SaaSとは
SaaS（サース）は、完成したソフトウェアをネットワーク経由で利用するサービス提供形態です。正式名称はSoftware as a Service（ソフトウェア・アズ・ア・サービス）です。
利用者はブラウザー、モバイルアプリ、デスクトップクライアント、API等から事業者のアプリケーション機能を使います。事業者はアプリケーション、実行時、OS、サーバー、ネットワーク、保存領域を運用し、利用者は通常、アカウント、役割、入力データ、共有範囲、端末、統合を管理します。
SaaSは「何もしなくてよいソフトウェア」ではありません。事業者がアプリケーションを動かしても、誰へ権限を与え、どのデータを入れ、どう共有・書き出し・削除するかは利用組織の責任です。
SaaSを利用する要素
対応機器、認証、ネットワーク要件、オフライン可否、API適用範囲を確認します。
招待、退職、MFA、SSO、管理者、サービスアカウントをライフサイクル管理します。
分類、所有者、共有先、保持期間、書き出し、削除、リーガルホールドを決めます。
作業手順、権限、ドメイン、統合、通知等を許された範囲で変えます。
事業者が更新、可用性、パッチ、容量、underlyingセキュリティを運用します。
利用量、上限、可用性、データ位置、インシデント通知、終了時処理を確認します。
クライアントアプリケーションとサービス本体を分ける
ブラウザーで使うSaaSでも、実処理と保存は事業者側サービスが担います。デスクトップ・モバイルアプリをインストールしても、それはサービスへ接続するクライアントで、オフラインデータやキャッシュだけが端末に残る場合があります。
クライアントバージョン、ブラウザー機能、Cookie・保存領域制限、ネットワークプロキシで利用可否が変わります。画面が開くことと、同期・アップロード・通知・APIが全部正常なことは別です。
multi-tenantとdedicated環境
多くのSaaSは複数利用者を論理的に分離するmulti-tenantアーキテクチャーを使います。データ、識別情報、暗号化鍵、ログ等の分離を事業者が設計します。dedicatedテナントやsingle-tenant選択肢があるサービスもあります。
テナントが同じ事業者上にあること自体はデータ共有を意味しませんが、設定不一致や脆弱性が分離を破るリスクはあります。セキュリティ文書、監査報告、再委託先、インシデント応答を確認します。
アカウントと共有設定は利用者側
管理者権限、パブリックリンク、externalゲスト、フォルダー継承、APIトークンを誤ると、事業者基盤が安全でもデータが漏れます。既定設定と実際の共有先を定期レビューします。
退職者アカウントの無効化、機器紛失、MFA、SSOグループ同期、サービスアカウント秘密情報回転を識別情報ライフサイクルへ組み込みます。ライセンス削除だけでアクティブセッションや共有リンクが無効になるかも確認します。
事業者更新を自分で止められない場合がある
SaaSは事業者がアプリケーションを継続更新します。セキュリティfixを早く受けられる一方、UI、API、ファイル形式、機能、利用条件が変わります。リリースnote、サンドボックス、プレビュー、deprecation通知を使います。
ブラウザー拡張やAPI統合は変更で壊れます。重要作業手順は監視と代替処理を持ち、事業者の「自動更新」を無条件の互換保証と考えません。
可用性とネットワーク依存
事業者のサービスが稼働しても、自組織のDNS、Internetアクセス、IDプロバイダー、機器、地域のエンドポイント、統合が停止すれば利用できません。状態ページだけでなく自分の経路と認証を切り分けます。
Service Level Agreement（サービス・レベル・アグリーメント／SLA）は測定範囲、除外、サービスcredit条件を定めます。個々の業務が必要とする復旧時間を保証するとは限りません。
バックアップ・保持期間・バージョン履歴
事業者が冗長保存・バックアップを行っても、利用者が誤削除前へ任意復元できる機能とは限りません。trash保持期間、バージョン数、管理者による永久削除、ランサムウェア後復旧を確認します。
重要データは規約とセキュリティを守って書き出しし、別障害ドメインへ保管します。ただし書き出しが完全なメタデータ、権限、コメント、作業手順、監査履歴を含むか検証します。
サービス終了とデータの可搬性
契約終了、未払い、方針違反、事業者撤退でアクセスを失う可能性があります。書き出し形式、API上限、データ量、暗号鍵、移行期間、削除証明、再委託先データを終了計画へ入れます。
proprietary作業手順や識別情報関係はフラットなファイルへ戻せない場合があります。定期書き出しと復元試験を行い、「ダウンロードボタンがあるから移行可能」と考えません。
SaaSは事業者が完成アプリケーションと下層スタックを運用し、利用者がネットワーク越しに機能を使うサービスモデルです。アカウント、権限、データ、機器、統合、書き出し・終了計画に残る利用者責任を明確にします。
SaaSのprovider application利用、client access、利用者側設定範囲とunderlying infrastructureの責任：NIST SP 800-145