そのIDaaS、「入れただけ」になっていませんか？SCS評価制度の審査で問われる「ID基盤の再設定・再活用」とGluegent Gate

多くの企業でIDaaSが導入されている一方で、その実態は「社員が複数のクラウドにログインしやすくするための利便性ツール（SSO）」にとどまっているケースが散見されます。

SCS評価制度が求めているのは利便性ではなく、「厳格なアクセス統制と客観的な監査証跡」です。そのため、「導入済みだから大丈夫」と高を括っていると、以下のような実態が審査で露呈し、不適合となるリスクがあります。

• MFA（多要素認証）が「任意」のまま放置されている
  全社展開時の反発や設定の手間を懸念し、役員や一部社員がパスワード単体でログインできるようになっている。
• 管理者権限が属人化・過剰付与されている
  情報システム部門の複数名で全体管理者（グローバル管理者）を共有していたり、退職者・異動者の特権IDが削除されずに残存している。
• 「いつ・誰が・どこから」のアクセス制御ができていない
  私物端末や未許可ネットワークからのアクセスを遮断するポリシーが設定されておらず、認証基盤としての統制が効いていない。
• 申請・承認と「システムログ」が紐づいていない
  ワークフロー（またはメール）でのアカウント発行申請と、IDaaS側の操作ログが分断されており、審査官に突合証跡を提示できない。

つまり、求められているのは「新しいツールの購入」ではなく、「すでにあるID基盤を、SCS基準に適合するレベルへ引き上げる『再設定・再活用』」なのです。

2026年10月公表のガイドライン（★3・★4 自己評価等ガイド／要求事項・評価基準解説書）から、既存ID基盤の見直しにおいて必須となる評価基準を整理します。

• 【評価基準】管理者IDの付与・変更・削除並びにサーバ及びネットワーク機器の設定内容の変更を行う権限を業務上必要な役員、従業員、派遣社員及び受入出向者に限定すること。
• 【見直しのポイント】「管理者権限を持つユーザー一覧」を即座に出力できますか？ SCS基準では、権限付与の範囲を最小限に絞り込んでいるか、そして不要な権限が速やかに剥奪されているかが厳しくチェックされます。

• 【評価基準】外部から社内ネットワークへのアクセス、またはクラウドサービスへのアクセスにおいて、多要素認証（MFA）を導入・強制すること。
• 【見直しのポイント】「例外アカウント」の存在は許されません。社外からのアクセスや重要SaaSへのログインにおいて、パスワード認証を排除し、ワンタイムパスワード（OTP）やFIDO2/パスキーなどのMFAを「システム的に強制」できているかが問われます。

• 【評価基準】管理者IDの付与・変更・削除について申請・承認の手続きを定め、その記録（ログ）を適切に保管すること。
• 【見直しのポイント】★4の第三者評価では、実機のログ監査が行われます。「申請書の日時・内容」と「ID基盤上でアカウントが作成・変更された操作ログ」が完全に一致していることを証明できなければなりません。標準機能の短いログ保持期間（30日〜90日など）のままでは、過去の証跡提示に対応できないリスクがあります。

すでにあるMicrosoft 365やGoogle Workspaceの管理機能を使って設定を見直そうとした際、多くの情シス担当者が次の壁にぶつかります。

1. 上位ライセンスへのコスト跳ね上がり
   きめ細かな条件付きアクセス（端末証明書による制御や詳細なIP制限など）を実装しようとすると、全ユーザーの高額な上位プランへのアップグレードが必要になり、予算を圧迫する。
2. ポリシー設定の複雑化と運用ミス
   設定項目が多岐にわたり、正しくMFA強制やアクセス制御が効いているかの検証が難しく、設定漏れが生じやすい。
3. 監査ログの長期保管・抽出の工数
   標準機能ではログの保管期間が短く、審査用に1年分以上のログを蓄積・整形するには、SIEM連携やスクリプトでの定期エクスポートなど高度な運用設計が必要になる。

サイオステクノロジーが提供するクラウド型IDaaS「Gluegent Gate（グルージェントゲート）」は、現在利用しているMicrosoft 365やGoogle WorkspaceなどのID環境をリプレイスすることなく、「上からかぶせるゲートウェイ」として追加することで、不足しているSCS評価要件を一気に補完・強化します。

• Microsoft 365やGoogle Workspaceのライセンス体系を変更することなく、社外アクセス時のMFA強制、端末証明書による会社支給PCのみの接続許可、IPアドレス制限を柔軟に実装できます。
• FIDO2/パスキーや生体認証にも対応し、セキュリティ強度を高めながらユーザーの利便性を損なわない運用を実現します。

• 散在する各種SaaSへの認証・認可をGluegent Gateに集約。
• 退職者や休職者が発生した際も、Gluegent Gate側でステータスを無効化するだけで、連携するすべてのクラウドへのアクセス権限をリアルタイムに一括停止できます。

• 管理者によるIDの作成・変更・削除履歴、全ユーザーの認証成功・拒否ログをクラウド上に長期間安全に保管。
• SCS評価制度の審査（★3の専門家確認、★4の技術検証）において、審査官からログ提示を求められた際も、検索・抽出してエビデンスとして即座に提出可能です。

SCS評価制度への対応において、まったく新しいセキュリティ製品を一から選定・導入し直す必要はありません。

すでに社内に根付いているID基盤をベースに、「どこがSCS基準に不足しているのか」を棚卸しし、適切なセキュリティポリシーの再設定と、足りない統制機能をGluegent GateのようなIDaaSで補完することが、最も手戻りが少なく、コストを抑えた最短の適合ルートです。

2027年3月の申請受付開始に向け、まずは自社の「現在のID管理設定」がSCS基準に耐えうる状態になっているか、点検を始めてみてはいかがでしょうか。