B2B SaaSのセキュリティ審査、IdPひとつで対応する方法

B2B SaaSを運営していると、大企業顧客からのセキュリティ審査要請を受ける日が来ます。質問票あるいは独自の審査シートがメールで届き、マーケティングチームは「今月中に回答が必要」と急かします。IT担当者が1〜2日を費やしてスプレッドシートを作って送るケースは思ったよりよくあります。

本記事は、IdP（Identity Provider）がその審査項目の大部分を構造的に解決するという点を整理します。すでにSSO導入ガイドで基本的な導入方法を取り上げましたので、今回はセキュリティ審査対応という具体的なシナリオに焦点を当てます。

顧客が尋ねていること、実態は何か

エンタープライズ顧客のセキュリティ審査要請は形式が多様ですが、頻繁に繰り返される項目があります。認証方式、パスワードポリシー、多要素認証（MFA）の適用状況、権限管理方式、監査ログの保存期間、アカウント作成・削除プロセスが代表的です。

これらの要求は個別に見えますが、実際には「当社の従業員があなたのサービスにアクセスする際、あなたはそのアクセスをどのように統制し記録しているのか」という一つの質問に要約されます。

IdPがカバーする項目

IdPを中心に置けば、以下の項目について一貫した回答が可能になります。

認証方式とSSO対応

顧客が「SSOで連携できるか」を尋ねることは、事実上「当社の認証ポリシーをあなたのサービスにも適用できるか」を意味します。OIDCとSAMLの両方をサポートするIdPであれば、顧客側IdPと連携して顧客が望む方式で認証を処理できると回答できます。

MFA適用状況

MFAが全社または管理者アカウントに強制されているかという質問に対し、IdPレベルでTOTPベースMFAを提供しポリシーで強制できるなら明確な回答になります。アプリごとにMFAを個別実装するのではなく、IdPレイヤで一度に処理される点も説得力があります。

権限管理と最小権限の原則

ユーザーに業務に必要な分だけの権限が付与されているかを示す必要があります。IdPがグループベースのアクセス制御を提供し、SCIMプロビジョニングでグループ・ロールを自動同期するなら、権限が中央でポリシーベースで管理されていると説明できます。

監査ログと追跡可能性

誰がいつどの操作を行ったかの記録が残っているかは必須項目です。アカウント作成・権限変更・ログイン試行などのイベントを監査ログで自動記録し、特定期間の記録を検索・エクスポートできれば、ISMS-P審査対応でもそのまま活用できます。

アカウントライフサイクル管理

新規アカウント発行から権限変更、退職者アカウント回収までのプロセスが体系的に運用されているかを確認します。IdPとプロビジョニングが連携していれば、手作業依存ではなく自動化されたプロセスで回答できます。

対応チェックリスト

セキュリティ審査の要請が来た際、IdPの観点で確認すべき項目です。

• OIDC/SAMLを通じた顧客IdPとのSSO連携が可能か
• MFAがポリシーベースで強制設定可能か（全社/グループ別）
• グループ単位のアクセス制御が適用されているか
• ログイン・権限変更・アカウントライフサイクルイベントが監査ログに記録されるか
• 監査ログの期間別検索とCSV/PDFエクスポートが可能か
• SCIMを通じたアカウント自動プロビジョニング・デプロビジョニングが構成されているか
• SSO非対応アプリに対する補完手段があるか

AxiPassがこの課題を支援します

AxiPassは、B2B SaaS運営者がセキュリティ審査で頻繁に受ける質問に対し、IdP一つの製品で一貫した回答を可能にします。OIDC/SAML 2.0 SSO、TOTPベースMFAポリシー、グループ単位アクセス制御、自動監査ログ、SCIM 2.0プロビジョニングが一つのプラットフォームに統合されているため、審査回答ごとにシステム別に回答を集める作業を減らせます。

セキュリティ審査対応に必要な機能を直接確認したい方は無料で始めるから体験いただけます。エンタープライズ顧客の要件に合わせた構成が知りたい場合は導入相談までお問い合わせください。