数」に課題を感じていることが明らかになりました（図1）。 依頼数の増加、人員不足、情報保証責任などが営業活動のボトルネックになっており、導入プロセスの遅延や機会損失につながるケースも多く見られます。
図1：セキュリティチェックシート対応における課題 ※「わからない」「上記にはない」と回答した企業68社を除いて集計 ※同一企業から複数の回答がある場合は、企業名の重複を除外して集計
2. 埋もれたセキュリティ情報──活用されない“資産”
また、SaaSベンダーの69%が「セキュリティ情報をマーケティング活動にうまく活用できていない」と回答しました。実際に、プレスリリースや営業資料など、何らかの形で活用しているベンダーはわずか20%にとどまりました（図2）。
一方で、SaaSベンダー内でセキュリティ情報は整備されているにもかかわらず、その管理が属人的で、活用できるセキュリティ情報が社内に埋もれたままになっているケースが多く見受けられました。
さらに、セキュリティ評価シートは内容や書式が企業ごとに異なり、その記入には多くの時間と手間がかかるため、この点においても属人的で、非効率的な対応が常態化しています。
本来であれば、こうしたセキュリティ情報は、信頼構築や競合との差別化として活用できるはずが組織内に埋もれて十分に活用されていないという現状が浮き彫りになりました。
図2：セキュリティ情報のマーケティング活用状況 ※「わからない」「上記にはない」と回答した116社を除いて集計
図3：セキュリティ情報の取り扱い状況 ※「わからない」「上記にはない」と回答した99社を除いて集計
3. 情報開示に前向きな姿勢、しかし課題も
現状ではセキュリティ情報が活用されていない実態がありながらも、SaaSベンダーの55%が「セキュリティ情報を公開したい」と前向きな姿勢を示しています（図4）。「情報公開は必要」（42%）、「メリットがあれば公開したい」（13%）と続き、一定の意欲がある一方で、「全ての情報は公開できない」（19%）、「自分は賛成だが合意に時間がかかりそう」（5%）など、判断に迷う声も上がっています。
図4：セキュリティ情報公開についての意見 ※「わからない」「上記にはない」と回答した68社を除いて集計
4. 導入企業が求めるのは“見える信頼”
こうしたSaaSベンダー側の対応の裏には、SaaS利用企業側の強いニーズも存在します。
SaaS導入においてセキュリティ評価は欠かせないプロセスとなっており、実際に導入した企業が、セキュリティ評価サービスを検討する最大の理由は「セキュリティリスク」（57%）でした。
そのほかにも、「社内統制」（17%）、「評価基準作り」「運用工数」（各13%）など、 導入の意思決定において“信頼できる情報”が求められていることがわかります（図5）。
図5：セキュリティ評価サービス検討理由 ※「わからない」「上記にはない」と回答した68社を除いて集計
関連ウェビナーのご案内
上記のように、セキュリティ情報の取り扱いやマーケティング活用に関する課題が浮き彫りになる一方で、本リリースでは紹介しきれなかった調査結果も多数あります。
たとえば、各ベンダーのセキュリティ評価シートへの対応方針や、利用企業におけるセキュリティ評価の実施状況など、現場目線で気になる実態データも明らかになっています。
こうしたリアルな課題に対するヒントをお届けするウェビナーを、下記日程で開催します。