無料SaaSの利用申請、どう管理する？ Vantaで実現するセキュリティ審査フロー

SaaSベンダーを登録する

SaaSベンダーの登録方法には、2種類あります。

1. [Discovery] 機能による自動検出
   OAuth認証やSSOログから利用されたSaaSアプリケーションを自動検出し、[Vendors] へ移行する。
2. 手動登録
   個別のユーザーID・パスワードで利用しているSaaSや、導入検討中などの理由で、まだ組織が管理するIDで一度もログインしておらず、[Discovery] で検出されていないSaaSは、[Add vendor] から [Vendors] に直接登録します。

状況に合わせて、それぞれの登録手順を進めます。

1．[Discovery] 機能から [Vendors] へ登録する（SSO連携アプリ）

[Vendors] > [Discovery] を開くとOAuth認証やSSOでログインしたアプリケーションのリストが表示されます。

例としてCanvaを [Vendors] に移行してみます。

リストでCanvaのアプリケーションをクリックすると右側にパネルが開くため、[Move to managed vendor] をクリックします。

Website Name にURLを入力し、 [Add vendor] をクリックすると [Vendors] のリストに登録されます。

Managed Vendor に移行すると [Vendors] の [Vendors] タブの一覧リストに表示されます。

2．手動で [Vendors] に登録する

[Vendors] の [Add Vendor] ボタンをクリックしベンダー登録を行います。

ベンダー名、URLなど必要情報を入力し [Add Vendor] ボタンをクリックすることでベンダー一覧に登録できます。

ベンダーアセスメントの実施

それでは先ほど [Discovery] から [Vendors] に移行したCanvaをクリックし [Assessments] を開き、[Start Assessment] をクリックします。

アセスメントタイプはプルダウンで [Security] を選択し、 [Continue to setup] をクリックします。

[Vendor] に移行するときにCanvaのウェブサイトURLを登録しているのでVantaがCanvaのTrust Centreからドキュメントを検出しています。[View] をクリックし内容を確認します。

追加するドキュメントのチェックボックスをクリックし、ドキュメント名の横のプルダウンでドキュメントのタイプを選択すると [Add] ボタンがクリックできるようになります。

プルダウンで質問票を選択します。

[Resources] をクリックし質問票に自動回答をするときに参照するリソースを選択します。

About Canva の下の箱にある [Show more] をクリックするとさらに情報を追加することができます。

[Start assessment] ボタンをクリックしアセスメントを開始します。

先ほど追加したドキュメントは [Evidence] の一覧で確認できます。さらに追加したいドキュメントやウェブサイトURLをここから追加します。[Evidence] に追加されたコンテンツはAIが自動で読み取るため、アセスメントを再実行（やり直し）する必要はありません。

登録したEvidenceをもとに、Vanta AIが質問票の回答を自動生成します。Canvaの例では、全146問に対するAIの判定結果は以下のようになっています。

• 公開資料で回答できた質問： 134問
• 公開資料では回答できなかった質問： 11問
• 要確認フラグがついた質問： 1問

Vanta AIが回答した項目の確認

それでは例として1つ質問を見ていきます。

Vanta AIの回答を確認するために質問をクリックします。

1.1 Is there a formalized risk governance policy approved by management that defines the Enterprise Risk Management program requirements? (経営陣によって承認された、全社リスク管理（ERM）プログラムの要件を定める正式なリスク管理基本方針はありますか？)

この質問に対して、Vanta AIは「Yes」を選択しています。

画面下部の Answer sources（赤枠の部分）には、Vanta AIが回答の根拠としたドキュメントの要約（Summary）が表示されています。

Vanta AI の Answer Source のサマリ

• Canva has a formal risk management framework based on ISO 31000:2009, which sets out an approach for risk management, establishes roles and responsibilities, and defines a decision-making and prioritization framework for risk treatment.（CanvaはISO 31000:2009に基づいた正式なリスク管理フレームワークを有しており、リスク管理へのアプローチ、役割と責任の確立、リスク対応のための意思決定および優先順位付けの枠組みを定めています。）
• The framework covers all phases of risk management, including identification, analysis, evaluation, treatment, and monitoring, and is overseen by an Information Security Committee comprising executive management.（このフレームワークは、リスクの特定、分析、評価、対策、監視といったすべての段階を網羅しており、経営陣で構成される情報セキュリティ委員会（ISC）がその運用を監督しています。）
• Documented policies, standards, and procedures relating to risk management are provided to employees via Canva's intranet.（リスク管理に関する文書化された方針、基準、手順は、Canvaのイントラネットを通じて従業員に周知されています。）

さらに、要約の下にある数字のボタン（1, 2…）をクリックすると、Vanta AIが参照した具体的なドキュメント名や該当ページへのリンクが表示され、根拠をすぐに一次情報まで遡って確認できます。

Vanta AIの回答と根拠（Answer sources）に問題がなければ、[Review & next] ボタンを押してレビュー完了にしていきます。すべての質問に対してこの確認を行い、レビューを完了させます。

Vanta AIが要確認フラグを設定した項目の確認

Vanta AIが回答の根拠（Evidence）を十分に特定できず、人間の目で確認が必要だと判断した項目は、[Flagged by Vanta Agent] タブでフィルタリングできます。

たとえば、以下の質問を見てみましょう。

14.3 Is every connection to an external network terminated at a firewall e.g., the Internet, partner networks?（インターネットやパートナーネットワークなど、外部ネットワークへのすべての接続はファイアウォールで遮断（終端）されていますか？）

この質問に対して、Vanta AIは「No」を選択したうえで、要確認（Flagged）フラグを設定しています。

AIのサマリーと判定理由

Answer sourcesのサマリーを確認すると、Vanta AIは以下のように情報を整理しています。

• 確認できたこと
  ネットワークおよびホストベースのファイアウォールを利用して、システム間・環境間の通信を制御・制限しています。また、ファイアウォールルールは一元管理され、定期的にレビューされています。さらに、IDSによるネットワークトラフィックの監視や、独立した第三者によるネットワーク侵入テストを毎年実施していることも公開情報から確認できます。
• 確認できなかったこと
  インターネットやパートナーネットワークなど、外部ネットワークへのすべての接続がファイアウォールで終端されていることについては、公開情報から確認できませんでした。

つまり、ファイアウォールやその他のネットワークセキュリティ対策が実施されていることは確認できるものの、質問が求める「すべての外部ネットワーク接続がファイアウォールで終端されている」という要件を満たしていることを示す十分な証拠が、公開情報からは確認できませんでした。

そのため、Vanta AIは「ファイアウォールを利用していない」と判断したのではなく、公開情報だけでは質問への回答を確定できないため、人による追加確認が必要な項目としてフラグを設定したと考えられます。

Vanta AI の Answer Sourceのサマリ

• Canva uses network and host-based firewalls to control and restrict traffic between systems and environments. Firewall rules are centrally managed and reviewed regularly to enforce security policies and minimize exposure to unauthorized access.（Canvaは、システム間および環境間のトラフィックを制御・制限するために、ネットワークベースおよびホストベースのファイアウォールを使用しています。ファイアウォールルールは一元管理され、セキュリティポリシーを適用して不正アクセスのリスクを最小限に抑えるために、定期的に見直されています。）
• Canva configures software firewalls on company-managed devices and servers to control inbound and outbound network traffic. Firewall rules are managed centrally to enforce security policies and reduce exposure to unauthorized access or malicious activity.（Canvaは、インバウンド（受信）およびアウトバウンド（送信）のネットワークトラフィックを制御するために、会社が管理するデバイスおよびサーバー上にソフトウェアファイアウォールを設定しています。ファイアウォールルールは一元管理され、セキュリティポリシーを適用して不正アクセスや悪意のある活動へのリスクを軽減するために機能しています。）

実務におけるリスク判断のポイント ～ 公開情報で確認できない項目をどう扱うか？

今回のケースでは、ファイアウォールによる通信制御自体は確認できているため、公開情報から確認できなかった事項を残余リスクとして扱い、自社にとって許容できるリスクかどうかを判断したうえで、利用可とすることもできます。

リスクを判断する際には、次のような情報を総合的に確認する必要があります。

• 対象SaaSで扱う情報の重要度
• この項目が自社にとってどの程度重要か
• 公開情報から確認できたその他のセキュリティ対策
• 追加確認が必要な場合の手段があるか

無料SaaSのように、ベンダーから詳細な質問票への回答を得ることが難しい場合には、すべての項目を確認できるまで利用しないのではなく、公開情報から確認できる範囲を確認したうえで、確認できない項目をリスクとして評価し、自社のリスク許容度に応じて利用可否を判断するという運用が現実的です。

自社として許容できるリスクかどうかを判断したうえで、リスクとして記録・管理する場合は、[Flag as finding] をクリックして指摘事項として登録します。

指摘事項の登録時には、そのリスクを受容する [Accept risk]、リスク低減の対応を行う [Mitigate risk]、対象外として扱う [Not applicable] など、リスクに応じた対応方法を設定できます。

Vanta AIが公開資料をもとに回答できなかった項目の確認

Vanta AIでは、SaaSアプリケーションベンダーが公開している資料をもとにセキュリティ質問票への回答を生成できますが、公開資料から十分な情報を確認できず、回答を生成できない項目もあります。Vantaでは、質問票の [Not answered] から、Vanta AIが回答できなかった項目を一覧で確認できます。

公開情報で回答できない項目が残った場合でも、それだけでSaaSの利用を不可とする必要はありません。Vanta AIが要確認フラグを設定した項目と同様に、自社で扱う情報の重要度や、確認できなかった事項が自社に与える影響などを踏まえてリスクを評価し、必要に応じて追加確認を行ったうえで、利用可否を判断します。

自社として許容できるリスクかどうかを判断したうえで、リスクとして記録・管理する場合は、[Flag as finding] をクリックして指摘事項を登録します。

リスクとして管理する項目を登録する

ここまでの確認でリスクとして管理する必要があると判断した項目は、Vanta上で指摘事項として記録します。

ここでは、[Flag as finding] の機能を使ってリスクを登録する方法を見ていきます。

[Flag as finding] ボタンをクリックしリスクを登録します。

今回は、公開情報で確認できなかった項目を例に、リスクを受容するケース(Accept risk)とリスクの軽減をするケース(Mitigate)の2つを紹介します。

１．Accept risk の場合

13.1.4 Can constituents access corporate e-mail using mobile devices?（関係者はモバイル端末を使って会社のメールにアクセスできますか？）

この質問は、SaaSアプリケーションベンダーの従業員がモバイル端末から会社のメールにアクセスできるかを確認する項目です。モバイル端末からのアクセス自体は、BYODの利用や端末管理の状況によってはセキュリティリスクにつながる可能性があります。一方で、この項目はSaaSアプリケーションベンダーの社内のメール利用環境に関するものであり、自社がそのSaaSアプリケーションベンダーのサービスを利用する際のデータ保護やサービスへのアクセス制御を直接確認する項目ではありません。 今回のSaaS利用におけるリスクとの関連性は低いと判断し、Accept riskとして処理します。したがって、[Flag as finding] の画面の [Finding] 入力エリアに検出リスクの対応方針の記録を入力し、[Accept risk] を選択し、[Add finding] をクリックします。

Accept riskとしたため質問票としては N/A と回答し、右端のチェックボックスをクリックします。

チェックボックスをクリックすると [Review & next] ボタンが表示されるのでクリックしレビュー済みとします。

Vanta上では N/A としてレビュー済みとなりましたがリスク評価・チェックの過程で見つかった問題点・懸念点・指摘事項に、Accept risk として登録されます。登録した [Finidng] は [Findings] のタブから確認できます。

２．Mitigateの場合

次に、リスクをMitigateするケースとして、以下の質問を見ていきます。

17.5「Does the organization retain documented information on the outcomes of all AI system impact assessments?（組織は、すべてのAIシステムの影響評価の結果に関する文書化された情報を保持していますか？）

公開情報からは、AIシステムの影響評価結果をすべて文書化・保持していることを確認できませんでした。一方、自社では、このSaaSアプリケーションのAI機能に対して業務情報、顧客情報、機密情報などの重要な情報を入力しないという利用条件を設定することで、AI機能の利用に伴う情報漏えい等のリスクを低減できます

このように、ベンダー側で確認できない管理策についても、自社の利用方法や利用条件によってリスクを低減できる場合には、Mitigate として扱うことができます。 今回はこの項目を 受容できるリスクとして登録し、管理します。

[Flag as finding] の画面の [Finding] 入力エリアに検出リスクの対応方針の記録を入力し、[Mitigate risk] を選択し、[Next] をクリックします。

次の画面で [Recommended resolution] として、具体的な対応方法を入力します。今回は、「このアプリケーションのAI機能を利用する際、業務情報、顧客情報、機密情報などの重要な情報を入力しないよう社内の利用条件を設定する」という対応方法を設定します。

[Create a corresponding task in Jira] にチェックを入れると、対応内容をJiraチケットとして発行できます。今回のように、リスクの登録に加えて社内の利用ルールの追加・変更などの対応が必要な場合は、その作業をJiraチケットとして登録し、対応状況を管理できます。

［Next］ボタンをクリックするとJiraチケットの作成画面が開くので、必要事項を入力し、[Add finding] ボタンをクリックします。

質問票の回答としては、Yes（保持していることを確認できた）とするには根拠が不足しており、No（保持していないことが確認できた）とも言い切れない状況です。そのため、今回は N/A とし、必要に応じて［Internal comments］の機能を利用して、「今回の公開情報を使った審査では、この項目について適用・確認可能な回答を確定できない」と判断した理由を記録として残します。

N/A の回答のチェックボックスをクリックし確定することで[Review & next] ボタンが表示されるのでクリックしレビュー済みとします。

Vendor Assessment で登録した [Finding] は、Vantaの全体的なリスク管理に自動的に連携されるものではなく、対象ベンダーの[Finding] から確認・管理します。ベンダー審査で確認されたリスクをVantaのリスクモジュールで管理したい場合は、Risk Scenario（リスクシナリオ）を手動で作成し、担当者や評価スコアなどを設定する必要があります。リスクモジュールへの登録方法については、別の記事で紹介します。

ベンダーアセスメントの結果を確認し、利用可否を判断する

すべての質問項目を確認したら、アセスメントの結果をもとに、ベンダーの利用可否を判断します。[Make recommendation] ボタンをクリックして、アセスメントの [Recommendation] を設定します。

今回は、公開情報から確認できない項目が一部ありましたが、確認されたセキュリティ対策や登録した [Finding]、そのリスクへの対応内容を踏まえ、一定の利用条件を設定したうえで利用を認める [Conditionally approved（条件付き承認）] と判断できます。

[Recommendation]（図の(1)）で [Conditionally approved] を選択します。

図の(2)の [Apply assessment recommendation to vendor decision] にチェックを入れると、アセスメントで設定したRecommendationを、Vendor全体の最終判断（Vendor decision）にも自動的に反映できます。

[Assessment residual risk score（アセスメント残留リスクスコア）] （図の(3)）は、公開情報から確認できない項目が一部残っているものの、確認できたセキュリティ対策や登録した [Finding] への対応、利用条件などを総合的に判断し、今回は Medium とします。

[Summary of findings] （図の(4)）には、アセスメントの回答や登録した [Finding] をもとにVantaがサマリを作成します。内容に問題がないか確認し、必要に応じて追記・修正します。

確認・修正が完了したら、[Finalize assessment] （図の(5)）をクリックしてアセスメントを終了します。

アセスメントの結果は [Assessments] のタブに表示されます。

また、[Apply assessment recommendation to vendor decision] による自動反映を行わず、手動で最終決定を行う場合は、画面右上の [Make decision] ボタンより最終結果を設定します。

なお、アセスメントのサマリーはVantaによって自動生成されますが、本画面における最終決定時のサマリー（評価理由や利用条件など）は、担当者が手動で入力する仕様となっています。

【サマリーの記載例】
公開情報から確認できない項目が一部存在したものの、確認されたセキュリティ対策および [Findings] に登録した問題点・懸念点を踏まえ、重要な情報や機密情報を取り扱わないことを条件とした上で、利用を許可する。

このように、AIによる自動要約を活用しつつも、最終判断時には自社の運用条件を明示的にサマリーへ残すことで、ガバナンスの効いたVendor管理を実現できます。