今、自社のシステムにクラウドを導入していない企業はほとんどないだろう。目まぐるしく変化するビジネス環境に対応し、利用者のニーズを満たすためには、クラウドの利活用が不可欠だ。総務省が公開した「平成30年版 情報通信白書」によると、クラウドサービスを利用している企業の割合は56.9％で前年から10ポイント上昇しているものの、未だ高いとは言えない数値で着地している。では、その原因はどこにあるのか。もっとクラウドを利活用するために、企業は何をすべきなのか。独立系IT調査・ コンサルティング会社でプリンシパルアナリストを務める甲元宏明氏に、企業がクラウドを活用するうえで必要な要素について話を聞いた。
汎用業務はSaaSの活用が大前提
ZDNet Japanは2019年9月、読者を対象に、「SaaSの利用動向と課題」に関するオンラインアンケートを実施した。
調査の結果、もっとも積極的にSaaSを活用している領域には、メールやスケジュール共有などのコラボレーション系ツールが挙げられた。この結果について甲元氏は、「ビジネスの差異化・競争力強化に関係ない汎用的な業務アプリケーションは、SaaSの利用が当たり前になっている」とし、その背景を以下のように指摘する。
※クリックすると拡大画像が見られます
「グローバル化するビジネス環境に対応するためには、素早い情報共有は不可欠だ。また、働き方改革の一環として、バックオフィス系アプリケーションは、リモートワークやモバイルデバイスへの対応が求められている。そうしたアプリケーションをゼロから自社開発するのは現実的ではない。ノートPCの紛失／盗難による情報漏洩防止対策といった観点からも、今後、SaaSの利用が進むことは間違いない」（甲元氏）
SaaS導入で重要なのは、「何の目的でSaaSを利用するか」を明確にすることだ。そのためには既存業務を棚卸し、業務上の課題を可視化して関係者で共有する必要がある。そのうえで、課題解決には何が最適なのかを考え、自社のセキュリティガイドラインを参照しながら、最適解となるSaaSを選択する。その際に留意すべきは「既存の業務プロセスに固執せず、『業務の全体最適化』を鳥瞰的にとらえ、DX（デジタルトランスフォーメーション）の視点から経営層がリーダーシップを発揮してあるべき姿を描き示し、結果にも責任を負って改革していくこと」（甲元氏）だという。
「多くの日本企業は、業務プロセスの細部分にこだわりすぎる。ユーザー部門がインタフェース（UI）を変更することを嫌がり、それを受け入れてコストと手間をかけてソフトウエアをカスタマイズする企業は多い。しかし、そのカスタマイズが組織全体にとって本当に業務上必要なのかを見直す必要がある。自社独特の業務プロセスに固執してSaaSをカスタマイズしても、SaaS側は市場全体の状況に呼応して常に進化する。SaaSベンダーが機能追加や改変をすれば、カスタマイズした機能は利用できなくなる」（甲元氏）
甲元宏明氏
クラウド普及の足かせは「セキュリティ」と「社内審査」？
アンケートでもSaaS導入の懸念として自由回答で多く挙げられたのは、「カスタマイズの制限」「データ連携」「セキュリティの確保」だった。
カスタマイズの制限を懸念しているユーザーに対して甲元氏は、「ありものを使う」「足りない機能があれば他のSaaSで補う」というマインドセットが必要だと指摘する。前述したとおり、下手にカスタマイズをしてしまえば、SaaS側の機能改変時にさらなるカスタマイズが必要になるだけでなく、外部システムやSaaS間でのデータ連携ができなくなるからだ。「複数のSaaSを利用することが大前提の現在は、むしろAPI（Application Programming Interface）連携がマストだ。API連携ができないSaaSを選ぶこと自体、再検討の必要がある」（甲元氏）
現在、「データ駆動型ビジネス」への転換の重要性が指摘されている。さまざまなデータをリアルタイムで連携させて分析し、インテリジェンスとして活用することで競争力を強化するデータ駆動型ビジネスでは、データ連携が必須だ。この時に重要なのは、「APIでデータ収集できるSaaSであること」だ。こうした視点が欠落した状態でサービスを選択すると、改修や運用に人的リソースを割かなければならなくなる。
一方、セキュリティに対する懸念は、「外部ネットワークを利用することで発生するリスクに対する不安」だ。しかし、サイバーリスクの可能性は、クラウド環境でもオンプレミス環境でも存在する。特にメガクラウドと呼ばれる事業者は、高レベルのセキュリティ対策を実施している。むしろ、セキュリティリスクが高いのは、クラウド環境よりもオンプレミス環境だ。
クラウド環境で発生するセキュリティインシデントや情報流出のほとんどは、ユーザー側のミスに起因する。具体的には、認証やアクセス権の設定ミス、アカウントの漏洩などである。多くの不正アクセスは、組織内の人間による犯行だ。こうしたインシデントは、ユーザー企業側がクラウド上で適切なレベルのセキュリティ対策と正しいアクセス権限を付与していれば回避できる。
さらにアンケートでは社内的な課題も明らかになった。それは、「社内でクラウド事業者の選定基準を明確化していない」「IT部門のセキュリティ基準／審査が厳しい」といったことだ。
これについて甲元氏は、「経済産業省や総務省はクラウドセキュリティガイドライン活用ブックを発行している。また、さまざまな機関がクラウドセキュリティに関する基準を設けている。こうした情報を参考にするなど、ユーザー企業側でも事前の調査が必要だ」と指摘する。
甲元氏は、「クラウドはIaaS（Infrastructure as a Service）、PaaS（Platform as a Service）、SaaSの各レイヤーで留意すべきセキュリティポイントは異なる」と説明する。それを考慮せずにIT部門が一律の基準で審査をすれば、IT部門が管理していないSaaSやストレージサービスなどの利用――ShadowIT――が増加してしまう。
ビジネス部門は、IT部門の審査を「足かせ」と感じてしまう。その結果、ShadowITが乱立する。甲元氏によると、IT部門が許可したSaaSが20だったのに対し、ShadowIT のSaaSは2000にも上った企業もあるという。
「IT部門の役割は、ITの側面からビジネスを支援することだ。ビジネス部門の課題やニーズを理解せずに、セキュリティの観点だけでクラウド利用の『許可／却下』を判断すれば、ShadowITが増加するだけだ。IT部門は、『どの部門が』『何を目的に』『どんなSaaSを』使いたいのかを明確に把握し、アクセス権の設定など、ユーザー管理を徹底する必要がある。ただ、そのためには一定のコスト負担がかかる。また、クラウドのリターンを実感するには時間を要する面も中にはあるが、経営層が未来のビジネスのための投資として決断することも必要になるだろう。」（甲元氏）
ビジネスの変化に対応できるシステム構築を
IT部門がクラウド導入を検討するPaaSやIaaSは、SaaSの導入ポイントとは着眼点が異なる。甲元氏は、「PaaSやIaaSは『スピード』と『俊敏性』、そして作業を削減するという意味での『自動化』に長けているかが差異化のポイントだ」と指摘する。
「たとえば、ビジネス部門で利用するアプリを作成する場合、これまでは3ヶ月を要していたものが、PaaSを活用すれば3日で完成させられる可能性もある。IaaSやPaaSであれば開発環境を準備したりITリソースの割り当てを変更したりする手間がないからだ。特に米国のベンダーと戦うためには、スピードを味方につける必要がある。日本でもスタートアップのデジタルネイティブ企業では、あたりまえのようにクラウドを活用し、差異化を図っている」（甲元氏）
イノベーションやビジネスの差別化に直結するためにはPaaSの活用が不可欠だ。独自アプリを制作していち早く市場にリリースし、利用者からフィードバックをもらいながら改善を繰り返す。甲元氏は「細かい部分にこだわって顧客が必要なタイミングを逃したら、『顧客に付加価値を提供する』というビジネスの大原則を損ねてしまう」と指摘する。
特にいち早くサービスを提供することが求められるSaaSベンダーにとっては、管理・運用の手間が少なく、「スクラップ＆ビルド」でサービスを開発できるインフラ／プラットフォーム環境が不可欠だ。
たとえば、Webブラウザ向けのSaaSをスマートフォンやタブレット端末向けに作り直したり、サードベンダーが提供するアプリとAPI連携をしたりする際、開発環境から構築していたのでは時間がかかりすぎる。さらに、将来、データ駆動型ビジネスが主流になれば、ビジネスの変化に柔軟に対応できるシステムが必須となる。甲元氏は、「今後、企業は『クラウドファースト』の文化を醸成していかなければならない」と指摘する。
「ビジネス部門、IT部門、そして経営層がクラウドのメリットと特性を理解する必要がある。クラウドの導入は各部門の垣根を越えて協力する必要がある。そのためには、経営層がイニシアチブを取り、トップダウンで『俊敏性』『柔軟性』『継続性』の観点からクラウド活用の最適解を指南しなければならない。現行のやり方とシステム維持に固執していては、競争力をなくす」（甲元氏）
「熱血！クラウド活用塾～ここから始まるクラウド上級者への道」もぜひご覧ください。
