B2B SaaSグローバル展開に必要なIdP規制対応ガイド
韓国ISMS-P、日本APPI、EU NIS2/GDPR、米国SOC 2 — リージョン別の認証・認可規制要件を比較し、マルチテナントIdPで一貫して対応する方法を解説します。
グローバルB2B SaaS、認証規制は避けられない
B2B SaaSが韓国から日本、アジア、北米へ市場を広げる際、最初に立ちはだかる壁がセキュリティ・コンプライアンス要件です。エンタープライズ顧客は契約前に「貴社の認証管理はどうなっていますか？」「SSO連携は対応していますか？」「監査ログはどのくらい保存しますか？」を尋ねてきます。
この問いに答えるには、市場別の規制要件を理解し、IdP（Identity Provider）を中心に一貫したセキュリティ体制を構築する必要があります。国ごとに別々のセキュリティソリューションを導入するのは保守の悪夢になります。
リージョン別のコア規制とIdP要件の比較
韓国 — ISMS-P（情報保護管理体系）
韓国の企業・公的機関はISMS-P認証を要求します。アカウント管理領域でIdPがカバーすべき核心項目:
- アカウント発行・変更・削除に対する承認プロセスと監査ログ
- MFA導入義務化 — TOTPベースの多要素認証が標準
- 退職者アカウントの即時回収 — SCIM自動プロビジョニングで解決
- 権限統制（最小権限の原則） — グループベースのアクセスポリシーで運用
日本 — APPI（改正個人情報保護法）＋サイバーセキュリティガイドライン
日本市場では、2022年に改正されたAPPIにより個人情報取扱事業者のセキュリティ対策義務が強化されました。特に:
- アクセス記録（アクセスログ）の作成・保存義務 — 監査ログ6ヶ月以上保存
- 管理者権限の分離と監督 — 運営者と一般ユーザーの権限を明確に分離
- パスワード管理規程 — MFA強制ポリシーのサポートが必要
- SAML/OIDC連携 — 日本のエンタープライズ顧客は自社IdP（Okta, Azure AD, CyberArk等）とのSSOフェデレーションを当然に要求します
実際、日本のB2B SaaS企業では「SAML IdPで社内SSOを使用します」を基本前提としています。
EU — NIS2指令＋GDPR
2024年からEUでNIS2（Network and Information Security）指令が本格施行され、必須サービス提供者および重要サービス提供者に以下を要求しています:
- 多要素認証（MFA）義務化 — すべてのシステムアクセスにMFA適用
- アクセス制御ポリシーの最小権限原則遵守
- セキュリティ incidents発生時、24時間以内初期通知、72時間以内詳細通知 — 監査ログが必須
- データ主体の権利（閲覧・削除・移転）支援 — アカウント削除時にすべての連携データを一括整理
GDPRと結合すると、「誰が、いつ、何にアクセスしたか」を完全に追跡できるIdPがなければ規制を通過できません。
米国 — SOC 2 Type II
米国B2B市場ではSOC 2 Type IIレポートが事実上必須です。IdP関連の検証ポイント:
- CC6（Logical Access） — アクセス認証、権限管理、パスワードポリシー
- CC7（System Operations） — システム運営監査追跡
- CC8（Change Management） — アカウント・権限変更時の審査・承認手続き
マルチリージョンIdPで規制の一貫性を確保する
各市場の規制が異なるからといって、IdPを別々に構築する必要はありません。1つのマルチテナントIdPでテナント別ポリシーにより対応すれば十分です。
テナント別ポリシー分離チェックリスト
- MFA強制の有無 — 日本テナントはMFA必須、開発環境テナントは選択
- セッションタイムアウト — 金融業界テナントは15分、一般テナントは8時間
- パスワード複雑さのルール — リージョン別規制に合ったポリシー設定
- 監査ログ保存期間 — 韓国ISMS-P 1年、日本APPI 6ヶ月、EU NIS2 2年
- データリージョン — EU顧客データはEUリージョンに保存（residency制御）
プロトコル互換性の確保
グローバル顧客が使用するIdPは多様です。B2B SaaS側（SP）では以下のプロトコルをすべてサポートすることが標準です:
- SAML 2.0 — 日本・米国エンタープライズ顧客が最も多く要求
- OpenID Connect（OIDC） — 最新クラウドサービスとモバイルアプリ連携に必須
- SCIM 2.0 — 自動プロビジョニングでグローバルHRシステム（Workday, BambooHR等）と同期
グローバル展開前の準備チェックリスト
- [ ] SAML 2.0＋OIDCをSPとして同時サポート
- [ ] SCIM 2.0プロビジョニングの自動化
- [ ] テナント別MFAポリシー設定可能
- [ ] 監査ログのテナント分離＋CSV/PDFエクスポート
- [ ] セッションタイムアウトのテナント別設定
- [ ] 多言語サポート（ko/ja/en）
- [ ] データresidency制御機能
- [ ] SOC 2 / ISMS-P対応セキュリティガイドラインの文書化
AxiPassはマルチテナントIdPを通じて、グローバルB2B SaaS企業の多様な規制要件を1つのプラットフォームで解決します。SAML、OIDC、SCIMを基本サポートし、テナント別ポリシーでリージョン別コンプライアンスを柔軟に対応できます。