SSO導入後に何を測るべきか？SaaSのセキュリティ指標5選
SSOの導入数だけでは効果を説明できません。アプリのカバー率、MFA適用率、アカウント停止時間、例外アカウント、認証失敗率の測り方を解説します。
SSOを接続すると、プロジェクトは完了したように見えます。しかし、実際のセキュリティ効果は「SSO対応アプリが何個あるか」ではなく、「業務アクセスをどこまで一元管理できているか」に表れます。AI機能を備えたSaaSやリモートワーク向けツールが増える一方、一部の主要アプリだけをSSOにつなぎ、残りを個別パスワードに任せる運用上の空白も広がっています。
SSOの指標は速度計のようなものです。設置自体が目的ではなく、どこから管理が抜け落ちているかを見つけるために使います。次の5項目をテナントとアプリ単位で追跡すると、導入効果をセキュリティ部門や顧客へ明確に説明できます。
測定すべき5つの指標
1. SSOの件数ではなくアクセスのカバー率を見る
SSOカバー率とは、業務アプリ全体のうち一元認証を経由するアプリの割合です。単純な件数だけでなく、利用者数と重要度も反映します。全社員が使うコラボレーションツールや、機密性の高い顧客データを扱う管理ツールは優先度が高くなります。
OIDCやSAML対応アプリは標準SSOで接続し、標準連携が難しいWebアプリはSWAでアクセス経路を管理できます。それぞれの役割はSSO非対応アプリの自動ログインをご覧ください。ただし、SWAはSSOプロトコルの代替ではなく、カバー範囲の空白を減らす補完手段として区別する必要があります。
2. MFA適用率と例外を一緒に測る
「全社でMFAを有効化」という宣言だけでは不十分です。実際のログインにMFAポリシーが適用された割合、管理者や高リスクグループの適用率、免除アカウント数と期限を確認します。復旧用や緊急用のアカウントが恒久的な例外にならないよう、所有者と利用記録も点検しましょう。基本構造はTOTPを使ったMFAガイドで解説しています。
3. アカウント停止までの時間を分単位で確認する
退職や契約終了が登録されてから、アプリへのアクセスが遮断されるまでの時間を測ります。平均値だけでは遅い例外が隠れるため、中央値、最大値、基準時間を超えた件数を併記します。SCIMで無効化とグループ権限の解除を自動化すれば、手動チケットによる遅延や漏れを減らせます。詳しくは退職者アカウント回収の自動化をご覧ください。
4. 管理外アカウントと長期例外を減らす
共有アカウント、ローカル管理者、SSOを迂回するアカウントなど、IdP外で認証されるアカウントを一覧化します。それぞれに業務上の理由、所有者、最終確認日、終了日を設定します。例外の総数だけでなく、期限切れ例外の割合を追うことで改善状況が見えるようになります。
5. 認証失敗をセキュリティと可用性に分ける
ログイン失敗の増加が、すべて攻撃を意味するわけではありません。パスワード誤り、MFA失敗、無効ユーザー、SAML署名エラー、ポリシー拒否を分類すると、攻撃の兆候と設定障害を素早く切り分けられます。変更前後の失敗率と影響を受けたテナントを監査ログで確認し、急増時の対応手順につなげましょう。
ダッシュボードより反復できる運用が重要
毎月同じ基準でアプリのカバー率、MFA、停止時間、例外、失敗率を確認し、担当者と目標値を決めます。AxiPassは、SaaS企業が顧客ごとのOIDC/SAML SSO、SCIMプロビジョニング、MFA、SWA、グループポリシー、監査ログを一元運用できるよう支援します。接続数だけでなく、実際の管理範囲を測るIdP運用を始めましょう。