SaaSのセキュリティに関する問い合わせには、まず質問の内容を「仕様確認」「運用・契約条件」「インシデントの疑い」に分類し、確認できた事実だけを回答します。特に、障害や情報漏えいの可能性がある問い合わせは、通常の営業・サポート対応で終わらせず、社内のセキュリティ担当者へ速やかに連携することが重要です。
SaaSのセキュリティ問い合わせに対応する基本手順
対応の基本は、問い合わせを受け付け、緊急度を判断し、事実を確認してから、根拠のある内容を回答することです。
-
問い合わせを記録する
受信日時、問い合わせ元、対象サービス、利用中のプラン、質問内容、影響を受けている可能性のある利用者やデータを記録します。電話や口頭で受けた場合も、後から確認できるように記録を残します。
-
緊急度を判断する
一般的な仕様確認なのか、認証情報の漏えい、第三者による不正アクセス、データ消失などの疑いがあるのかを確認します。インシデントの可能性がある場合は、回答を急いで断定せず、セキュリティ担当者や責任者へ連絡します。
-
質問を分類する
「どのような対策をしているか」「自社の利用条件で何が必要か」「事故が起きているか」など、質問の種類を分けます。分類すると、確認すべき資料や担当部署を判断しやすくなります。
-
確認できる資料を調べる
セキュリティホワイトペーパー、利用規約、契約書、サービス仕様書、障害・インシデント対応手順、監査報告書などを確認します。資料に記載がない内容は、推測で補わず「確認が必要」と扱います。
-
回答内容を確認する
技術担当者、法務担当者、個人情報やコンプライアンスの担当者など、質問に関係する部署へ確認します。事故の可能性がある場合は、通常の問い合わせ窓口だけで回答を完結させないことが大切です。
-
回答と追加確認事項を伝える
結論、根拠、適用条件、未確認事項、次の対応を分けて説明します。回答できない項目がある場合は、回答できない理由と、いつ・誰が・どのように確認するかを示します。
問い合わせを最初に分類する
同じ「セキュリティについて教えてほしい」という問い合わせでも、必要な対応は異なります。次のように分類すると、優先順位を付けやすくなります。
| 分類 | 質問例 | 主な対応 |
|---|---|---|
| 仕様・対策の確認 | 多要素認証に対応しているか、通信を暗号化しているか | 仕様書や公式資料を確認して回答する |
| 利用者側の設定・運用 | 管理者権限をどう分けるか、退職者のアカウントをどう停止するか | サービスの設定方法と利用者側の運用手順を案内する |
| 契約・監査・規制への対応 | 監査資料を提出できるか、データの保存場所を確認したい | 契約条件、対象プラン、提出可能な資料を確認する |
| 障害・インシデントの疑い | 不審なログインがあった、データが見られた可能性がある | セキュリティ担当者へ緊急連携し、事実確認と封じ込めを優先する |
回答前に確認する情報
セキュリティに関する回答は、対象や条件によって変わります。次の情報を確認してから回答すると、誤解や行き違いを防げます。
- 対象となるサービス名、機能名、環境
- 契約中のプランや契約条件
- 質問の対象となるデータの種類
- 利用地域やデータの保存場所に関する条件
- 対象となる利用者、管理者、外部連携先
- 問い合わせの目的と回答期限
- 発生日時、発生している現象、影響範囲
- すでに行った操作や対処
たとえば「暗号化されていますか」という質問では、通信中の暗号化を聞いているのか、保存データの暗号化を聞いているのかで確認項目が異なります。「誰が」「何を」「どの状態で」保護されるのかを分けて確認してください。
セキュリティ対策に関する回答で伝える項目
対策の有無だけでなく、対象、条件、利用者側の設定が必要かどうかまで示すと、相手が自社の判断に使いやすくなります。
認証と権限管理
次の点を確認して回答します。
- パスワード以外の認証方法に対応しているか
- 多要素認証を利用できる対象やプラン
- シングルサインオンに対応しているか
- 管理者権限を分けられるか
- 退職者や異動者のアカウントを停止できるか
- ログイン履歴や操作履歴を確認できるか
「多要素認証に対応しています」と回答する場合も、全利用者に自動適用されるのか、管理者が設定する必要があるのか、対象プランに制限があるのかを区別します。
データの保護
データについては、通信中と保存中を分けて説明します。保存期間、バックアップ、削除方法、データの持ち出しやエクスポートの可否も、契約条件やサービス仕様に沿って回答します。
「データは安全です」「完全に保護されています」のような表現は、具体的な条件が分からず誤解を招きます。代わりに、確認できる保護対策と、その適用範囲を明記してください。
脆弱性への対応
脆弱性に関する質問では、脆弱性の受付窓口、報告方法、調査の流れ、修正や告知の方針を確認します。個別の脆弱性について回答する場合は、調査前に「影響はありません」と断定しないことが重要です。
脆弱性の詳細をメール本文などで送るよう求めると、情報が拡散するおそれがあります。機密情報を含む場合は、定められた報告窓口や安全な共有方法を案内します。
委託先や外部サービス
クラウド基盤、認証サービス、決済サービスなどの外部事業者を利用している場合は、どの処理を委託しているか、契約上どの範囲を管理しているかを確認します。外部事業者の対策を、自社サービスが直接実施している対策のように説明してはいけません。
インシデントの疑いがある問い合わせへの対応
不正アクセスや情報漏えいの可能性がある場合は、通常の質問への回答よりも、被害の拡大防止と事実確認を優先します。問い合わせを受けた担当者だけで判断せず、あらかじめ定めたインシデント対応手順に沿って連携してください。
-
事実を聞き取る
いつ、どのアカウントで、どの画面やデータに、どのような異常があったのかを確認します。スクリーンショットやログがある場合は、取得時刻と取得方法も記録します。
-
影響を広げない
不正利用が疑われるアカウントの停止や認証情報の変更など、必要な対処を担当部署の指示で行います。証拠となるログを削除するおそれがあるため、独断で初期化やログ削除をしないよう注意します。
-
対応責任者へ連絡する
セキュリティ責任者、システム管理者、法務・コンプライアンス担当者などへ、確認できた事実を共有します。緊急度が高い場合は、通常の回答期限を待たずに連絡します。
-
一次回答を行う
調査中であること、現在確認できている事実、利用者に依頼する対処、次回の連絡予定を伝えます。原因や影響範囲が確定していない段階で、断定的な説明はしません。
-
調査結果を記録して報告する
原因、影響範囲、実施した対策、再発防止策を整理します。契約や関係法令に基づく通知が必要かどうかは、担当部署の確認を受けて判断します。
回答で避けたい表現
セキュリティの問い合わせでは、安心させる目的でも、根拠のない保証をしてはいけません。次のような表現は、対象や条件が不明確なため避けます。
- 「絶対に漏えいしません」
- 「完全に安全です」
- 「問題ありません」と調査前に断定する
- 「すべてのデータを暗号化しています」と対象を示さず説明する
- 「他社も同じ運用です」と根拠を示さず比較する
- 資料に記載がない内容を「対応しています」と回答する
代わりに、「確認した資料の範囲では」「対象プランでは」「現在調査中で、現時点で確認できている事実は」といった形で、回答の範囲と時点を明らかにします。
問い合わせへの回答文テンプレート
通常のセキュリティ質問には、次の順番で回答すると内容を整理しやすくなります。
結論：ご質問の機能は、対象のサービス・プランでは利用できます／利用できません。
適用条件：利用には管理者による設定が必要です。対象となる利用者や機能には、次の条件があります。
根拠：サービス仕様書、契約条件、セキュリティ資料の該当箇所を確認しています。
未確認事項：ご利用環境における設定状況や、貴社側の運用については、当社では確認できていません。
次の対応：管理画面の設定、契約プラン、対象ユーザーを確認してください。追加確認が必要な場合は、対象の環境と発生日時をお知らせください。
インシデントの疑いがある場合は、結論を急がず、次のように一次回答を分けます。
お問い合わせの事象を受け付けました。現在、対象アカウントと関連ログを確認しています。現時点で確認できている事実は、発生日時と対象機能です。原因および影響範囲は調査中のため、確定した内容としてお伝えできません。調査結果と次の対応について、確認できた時点でご連絡します。
対応品質を安定させる社内の準備
個々の担当者の経験だけに頼らず、問い合わせの受付から回答までを標準化しておくと、対応の抜け漏れを減らせます。
- セキュリティ問い合わせ専用の受付窓口を決める
- 緊急度とエスカレーション先を一覧化する
- 回答できる内容と、専門部署へ回す内容を定義する
- セキュリティ資料の最新版と適用範囲を管理する
- 顧客へ開示できる情報と開示できない情報を整理する
- インシデント発生時の連絡手順と連絡先を定期的に確認する
- 問い合わせ、確認結果、回答、再発防止策を記録する
資料を更新した場合は、どの時点からどの顧客やプランに適用されるのかも管理します。現在の仕様と過去の契約条件が異なる場合、質問の対象期間を確認してから回答してください。
まとめ
SaaSのセキュリティ問い合わせには、内容の分類、緊急度の判断、資料に基づく確認、条件を明示した回答の順で対応します。事故の疑いがある場合は、通常のサポート回答で終わらせず、セキュリティ担当者へ速やかに連携してください。
回答では、対策の有無だけでなく、対象となるサービスやプラン、利用者側の設定、確認できていない事項まで示すことが重要です。
