ポイント: SaaSを採用することは、財務およびセキュリティの考慮事項をナビゲートすることを含みます。組織は、リスクを軽減し、基準への準拠を確保するために、セキュリティ管理とデータ主権のためにプロバイダーを審査しなければなりません。
- 重要な意思決定ポイントには財務の好みとセキュリティが含まれます。
- セキュリティ管理とデータ主権はSaaS採用にとって重要です。
ソフトウェアをサービス（SaaS）として採用する際には、考慮すべき多くの問題がありますが、意思決定プロセスは主に2つの主要な意思決定ポイントまたはゲートを通過します。最初は財務の好みに関するものです：CapExまたはOpEx。CapExは、オンプレミスアプリとその関連資本支出を選ぶことを意味します。OpExは、SaaSアプリとその従量課金モデルを選ぶことを意味します。
2つ目のゲートはセキュリティに関するものです。組織が自律的デジタル企業への進化を考える際、ビジネスの将来の状態として適応型サイバーセキュリティは必要不可欠な要素であり、クラウドはその柔軟性を考慮すると実現を助ける技術となります。このゲートを通過するには、SaaSプロバイダーを徹底的に審査し、ビジネスデータが組織にとって適切なセキュリティレベルを受けることを保証する必要があります。SaaSの魅力的な利点は、ますます多くの組織をクラウドに対する懸念を克服し、この2つ目のゲートに近づけています。
率直に言って、あなたの組織のセキュリティ担当者は2つ目のゲートの鍵を持っています。多くの場合、彼らはセキュリティ上の懸念からSaaSプロジェクトを遅延させたり、停止させたりする能力を持っています。
このブログでは、その2つ目のゲートとそれを解放するために必要なことに焦点を当てます。
SaaSセキュリティゲートには2つのチェックポイントがあります
2つ目のゲートを解放して安全に通過するには、2つのチェックポイントをクリアする必要があります：セキュリティ管理とデータ主権。
セキュリティ管理
セキュリティ管理は、新しい現実に適応することを要求します。SaaSを利用することで、あなたはセキュリティの制御を放棄し、SaaSベンダーの手に委ねます。ベンダーはもはやセキュリティポリシーの責任を負うことになります。この状況は、家を借りることと所有することに類似しています。あなたが家を所有しているとき、あなたは家のルールを設定します。家を借りるときは、家主がそれを設定します。たとえば、家主は、家に住むことができる人数を制限する場合があります。
この時点で、一般的な誤解を解消することが重要です。ある人々は、SaaSプロバイダー契約に署名することで、顧客組織がベンダー組織を支配する同じセキュリティポリシーに従うことに同意していると誤解しています。しかし、ベンダーのポリシーはベンダー組織にのみ適用され、顧客組織には適用されません。たとえば、ベンダーが支払いカード業界データセキュリティ基準（PCI DSS）に準拠しているからといって、顧客がそれに従う必要があるわけではありません。
データ主権
データ主権に関しては、あなたのデータがどこにホストされ、どこで処理され、誰がアクセスするかについて完全に把握する必要があります。それはシンプルに聞こえます。しかし、SaaSベンダーのデータセンターと人員は、通常、世界中のさまざまな場所に散在しているため、非常に複雑です。この複雑な状況では、次のことを確認する必要があります：
- データは、内部ポリシー、業界標準、または政府の規制によって許可されている地域内にのみ保存されます。
- データは、内部ポリシー、業界標準、または政府の規制によって許可されている地域内でのみ処理されます。
- データには、あなたの組織によって承認された人々のみがアクセスします。
チェックポイントをクリアする
重大なセキュリティ侵害は非常に目立ち、しばしば深刻な結果をもたらします。そのため、上級リーダーは通常、SaaSソリューションに対してセキュリティ担当者に強い拒否権を与えます。あなたがSaaSに行くためにOpExの決定を下した場合、摩擦を最小限に抑えつつセキュリティゲートを通過したい場合は、最初からセキュリティチームを巻き込むことが重要です。これにより、SaaS導入の努力を遅らせたり、停止させたりする高額な驚きを避けることができます。
賃貸契約に署名する前に、家主のルールを完全に理解するために条件を精査することが賢明であるのと同様に、SaaSのサブスクリプションにサインアップする前にも、ベンダー契約とセキュリティポリシーを確認して、期待できる保護レベルを把握する必要があります。あなたのセキュリティ担当者は、この努力において貴重なリソースとして機能することができます。彼らは何を探すべきかを正確に知っており、あなたのデータやサービスが危険にさらされないようにするために適切な質問をするのに役立ちます。
最初に行うべきことは、ベンダーに対して、ベンダーが遵守するセキュリティ基準のリストを要求することです。世界中には多くの異なる基準があり、地理や業界セクターに基づいています。以下に、より一般的なものを示します：
- ISO 27001（国際標準化機構）は、情報およびサイバーセキュリティのための世界的な認証基準です。
- HIPAA（健康保険の持ち運びとアカウンタビリティ法）は、患者の健康情報を無断で開示されないよう保護するための全国的な基準を作成することを要求するアメリカの法律です。
- 国家標準技術研究所（NIST）は、コンピュータセキュリティガイダンス情報のサイバーセキュリティポリシーフレームワークです。
- PCI DSS（支払いカード業界データセキュリティ基準）は、主要なカードプラットフォームからのブランドされた クレジットカード を取り扱う組織のための情報セキュリティ基準です。
- FedRAMP（連邦リスクおよび管理プログラム）は、アメリカの連邦機関によるクラウド製品およびサービスの購入と使用のためのサイバーセキュリティリスク管理プログラムです。政府機関は、FedRAMPの承認を受けたクラウドサービスプロバイダーとのみ協力できます。
ベンダーがあなたの状況に関連するすべてのセキュリティ基準に準拠していること、またベンダーのセキュリティポリシーがあなたの要求を満たしていることを確認する必要があります。たとえば、すべてのデータが特定の地域内で処理される必要がある、またはデータが特定の基準に従って暗号化されることを要求するかもしれません。
ベンダー契約、セキュリティ基準への準拠、およびセキュリティポリシーを確認した後、あなたはおそらく質問を持つことになるでしょう。この場合、セキュリティチームはベンダーのための質問票をまとめるのを手伝うことができます。多くのセキュリティチームは、自組織の特定の要求に合わせた質問票を持っています。そうでない場合は、オンラインで多くの質問票およびカスタマイズ可能な質問票テンプレートが利用可能です。
利点への進行
チェックポイントをクリアし、セキュリティゲートを通過したら、SaaSの実装を進める準備が整います。すぐに、シームレスなスケーラビリティや急速に変化する市場要件に対応するためのより大きな機動性など、SaaSの重要な利点を享受できるようになります。最も重要なことは、データが安全であると確信して進められることです。
SaaSへの移行について支援が必要な場合は、 こちらのフォームを記入してください そして、BMCカスタマーサクセスの専門家が連絡を取り、開始します。
これらの投稿は私自身の意見であり、BMCの立場、戦略、または意見を必ずしも代表するものではありません。