100〜200 SaaSで考えるSSPM導入効果と運用TCO
要旨
100〜200のSaaSを四半期ごとに細かく点検するなら、SSPMは「新しいセキュリティ製品」ではなく、「SaaS設定統制の定型作業を自動化し、定期点検を継続監視へ変える仕組み」として評価したほうがよい。
本記事の標準シナリオでは、対象SaaSの80%をSSPMへ接続し、残る20%を手動チェックリストで管理する。製品価格は公開情報から推測せず、年間SSPM総費用を変数 L、初期連携費を I として分離した。
試算結果は次のとおりである。
| 対象 | 手動運用総費用 | SSPM導入で減らせる人的・外注資源 | 現金損益分岐点 | 経済価値損益分岐点 | 内部余力 |
|---|---|---|---|---|---|
| 100 SaaS | 8,580万円/年 | 3,968万円/年 | L < 1,472万円/年 | L < 3,968万円/年 | 3,200時間/年、約2人分 |
| 200 SaaS | 1億6,860万円/年 | 7,936万円/年 | L < 2,944万円/年 | L < 7,936万円/年 | 6,400時間/年、約4人分 |
ただし、これらは外部統計ではなく、後述する工数・単価・接続範囲を置いた試算値である。導入判断では、自社の工数調査、委託契約、製品見積、接続機能の対応率へ置き換える必要があるのだ。
結論：チェックリストを廃止するのではなく、役割を分ける
手動チェックリスト方式には、基準作成、更新、実査、証跡収集、照会、是正、再確認、管理、外注という複数の費用がある。さらに、専門人材を転記や画面確認へ張り付けると、構成レビューや検知ルール開発へ使える余力を消費する。
一方、SSPMはすべてのSaaSと判断業務を置き換えない。対応外SaaS、独自統制、業務上の例外、リスク受容は人に残る。現実的な分担は次の形なのだ。
手動運用
基準作成 -> 定期依頼 -> 画面確認 -> 証跡 -> 転記 -> レビュー -> 照会 -> 是正 -> 再確認
^ |
+-------------- SaaSの仕様・設定変更に合わせて更新 -----------------+
併用運用
SSPM継続監視 -> 変更検知 / 基準照合 / 証跡取得
|
+-- 高リスク設定 -> 人が業務影響、例外、是正を判断
+-- 対応外SaaS -> 手動チェックリストを限定継続
SSPMへ移すのは、APIなどで反復可能な設定取得と基準照合である。人間は、業務上の文脈、優先順位、例外、是正の副作用を判断する。この境界を置かないと、自動化しても警告処理という別の定型作業が増えるだけなのだ。
セキュリティ効果は「点検回数」ではなく未検知期間で測る
四半期点検は、点検直後に設定が変わると次の点検まで最大約91日、単純化した平均では約46日の未検知期間を持ち得る。SSPMの価値は、点検表を電子化することではなく、接続範囲の設定ずれを継続的に検知できることにある。
NIST SP 800-137も、資産、脅威、脆弱性、セキュリティ統制の有効性を継続的に把握し、リスクへ適時対応するための継続的監視を扱っている。CIS Control 4は、企業資産とソフトウェアの安全な設定を確立し、維持することを求めている。SSPMは、この考え方をSaaSテナントの設定監視へ当てはめる一つの手段になる。12
次の1〜5は本記事の相対評価であり、侵害確率を表す統計値ではない。
| 統制観点 | 手動チェックリスト | SSPM＋人間による統制 | 経営上の意味 |
|---|---|---|---|
| 設定変更・ずれの検知 | 1/5 | 5/5 | 定期点検の「点」から継続監視へ移行する |
| 未検知期間 | 1/5 | 5/5 | 接続範囲では変更から検知までの時間を短縮できる |
| 転記・見落としリスク | 2/5 | 4/5 | APIなどによる設定取得で人手転記を減らす |
| 基準追随 | 2/5 | 4/5 | 全SaaSの差分を人手調査する負担を軽減する |
| 大規模化への耐性 | 1/5 | 4/5 | SaaS数、利用者数、項目数の増加を自動化で吸収する |
| 対応外・国内SaaS | 4/5 | 3/5 | 接続機能の対応外には手動の代替運用が必要になる |
| 業務上の文脈・例外判断 | 4/5 | 4/5 | 自動化後もリスク受容と業務影響判断は人が担う |
| 監査証跡の再現性 | 3/5 | 4/5 | 接続範囲では継続的な設定履歴を残しやすくなる |
みずほフィナンシャルグループの公開事例では、SaaS別チェックリストの作成、利用部門との照会、表計算ソフトへの転記、仕様変更への追随、リスク発見から対応までの時間差が課題として挙げられている。導入後も未接続テナントにはチェックリストを併用しており、全部を置き換えない併用運用の実例になっている。なお、同事例の情報は2023年6月時点である。3
試算の前提
以下の単価、工数、80%という接続率は、本記事の分析前提であり、市場平均や製品実績ではない。
| 前提 | 標準値 | 扱い |
|---|---|---|
| 対象SaaS | 100 / 200 | 1 SaaSを1点検単位として仮置き |
| 点検頻度 | 四半期、年4回 | 細かく継続運用する想定 |
| SSPM接続率 | 80% | 20%は対応外・独自統制などで手動運用を継続 |
| セキュリティ内部原価 | 8,000円/時間 | 給与ではなく総原価の試算値 |
| 利用部門内部原価 | 6,000円/時間 | 試算値 |
| 協力会社単価 | 8,000円/時間 | 実契約単価へ置換する試算値 |
| 管理職原価 | 12,000円/時間 | 試算値 |
| 年間実働 | 1,600時間/人年 | 余力換算用 |
| SSPM利用料 | 未設定 | 価格を推測せず損益分岐点の上限を算出 |
手動運用は1 SaaSあたり年106時間
| 費目 | 年間工数 | 年間費用 | 主な内容 |
|---|---|---|---|
| セキュリティ | 54時間 | 43.2万円 | 基準更新、進行、評価、是正判断、報告 |
| 協力会社 | 30時間 | 24.0万円 | 証跡収集、転記、一次確認、再確認 |
| SaaS利用部門 | 18時間 | 10.8万円 | 設定説明、業務影響確認、照会対応 |
| 管理職 | 4時間 | 4.8万円 | 例外、リスク受容、承認 |
| 合計 | 106時間 | 82.8万円 |
SSPM接続済みでも1 SaaSあたり年43時間は残る
| 費目 | 年間工数 | 年間費用 | 残る仕事 |
|---|---|---|---|
| セキュリティ | 24時間 | 19.2万円 | 優先順位、業務上の文脈、例外、是正判断 |
| 協力会社 | 7時間 | 5.6万円 | 非自動部分、補助調査 |
| SaaS利用部門 | 10時間 | 6.0万円 | 業務影響確認、是正 |
| 管理職 | 2時間 | 2.4万円 | 重要例外、承認 |
| 合計 | 43時間 | 33.2万円 |
この差分は、SSPMが人間の仕事をゼロにするという意味ではない。1 SaaSあたり年63時間の反復作業を減らし、年43時間の判断と是正を残すモデルなのだ。
通常年度の運用総費用を比較する
年間SSPM総費用を L とする。L には利用料、支援費、運用サービスなど、SSPMを1年間使うための総費用を含める。
100 SaaSでは年間3,968万円が経済価値上限
| 運用費・資源費 | 手動運用 | SSPM併用 | 差額 |
|---|---|---|---|
| セキュリティ内部人件費 | 4,320万円 | 2,400万円 | ▲1,920万円 |
| 利用部門人件費 | 1,080万円 | 696万円 | ▲384万円 |
| 協力会社費 | 2,400万円 | 928万円 | ▲1,472万円 |
| 管理職の余力 | 480万円 | 288万円 | ▲192万円 |
| 全社統制固定費 | 300万円 | 300万円 | 0 |
| 人的・外注運用計 | 8,580万円 | 4,612万円 | ▲3,968万円 |
| SSPM年間総費用 | 0 | ＋L | ＋L |
| 年間総費用 | 8,580万円 | 4,612万円＋L | ▲3,968万円＋L |
200 SaaSでは年間7,936万円が経済価値上限
| 運用費・資源費 | 手動運用 | SSPM併用 | 差額 |
|---|---|---|---|
| セキュリティ内部人件費 | 8,640万円 | 4,800万円 | ▲3,840万円 |
| 利用部門人件費 | 2,160万円 | 1,392万円 | ▲768万円 |
| 協力会社費 | 4,800万円 | 1,856万円 | ▲2,944万円 |
| 管理職の余力 | 960万円 | 576万円 | ▲384万円 |
| 全社統制固定費 | 300万円 | 300万円 | 0 |
| 人的・外注運用計 | 1億6,860万円 | 8,924万円 | ▲7,936万円 |
| SSPM年間総費用 | 0 | ＋L | ＋L |
| 年間総費用 | 1億6,860万円 | 8,924万円＋L | ▲7,936万円＋L |
現金支出と余力を混ぜない
| 判断軸 | 100 SaaS | 200 SaaS | 意味 |
|---|---|---|---|
| 経済価値の損益分岐点 | L < 3,968万円/年 | L < 7,936万円/年 | 内部余力も経済価値として含む |
| 現金収支の損益分岐点 | L < 1,472万円/年 | L < 2,944万円/年 | 協力会社費の削減だけでSSPM費を賄える水準 |
内部人件費が実際に減らないなら、その部分は現金支出の削減ではない。「高度業務へ再配置できる余力」として追跡する。現金収支の改善額と余力の経済価値を足し直すと二重計上になるので、分けて管理する必要があるのだ。
初年度は初期連携費を分離する
手動方式では、各SaaS固有のチェックリストを設計する初期構築費が発生する。本モデルでは1 SaaSあたり50時間、40万円とした。みずほFGの事例にある、あるWeb会議SaaSのチェックリスト作成に約1週間かかったという実例を、工数を仮置きするための参考値にしている。これは同社の全SaaS平均ではない。3
| 手動運用の初年度 | 100 SaaS | 200 SaaS |
|---|---|---|
| 定常運用 | 8,580万円 | 1億6,860万円 |
| チェックリスト初期設計 | 4,000万円 | 8,000万円 |
| 共通手順の初期整備 | 200万円 | 200万円 |
| 合計 | 1億2,780万円 | 2億5,060万円 |
SSPM初期連携費を I とすると、併用運用の初年度費用は次のようになる。
| SSPM併用運用の初年度 | 100 SaaS | 200 SaaS |
|---|---|---|
| 併用運用の通常年度人件費 | 4,612万円 | 8,924万円 |
| 対応外20%のチェックリスト初期設計 | 800万円 | 1,600万円 |
| SSPM年間総費用 | ＋L | ＋L |
| SSPM初期連携 | ＋I | ＋I |
| 合計 | 5,412万円＋L＋I | 1億524万円＋L＋I |
本モデルでは、100 SaaSなら L + I < 7,368万円、200 SaaSなら L + I < 1億4,536万円 が手動運用の初年度費用を下回る条件になる。既存チェックリスト資産、接続設定、権限設計、運用支援の範囲によって変わるため、通常年度と初年度を同じ表で評価しないほうがよい。
創出した余力の行き先を先に決める
標準シナリオで減る工数は次のとおりである。
| 項目 | 100 SaaS | 200 SaaS |
|---|---|---|
| 内部人材の創出時間 | 3,200時間/年 | 6,400時間/年 |
| 人数換算 | 2.0人分 | 4.0人分 |
| 協力会社の削減時間 | 1,840時間/年 | 3,680時間/年 |
| 合計削減時間 | 5,040時間/年 | 10,080時間/年 |
内部余力は、削減しただけでは価値にならない。導入前に再配置先と成果指標を決めておく必要がある。
| 再配置先 | 測定する成果指標 |
|---|---|
| 構成レビュー | レビュー件数、設計段階で除去できた重大リスク |
| 脅威モデリング | 実施件数、リリース前に発見した攻撃経路 |
| 検知ルール開発 | 追加した検知、平均検知時間の改善 |
| インシデント対応・演習 | 演習回数、平均復旧時間、手順改善 |
| 到達可能性・脆弱性の優先順位付け | 優先順位付け時間、対応期限達成率 |
| セキュリティ自動化 | 追加で自動化できた工数 |
| 訓練・技能開発 | 学習時間、クラウドやアプリケーションセキュリティの技能充足 |
再配置先で生まれた追加価値は、中心となる投資対効果へ上乗せしていない。内部余力の削減額と追加価値を同時に加算すると、同じ時間を二度評価することになるためなのだ。
定型作業の組織影響は補助指標にする
チェックリストそのものを「不要な仕事」とは断定できない。一方、設定値の転記、証跡取得、定型的な差分確認など、自動化可能な反復作業を専門人材へ継続的に割り当てることには組織運営上のリスクがある。
LiとMostafaによる2026年のメタ分析は、141研究、65,124人を対象に、従業員が不必要または不合理だと認識する仕事と、仕事満足度、仕事への関与、離職意向、燃え尽き、業務成果、革新的行動などとの関係を統合している。ただし、SSPM運用者だけを対象とした研究ではないため、本記事では金額換算せず、人材面のリスクを考える補助資料として扱う。4
ISC2の2025年調査では、16,029人のサイバーセキュリティ実務者と意思決定者が回答した。59%が重大または深刻な技能不足を報告し、48%が最新の脅威と技術への追随に疲弊し、47%が期待される業務量に圧倒されることが多いと答えている。これはSSPMが離職や燃え尽きを減らす因果関係を示すものではないが、限られた専門人材の余力を何へ配分するかが経営課題であることは示している。5
接続範囲で損益分岐点は変わる
接続率だけを60%、80%、90%へ変え、他の前提を固定した感応度は次のとおりである。
| SSPM接続率 | 100 SaaS：年間資源費削減 | 200 SaaS：年間資源費削減 | 100 SaaS：現金運用費削減 | 200 SaaS：現金運用費削減 |
|---|---|---|---|---|
| 60% | 2,976万円 | 5,952万円 | 1,104万円 | 2,208万円 |
| 80% | 3,968万円 | 7,936万円 | 1,472万円 | 2,944万円 |
| 90% | 4,464万円 | 8,928万円 | 1,656万円 | 3,312万円 |
SaaS数が増えるほど自動化の規模効果は大きくなる。ただし、実際の接続率は製品カタログの対応数では決まらない。自社のテナント、必要な設定項目、API権限、非人間ID、独自統制を必要な深さで取得できる割合を測るべきなのだ。
導入判断は4層で行う
| 層 | 財務・経営指標 | SSPM評価方法 |
|---|---|---|
| 1. 現金支出 | 協力会社費、残業、増員回避 | 実際に損益へ効く金額を測る |
| 2. 余力 | 創出時間、人数換算 | 浮いた時間の再配置先と成果を記録する |
| 3. セキュリティリスク | 設定ずれ、未検知期間、是正までの時間 | 定期点検から継続監視への転換を測る |
| 4. 人材・能力 | 技能開発、関与度、燃え尽き | 因果を決めつけず指標で追う |
100 SaaSでは、年間SSPM総費用が1,472万円を下回れば、協力会社費の削減だけでも現金収支上の損益分岐点が見える。内部余力を経済価値へ含めるなら上限は3,968万円である。200 SaaSでは、それぞれ2,944万円と7,936万円になる。
最終判断では、少なくとも次の四つを実証試験の前後で実測する。
- 対象SaaSの接続範囲
- 現在のチェックリスト運用工数と実契約単価
- SSPMの利用料、支援費、運用サービスを含む年間総費用
- 検知件数ではなく、未検知期間、是正までの時間、再配置できた余力
製品機能や公開価格から投資対効果を決めるのではない。自社の手動運用を測り、同じ範囲を併用運用へ置き換えた差分で判断するのだ。
自社前提への置換式
本記事の標準値を再現する簡易式は次のとおりである。金額単位は万円とする。
N = SaaS数
C = SSPM接続率（0〜1）
L = SSPM年間総費用
手動運用の年間費用 = 82.8 * N + 300
併用運用の年間費用 = (82.8 - (82.8 - 33.2) * C) * N + 300 + L
年間の資源費削減 = (82.8 - 33.2) * C * N
協力会社への現金支出削減 = 18.4 * C * N
内部余力の創出 = 40 * C * N 時間
合計削減時間 = 63 * C * N 時間
この式は、SaaSごとの複雑さが同じだと仮定した線形モデルである。実際には、Microsoft 365のような大規模テナントと小規模SaaSを同じ1単位として扱うと誤差が大きい。検証ではSaaSを複雑度や重要度で階層分けし、工数係数を持たせるのが次の改善になる。
前提と限界
- 本記事は経営判断用の試算モデルであり、会計上の費用認識、製品価格、実契約単価を示さない。
- 単価、工数、接続率80%、1,600時間/人年は分析前提であり、外部統計ではない。
- 手動運用と併用運用の工数は実測値ではないため、導入前の工数調査で置き換える必要がある。
- SSPMがすべての設定不備や侵害を検知するとは限らない。接続機能の取得範囲、更新頻度、検知ロジック、権限、SaaS側API制約を確認する必要がある。
- 相対評価1〜5は比較を整理するための尺度であり、リスク低減率や侵害確率ではない。
- 人材面のリスクに関する研究は一般の職場を対象としており、SSPM導入の効果を直接検証したものではない。
- みずほFG事例は一社の導入事例であり、工数や効果を自社へそのまま一般化できない。