誤設定は脆弱性ではない：セキュリティリスクを巡る高くつく混同

SaaSセキュリティの議論では、「誤設定」と「脆弱性」という言葉がしばしば同じ意味で使われます。しかし、これらは同じものではありません。この違いを誤解すると、知らず知らずのうちに実際のリスクを生み出してしまう可能性があります。

この混同は単なる言葉の問題ではありません。特にSaaS環境では、ベンダーと顧客の責任の境界が不明瞭なため、共有責任モデルに対するより深い誤解を反映しています。

簡単な内訳#

脆弱性は、SaaSプラットフォーム自体のコードベースに存在する欠陥です。これらはベンダーだけが修正できる問題です。ゼロデイやコードレベルのエクスプロイトを想像してください。

一方で、誤設定はユーザーが制御するものです。プラットフォームの設定方法—誰がアクセスできるか、どのような連携が接続されているか、どのポリシーが適用されているか（またはされていないか）—によって発生します。例えば、過剰な権限を持つサードパーティアプリや、誤って公開されてしまった機密性の高い社内サイトなどが誤設定の例です。

ほとんどのSaaSプロバイダーは共有責任モデルを採用しています。彼らはインフラを保護し、稼働時間の保証を提供し、プラットフォームレベルの保護を実施します。SaaSにおいては、このモデルはベンダーが基盤となるホスティングインフラやシステムを管理し、顧客はアプリケーションの設定、アクセス管理、データ共有の制御を担当することを意味します。アプリケーションを安全に設定し利用するかどうかは顧客次第です。

これには、ID管理、権限、データ共有ポリシー、サードパーティ連携が含まれます。これらはオプションのセキュリティ層ではなく、基盤となるものです。

この認識のズレはデータにも表れています。The State of SaaS Security 2025 Reportによると、組織の53%がSaaSセキュリティへの自信をベンダーへの信頼に基づいていると回答しています。実際には、ベンダーがすべてを管理していると仮定することは、特に顧客が最も侵害されやすい設定を制御している場合、危険な盲点を生み出します。

記録されていないものは脅威検知で捉えられない#

ほとんどのインシデントは高度な攻撃や、脅威アクターがアラートを引き起こすことによって発生するわけではありません。むしろ、設定やポリシーの問題が見過ごされることから始まります。The State of SaaS Security 2025 Reportによると、インシデントの41%は権限の問題、29%は誤設定が原因でした。これらのリスクは従来の検知ツール（SaaS脅威検知プラットフォームを含む）には現れません。なぜなら、ユーザーの行動によって引き起こされるものではなく、システムの設定そのものに組み込まれているからです。これらはログやアラートを通じてではなく、設定や権限、連携設定を直接分析することでしか見つけられません。

これが典型的なSaaS攻撃経路です。アクセス試行からデータ流出までの流れで、各段階は体制管理（予防）または異常・イベント駆動型アラート（検知）でブロックできます。

しかし、すべてのリスクがログファイルに現れるわけではありません。中には、攻撃が始まる前に環境を強化することでしか対処できないものもあります。

ログはログインやファイルアクセス、管理者による変更などのアクションを記録します。しかし、過剰な権限、未保護のサードパーティ連携、過度に公開されたデータは「アクション」ではなく「状態」です。誰もそれに関与しなければ、ログファイルには何も痕跡が残りません。

このギャップは理論上の話ではありません。SalesforceのOmniStudioプラットフォーム（医療、金融、行政など規制産業向けのローコードカスタマイズ用）に関する調査では、従来の監視ツールでは検知できない重大な誤設定が明らかになりました。これらは特殊なケースではなく、デフォルトで機密データを公開する権限モデルや、意図以上に広範なアクセス権を与えるローコードコンポーネントなどが含まれていました。リスクは現実に存在していましたが、その兆候は沈黙していました。

検知は依然としてアクティブな脅威への対応には不可欠ですが、それは安全な体制の上に重ねるべきものであり、その代替にはなりません。

セキュア・バイ・デザインなSaaSプログラムを構築する#

要点はこうです：誤設定の問題は検知だけでは解決できません。リスクがシステムの設定に潜んでいる場合、検知では捉えられません。まず体制管理が必要です。

侵害に対応するのではなく、その原因となる条件を未然に防ぐことに組織は注力すべきです。その第一歩は、設定、権限、サードパーティアクセス、シャドーAI、攻撃者が悪用するリスキーな組み合わせに対する可視性の確保です。

脅威検知も依然として重要ですが、それは体制が弱いからではなく、どんなシステムも完全無欠ではないからです。AppOmniは、強力な予防的体制と高精度な検知を組み合わせ、既知のリスクを防ぎ未知のリスクも捉える多層防御戦略を顧客に提供します。

よりスマートなSaaSセキュリティへのアプローチ#

現代的なSaaSセキュリティ戦略を構築するには、まず自分たちが実際に制御できる部分から始めましょう。設定の安全性確保、アクセス管理、可視性の確立に注力してください。SaaSリスクに対処する最良のタイミングは、それが問題になる前です。

SaaS体制のギャップを修正する準備はできていますか？ほとんどのチームがどこで失敗しているのか、そして先進的な組織が何を違う方法で行っているのかを知りたい場合は、2025年版SaaSセキュリティレポートをご覧ください。侵害の要因から責任・自信のギャップまで、体制がどのように結果を左右し続けているかを明らかにします。