# SaaSとは

事業者が運用するソフトウェアを、インターネット経由でサービスとして利用する形態です。調達と保守は事業者側に移行する一方、業務を製品の標準に適合させる判断と、利用者と権限の管理は自社が担います。

## SaaSとは

SaaS（Software as a Service）は、事業者が運用するソフトウェアを、インターネット経由でサービスとして利用する形態です。
利用者はアプリケーションを自社の設備に導入せず、ブラウザや専用のアプリから操作します。
サーバーやOSの管理は事業者側にあり、利用者が管理するのは自社のデータ、利用者アカウント、権限、利用者ごとの設定です。
SaaSは事業者が複数の利用者に同じソフトウェアを提供する形態が中心です。[複数の利用者が同じ資源を共有する](https://nvlpubs.nist.gov/nistpubs/legacy/sp/nistspecialpublication800-145.pdf)ことが、初期費用の低さとカスタマイズの制約の両方の原因になります。

クラウドサービスは利用する範囲によって3つに分類されます。
サーバー、ストレージ、ネットワークなどの基盤を利用するのがIaaS（Infrastructure as a Service）です。
アプリを稼働させる環境まで利用するのがPaaS（Platform as a Service）、完成した機能を利用するのがSaaSです。
SaaSは利用者の管理範囲が最も限定的で、設備を保有せずに業務の機能だけを利用する形です。

![オンプレミス、IaaS、PaaS、SaaSの4つの形態ごとに、アプリケーション、OSとミドルウェア、サーバーと設備、利用者ごとの設定のうち自社が管理する範囲を塗りで示す図。SaaSでも利用者ごとの設定だけは自社が管理する](https://media.marketing.kdotdev-tunnel.org/glossary-saas-b4dad2bea57849c07b4b4dc1d606be0f7965432a9bff148a38d83e3ef987e9d2.png)

2024年にクラウドサービスを利用する企業は[80.6%](https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r07/html/nd111210.html)です。SaaSに限った数字ではありません。

主な用途は[ファイル共有、電子メール、給与・財務会計](https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r07/html/nd111210.html)です。これらは[業務で利用するSaaSの代表例](https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_cloudservice.pdf)です。

## なぜ必要か

ソフトウェアを自社で保有する場合、サーバーの調達、OSやデータベースなどの基盤ソフトの構築、バージョンアップ、セキュリティ更新、障害対応を担います。
数十人の規模でもこれらの作業は発生し、専任の担当者がいない会社では他の業務と並行して処理することになります。
設備の更新時期が来るたびに、調達と移行を再検討します。

SaaSはこの調達・運用・保守を事業者側に移管します。
クラウドサービスの利点は[ITの調達、運用・保守、セキュリティ対策の負担の軽減](https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_cloudservice.pdf)です。

| 担当 | 内容 |
|---|---|
| 自社 | どの業務で利用するかの決定、契約条件の確認、利用者と権限の管理、情報の重要度の分類 |
| サービス事業者 | 基盤の保守、セキュリティ更新、機能の追加、データの返却と削除 |

## 調達と構築が不要になる

- サーバーの調達と構築が不要になり、契約から利用開始までの期間が短くなる
- 機能の追加と改善が継続的に提供され、自社で改修しなくても新機能を利用できる
- 端末と場所を限定せず、社外からも同じ画面で業務ができる
- 最低契約数や年契約の制約がなければ、利用者の増減に対応して契約数を変更できる

![自前で構築する場合は選定、調達、構築、設定、データ移行、テスト、稼働の7工程が必要で、SaaSでは調達と構築がなく、選定、契約、設定、データ移行、テスト、稼働の6工程になることを示す図](https://media.marketing.kdotdev-tunnel.org/glossary-saas-05222f7586963757fd27bfea82d9edb7e1329960fab9ff440298c182a9427abc.png)

## 利用料と設定に負担がかかる

- 月額の利用料が利用者数に応じて増加することが多く、人数と契約数が想定を超えると運用経費が増加する
- 業務を製品の標準に適合させる必要があり、独自の承認手順や請求書の様式は、設定で吸収できない場合に業務の変更を余儀なくされる
- 設定の変更、アカウントの棚卸し、外部共有の点検、提供元への問い合わせに管理者の工数が継続して発生し、仕様変更の通知と再設定の範囲も契約時に確認する
- データが自社の管理範囲外に保存されるため、保存先の国と地域、サービス事業者がさらに委託する再委託先、解約時の返却と削除を契約で確認する必要がある
- 設定の不備による情報漏えいは[事業者と利用者の責任分担の問題](https://www.soumu.go.jp/main_content/000843318.pdf)であり、役割の共通認識と利用者側の設定管理が必要になる
- サービス終了、買収、値上げのリスクがあり、稼働実績と継続的な投資の状況を選定時に確認する
- 基幹システムとの連携は連携用のAPI（Application Programming Interface）が公開されているか、データを一括で出し入れできるかで費用が異なる

![自社のデータがサービス事業者と再委託先の設備に保存され、解約時は契約に基づいてサービス事業者が自社へ返却し、再委託先からは削除される流れを示す図](https://media.marketing.kdotdev-tunnel.org/glossary-saas-36ba1bb7e4b31b3158c67b5b05e25151b1ee61d856144b92f6da90bbf1005578.png)

## この業務をSaaSで対応してよいか

政府情報システムでは[開発量の削減の観点からSaaSを幅広く優先的に利用する](https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/a612d406/20250619_resources_standard_guidelines_guideline_08.pdf)ことが基本方針です。同時に、無条件の推奨ではなく、ライフサイクルコストの観点から効果を評価することを求めています。

![業務が標準手順なら標準機能を利用し、標準に適合させても成立しなければ自社で構築するか製品を選択する分岐を示す図](https://media.marketing.kdotdev-tunnel.org/glossary-saas-7fad686a5d43cb5aea1e234bbf01c9271fab55c66b74f451ea42a4f2e55acdab.png)

数十人から100人程度の規模で、業務が法令と商習慣で規定されているなら、SaaSで十分な場合が多いです。
SaaSでは要件を充足しにくいのは、承認の分岐が自社固有の業務と、請求書の様式が取引先ごとに異なる業務です。さらに、外部に保存できない情報を含む業務、閉域網や専用線が前提の業務、連携が複雑な業務、停止時の影響が重大な業務でも、要件を充足できないことがあります。

判断の段階では機能の比較より先に、解約時のデータ移行と保存先を確認します。

### 業務が標準の手順に準拠するか

会計、給与、勤怠などの定型業務は、法令や商習慣で手順が規定されています。標準機能で十分な範囲が広範です。

逆に、受注の判断基準が自社固有の業務、複数のシステムを対象とする承認がある業務、請求書の様式が取引先ごとに異なる業務は、標準に適合させると品質が低下します。この場合は自社で構築するか、パッケージ製品を選択します。

### 5年の総額で比較する

料金は利用者数、機能の数、処理量のいずれで課金されるかで総額が異なります。総額に影響するのは最低契約数と年額の前払いの有無です。
1人あたり月額3,000円の製品を100人で5年利用すると、利用料は約1,800万円です。導入時の設定、データ移行、受入テスト、教育の費用を加算し、自前で構築した場合の初期費用と5年分の運用費を同じ期間で比較します。

### アカウントと共有の設定を誰が管理するか

利用者の追加と削除、退職者のアカウントの停止、外部共有の初期設定、バックアップからの復元について、部門と情報システム部門のどちらが行うかを決定します。
全社のID基盤と連携できるか、多要素認証に対応するかも確認します。
部門が独自に契約すると情報システム部門が把握しないまま利用率とリスクが増加するため、契約前の届出先を決定します。

### 解約時にデータを復元できるか

データの移行は契約の時点で確定します。
利用終了時は[全データの返却、データの互換性と移植性、残留データの消去](https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_cloudservice.pdf)を確認項目にします。
契約前に、出力できる形式、期間、費用、消去の証明を提供元に確認します。
データを移行できなければ他製品への切り替えができなくなり、値上げを容認するしかありません。これがベンダーロックインです。

### 可用性とサポートの最低線

稼働率99.9%は月に約43分、99.5%は月に約3.6時間の停止に相当します。目安として、給与、会計、受注のように業務の停止に直結するものは、99.9%と、障害時に何時間でどこまで復元するかの目標を求めます。
社内の情報共有やファイル共有は、99.5%と翌営業日までの復旧で十分です。
計画停止は30日前の通知、問い合わせは営業時間内の回答を最低線にします。
SLA（Service Level Agreement）は、稼働率や復旧時間について事業者と合意する水準です。補償は利用料の減額が中心で、停止による損害は対象外の場合が多いため、補償の範囲と免責を契約前に確認します。
稼働率や復旧目標の提示がない製品は、基幹業務の停止リスクを避けるため、選定の候補から除外するほうがよいです。

### 確認を省略できる業務

個人情報を含まず、外部のシステムとも連携しない社内ツールや、試作の段階では、保存先の国と地域やSLAの細目まで求めなくてよいです。
機密情報を含む場合は個人情報でなくても保存先を確認します。

## よくある誤解

### SaaSはデータを事業者に譲渡すること

データが事業者のものになるわけではありません。扱いは契約で規定され、移行、削除、サービス改善への利用の範囲もそこで確定します。

### SaaSはカスタマイズできない

API、スクリプト、ローコードなど、提供元が用意した拡張の範囲では変更できます。その範囲を超えて、画面と処理を自由にコードで変更できません。