SaaSに預けたデータは本当に安全か——提供者側の情報漏洩リスク
2026年5月、国内の大手クラウド会計サービスがGitHubへの不正アクセスを受けた事件は、最終的に約6.2万人分のデータが流出した可能性があることが6月の調査完了で判明しました。この事件で注目したいのは、直接の原因が「開発用GitHubの認証情報の漏えい」だったという点です。会計ソフトの利用者として、自分がどれだけ気をつけていても、関与できない部分で起きた出来事でした。
クラウド会計サービスの事件が示した「SaaSの構造的リスク」
今回の事件では、顧客データを格納している本番データベースへの不正アクセスはなかったと公式に発表されています。それにもかかわらず、開発用リポジトリ（プログラムの設計図を保管する場所）に含まれていた個人情報が流出した可能性があるとされました。
つまり「本番の顧客DBは守られていた」としても、開発インフラに個人情報が含まれていたのは、SaaSを提供する企業の内部管理の問題です。利用者がいくら丁寧にパスワードを管理し、設定を正しく行っていたとしても、この事態を防ぐことはできませんでした。
SaaSのリスクは「利用者のミス」だけではない
SaaSを使う際のセキュリティリスクとして、よく挙げられるのは次のようなものです。
- 社員がパスワードを使い回している
- 共有設定を誤って「社外公開」にしてしまった
- 退職した社員のアカウントを停止し忘れた
これらはすべて「利用者側の問題」です。注意を徹底すれば防ぐことができます。
ところが、今回の事件が示したのは、まったく別の種類のリスクです。SaaSのサービスを動かしているのは、提供者のサーバーや開発インフラです。そこに脆弱性があったり、認証情報が漏えいしたりすれば、利用者のデータが危険にさらされる可能性があります。そして利用者は、提供者の内部的なセキュリティ体制を直接確認することも、コントロールすることもできません。
中小企業が「提供者のセキュリティ」を評価するのは難しい
大企業であれば、SaaSを導入する前にセキュリティチェックシートをベンダーに送付し、体制を評価するプロセスを設けることができます。しかし、IT担当者がいない中小企業では、そのような対応は現実的ではないのではないでしょうか。
「有名なサービスだから安心」「大手も使っているから大丈夫」という判断は自然な考え方です。ただ、今回の事件は規模の大きな有名サービスでも、提供者側のインシデントが起きうることを示しています。どれだけ信頼のおけるSaaSを選んでいても、提供者側の問題は利用者の努力では補えません。
情報漏洩が起きたとき、利用者企業に何が起きるか
利用しているSaaSで情報漏洩が発生した場合、利用者企業には次のようなことが起こりえます。
- 顧客への説明責任：漏洩した情報に自社の顧客データが含まれていた場合、自社でその顧客に説明しなければならない可能性があります
- 業務の一時停止：今回の事件では一時的に銀行口座連携機能が停止されました。利用者企業はその間、その機能を使えなくなります
- 信頼への影響：漏洩の原因が「提供者側の問題」であっても、顧客情報が含まれていれば利用者企業も無関係ではいられません
データの「置き場所」を見直す考え方
SaaSを全否定するつもりはありません。使い慣れたクラウドサービスには確かな利便性があります。ただ、今回の事件をきっかけに「自社の情報をどこに置いているか」を一度整理してみることは有益ではないでしょうか。
特に顧客情報・取引先情報・財務データのような重要な情報については、「クラウドに預ける」ことのリスクを改めて考える価値があります。提供者側のセキュリティ事故に巻き込まれるリスクを避ける方法の一つが、データを自社のサーバーで管理することです。
自社のサーバーにデータを置けば、SaaSプロバイダーのセキュリティ体制に依存する部分がなくなります。もちろん、自社でのセキュリティ管理も必要です——これがIT担当者のいない会社にとっての現実的な課題になります。
Orcinusは、チャット・ファイル共有・会計ソフトをワンクリックでインストールできる小型サーバーです。遠隔サポートが付いているため、情報システム部門がなくても安心して運用できます。「大切なデータを手元で管理したい」とお考えの会社の選択肢として、検討に値するものではないでしょうか。