SaaSスプロールとは、組織内でSoftware-as-a-Service（SaaS）製品の導入と利用が制御されずに拡大していく現象のことです。
SaaSスプロールは、無駄な支出、非効率なワークフロー、データ・サイロ、セキュリティー・リスクなど、多くの悪影響を引き起こす可能性があります。「SaaSスプロールは通常、悪意によるものではありません。多くの場合、善意の人々が現実の課題を素早く解決しようとした結果です」と、ソフトウェア開発企業である Slingshot社 のマーケティング兼新規事業ディレクター、Savannah Cherry氏は語ります。
IBM Institute for Business Value（IBV）の レポート によると、クラウド、データ、AI、プロダクト・エンジニアリングへの投資を、ビジネス目標と共通アーキテクチャーに基づいて定義された統合ポートフォリオとして管理していると回答したエンタープライズのテクノロジー担当幹部はわずか36％にとどまります。さらに、 2024年のProductivレポート によると、エンタープライズ・アプリケーションの実に48％が管理されておらず、利用状況、セキュリティー、ライセンス、更新、脆弱性、その他の事項を監視・監査する担当者が割り当てられていません。こうした、適切かつ意図的な監督や統合の欠如は、多くの場合SaaSスプロールという形で表れます。
Thinkニュースレター
AI、サイバーセキュリティ、データ、自動化に関する厳選されたニュースをThinkニュースレターで購読しているセキュリティリーダーに加わりましょう。専門家によるチュートリアルと解説をメールで直接配信することで、手軽に学ぶことができます。IBMプライバシー・ステートメントをご覧ください。
サブスクリプションは英語で配信されます。すべてのニュースレターに登録解除リンクがあります。サブスクリプションの管理や解除はこちらから。詳しくはIBMプライバシー・ステートメントをご覧ください。
Software-as-a-Service（SaaS）とは、クラウド上でホストされ、インターネット接続を介してWebブラウザー、モバイル・アプリ、またはシン・クライアントの形式で使用されるアプリケーション・ソフトウェアのことです。SaaSモデルが急速に普及した大きな要因のひとつは、その使いやすさと拡張性にあります。
SaaSプロバイダーは、ソフトウェアとそれを支えるインフラストラクチャーの管理と保守を担います。したがって、組織には、個々のデバイスにプログラムをインストールしたり、自社のハードウェアで増加するワークロードに対応できるかどうかを確認したりする必要はありません。ソフトウェアの更新についても心配はいりません。SaaSプロバイダーがリモートで対応するため、SaaSアプリケーションは常に最新の状態に保たれます。単にサブスクリプションに申し込み、ソフトウェアを利用だけで他のことに煩わされることはありません。
Zylo レポートによると、SaaS は現代の組織にとってますます重要な要素となっており、平均的な組織は SaaS に年間約 4,900 万ドルを費やしており、平均 275 個のアプリに分散しています。
SaaSツールにはさまざまな種類があり、Zoom社、Slack社、Salesforce社、Adobe社、Trello社、Microsoft社、Google社、Box社、Amazon社といった多様な企業がSaaS製品を提供しています。これらの製品は、高度なチャット機能からビデオ通話、プロジェクト管理からIT管理、ファイル管理からクリエイティブ・サービスまで、幅広いタスクを実行するために利用されています。
SaaSアプリケーションへのアクセスは階層化されていることが多く、多くのプロバイダーは無料版、基本機能を無料で提供しアップグレード機能は有料とするフリーミアム版、あるいは機能やユーザー数などに差異を設けたプレミアム・パッケージを提供しています。多くのプロバイダーは、企業向けにさまざまな規模のビジネスに合わせてカスタマイズ可能なパッケージも提供しています。
しかし、このアクセスの容易さが、組織をSaaSに過度に依存させ、まるで池のハスの葉から葉へ飛び移るように次々とプラットフォームを乗り換えるような無秩序な状況を招くことがあります。では、組織はSaaSスプロールという厄介な拡大をどのように認識し、対処し、防止すればよいのでしょうか。
SaaSスプロールとは、特に複数の部門を持つ大規模な組織において、SaaS環境で膨大かつ雑多な製品を導入してしまう傾向を指します。「部門やリモート・チーム全体でSaaS導入が進み、さらにニッチなSaaSソリューションが爆発的に増えている状況により、気が付けば組織内に数十、場合によっては数百ものアプリケーションが乱立しているという状態なってしまいます」とCherry氏は説明します。これは、冗長性や非効率、混乱、さらにはそれ以上の深刻な問題を引き起こす可能性があります。SaaSスプロールの特徴をいくつか紹介します。
SaaSスプロールの典型的な兆候の1つは、機能が重複する複数のアプリケーションが存在していることです。これらの重複したアプリケーションは、通常は不要な支出につながり、データ・サイロや部門横断での可視性不足を招く可能性があります。
例えば、営業チームとマーケティング・チームが同じプロジェクト管理アプリケーションやリソース管理アプリケーションを利用していれば、情報を容易に共有し、同じ洞察に基づいてリアルタイムに業務を進められるでしょう。これらのチームが同じ業務に異なるアプリケーションを使用すると、部門横断の可視性が失われ、同等のコラボレーションを実現するには追加の統合が必要になります。
テクノロジーには常に注目を集めている新製品があります。しかし、頻繁な導入は一見アジャイルで柔軟に見えても、導入上の問題を引き起こす可能性があります。新しい製品の導入に伴う習熟曲線によってエラーが発生し、生産性やユーザー体験の低下を招くことがあります。さらに深刻な場合、絶えず変化するSaaS環境に伴う生産性の低下が、新しいソフトウェアのメリットを完全に上回ってしまうこともあります。
エンタープライズのSaaS製品をすべて連携し、統合されたエコシステムの中でデータをシームレスに共有することが理想的ですが、これは、多くの場合統合プラットフォームや iPaaS を活用することで実現されます。SaaSアプリケーション間、またはSaaSアプリケーションと他のエンタープライズ・システムやデータベースとの間で連携が行われていない場合、データ共有の非効率、可視性の欠如、データエラー、セキュリティー侵害などの問題が発生する可能性があります。
どのような組織でもSaaSスプロールの落とし穴に陥る可能性がありますが、複数の自律部門を持つ大規模組織は特にその傾向が強くなります。市場には非常に多くのSaaSの選択肢があり、毎年新しい、あるいは改良された機能をうたう製品が次々と登場しています。このような氾濫は、明確な意図を持たずに採用してしまう誘惑となり得ます。
SaaSスプロールの主な原因には、次のようなものがあります。
集中管理された調達プロセスがなければ、チームはそれぞれにソフトウェアを調達することになります。このように調整されていないアプローチでは、異なるチームが同じ機能を持つ新しいアプリケーションを導入することになり、コスト面でも効果面でも非効率につながる可能性があります。
先ほどの例に戻ると、営業部門とマーケティング部門が異なるプロジェクト管理ソフトウェアを使用しているケースがあります。この場合、当該ソフトウェアを調査・購入するのに2倍の時間と労力がかかるだけでなく、部門間での連携が難しくなり（新たな統合が必要になる可能性もあります）、問題を引き起こします。
適切な組織ポリシーがなければ、チームはエンタープライズ・ライセンスで既に利用可能なSaaS製品や、他部門が既に使用している製品を把握できない可能性があります。この見落としにより、データ共有や他の協働による相乗効果が妨げられることもあるでしょう。
適切な指針がない場合、コンプライアンス上のリスクやその他のSaaSセキュリティー問題を引き起こすかもしれません。例えば、制限されたデータが許可されていないアプリケーションと共有される場合などです。
Zylo社によると 、SaaSは年間20％を超える成長率を示しており、2025年には3億米ドルを突破すると予測されています。現在、 何万社もの SaaS企業が存在しており、小規模なスタートアップからテクノロジー業界の大手企業まで多岐にわたります。このような急増により選択肢が過剰となり、導入への圧力がかかる可能性があります。
典型的な販売手法として、低コストまたは無料での導入により、新しいものを試すのは簡単に思えるかもしれませんが、請求書が届くまではその実態に気づかないことがあります。「簡単かつスムーズにアクセスできるということは、IT部門や調達部門を通さずにツールを導入できるようになり、その結果、機能の重複や不十分な統合につながることがあります」と、デジタルPR代理店であるiNet Ventures社のCEO、James Allsop氏は述べています。
SaaSスプロールは、組織の非効率性から深刻なセキュリティー侵害に至るまで、さまざまな問題を引き起こす可能性があります。
SaaS製品に対して意図的な調達計画がない場合、テクノロジー・スタック全体で不要な支出を招く可能性があります。これは、大規模調達における不十分な交渉や重複、さらには契約中であることを忘れられたサブスクリプションによって生じる可能性があります。
さらに、SaaSサービスの提供者は、クライアントが自社サービスに依存するようになると、簡単に料金を引き上げることができます。「簡単に言えば、料金が上がった際に取れる選択は、支払うかアクセスを失うかのどちらかです。しかも、料金は確実に上がります」と、AIに特化した企業Valere社のテクニカル・プロダクト・マネージャー兼エンジニアであるBryan Granados氏は述べています。
初期費用は低額、あるいはトライアルならほとんどかからない場合もありますが、最終的な長期コストは、現地のソリューションを上回ることもあります。少なくとも、集中管理されたSaaSプランがあれば、組織はこうした料金の上昇に備え、エンタープライズ・ライセンスを活用することができます。
あまりに多くの異なるシステムが存在すると、却って効率が低下する可能性があります。例えば、チームが多数のプラットフォームで作業していると、ファイルの紛失、スケジュールや時間割の遅れや不正確さ、誤解による会議の欠席などが発生することもあるでしょう。通常の業務であっても、チームがあまりに多くのツールに分散していると、単に時間の浪費や従業員のフラストレーションを招くかもしれません。このプロセスを効率化することで、ワークフローの生産性を向上させることができます。
データがサイロ化されたプラットフォームやアプリケーションに分散していると、データ管理や部門横断的な協働が困難になります。異なるチームが同じ最新情報にアクセスできる場合、部門全体や組織全体の目標に沿って、より簡単に取り組みを調整することができます。また、データ・サイロの落とし穴を理解することで、チームが同じ認識を共有し続けられるようになるでしょう。
さらに、異なるデータベースやアプリケーションのデータを統合することで、組織はAIツールからより大きな価値を引き出すことができます。機械学習やその他のAIツールが最大限に効果を発揮するためには、多くのデータへのアクセスが必要です。データがより完全かつ最新であるほど、AIが生成する洞察はより精度が高く、価値のあるものになります。
新しいSaaSアプリケーションに慣れるまでに時間がかかることがあり、この期間中には、ミスが発生する可能性があり、実際に発生することも多いですしょう。多くの場合、新しいシステムの導入は必要であり、トレーニングに一定の時間がかかることは避けられません。しかし、これらの新しいソフトウェアの導入が価値を生み出すものであり、場当たり的に行われないようにすることが重要です。これにより、不要なオンボーディングによる従業員の時間の浪費や混乱を防ぐことができます。
SaaSスプロールは、 セキュリティー の脆弱性を高め、 データ侵害 のリスクを増やす可能性があります。特に、新しいSaaS製品が一元化された調達やガバナンス、データ・セキュリティーのポリシーの下で管理されていない場合には注意が必要です。IT部門やその他のセキュリティー部門による認証や適切な監視がないSaaS製品は、情報への不正アクセスや誤用を引き起こす可能性があります。
これにより、「シャドーIT」が発生することがあります。これは、本来IT部門の管理下にあるはずの利用状況を、IT部門が把握できていない状態を指します。統合が不注意に行われると、機密データが未承認の製品やプラットフォームと共有されることもあります。
「許可されていないITの利用が急増すると、複雑なツールのネットワークができてしまい、セキュリティーが損なわれ、コンプライアンスが難しくなり、組織のリソースが無駄になります」と、サイバーセキュリティー専門家でホワイト・ハッカーのRafay Baloch氏は警鐘を鳴らします。「管理されていないアプリケーションは機密データを露出させて攻撃対象を広げ、設定が不適切なシステムはハッカーの侵入経路となります」。
SaaSスプロールへの対策や管理は困難ですが、避けることはできません。「結局のところ、SaaSスプロールはイノベーションや機敏性の副産物ですが、意図的な管理がなければ、せっかくのメリットも享受できなくなる可能性があります」とGranados氏は述べています。SaaSスプロールを削減し、将来的な発生を防ぐために、どの組織でも取ることができるいくつかの手順があります。
まず最初に、組織内で現在使用されているすべてのSaaS製品のマップを作成します。これは多くの場合、CIOやそれに類する役職の担当者が主導するとよいでしょう。このインベントリーは、すべての部門に相談し、各製品が何であるか、そしてどのような課題を解決するためのものかについて情報を求めながら作成する必要があります。
次に、現在使用中の製品のセキュリティーについて、ITチームに確認します。それらは、会社のポリシーやガイドラインに準拠していますか。組織には、誰でもすぐに確認でき、周知されたSaaSの調達およびガバナンスに関するポリシーがありますか。新しいシステムを導入する前に対処すべき、現在進行中のリスクはありますか。
この新しいシステムを導入する前に、従業員の意見を集めるためのアンケートを実施することをお勧めします。これには２つの主なメリットがあります。まず、従業員からのフィードバックは、どの機能がうまく機能しているのか、何が機能していないのかどのような機能が必要で、どの機能が不要なのかなど、これらのSaaS製品の日常的な使用上の問題を把握するうえで非常に役立ちます。
こうしたフィードバックの聴取は、従業員を意思決定のプロセスに参加させることにもなり、意思決定への責任感を促します。この2つの要素により、チームは新しい手順をよりスムーズに受け入れてくれるようになるでしょう。
SaaSガバナンス・システムは、責任あるSaaSインフラストラクチャーを構築するうえで非常に有益です。各部門の代表者で構成されたチームが、ライセンス、サブスクリプション、アクセス制御、セキュリティーをより適切に管理できるSaaS管理ツールやSaaS管理プラットフォームを選定することができます。
新しいポリシーやインフラストラクチャーを策定する際には、統合の観点を考慮することも非常に重要です。どの製品が統合可能かつ統合すべきか、どうすれば実現できるか、これらの統合はどのようなメリットをもたらすか、また、その構築はどの程度困難か、などを検討する必要があります。
これらを検討したチームは、組織の優先事項や基本ポリシーを決めることができます。その際には、組織は何を達成しようとしているのか、そしてその目標を達成するためにどのような指針を設けられるのか、不可欠な機能はどれか、SaaS製品間のどのような相互作用が最も役立つのかを明確にする必要があります。SaaSの利用や導入に関する明確な指針は、SaaSスプロールやそれに伴う問題の軽減に大いに役立ちます。
このチームの助けを借りて、各部門や従業員に対して、どのような変更が行われるのかを周知したら、いよいよプロセス開始です。しかし、これで終わりではありません。
スプロールを防ぐためには、絶え間ない監視が欠かせません。ここではアジャイル管理手法が役立ちます。組織はこれらの手法を活用して、定期的に話し合いの場を設け、運用経験や承認プロセス、現在のシステムの強みと弱みについて議論するとよいでしょう。
変化を受け入れる姿勢も重要です。ただし、変化にはそれぞれ適応期間が伴うことも忘れないでください。