コリントン氏によると、技術的な側面ではID管理が課題になる。クラウドプロバイダーによってその扱い方が異なるからだ。「混乱に陥りやすいのはこの点だ。それがスタッフの負担になり、労働時間やリソースに影響が及ぶ。アクセスコントロールは基本中の基本なので、セキュリティ問題も生じかねない」と同氏。

　ID管理の方法はSaaSプロバイダーによって異なる。そのため「新しいサービスを導入するたびに場当たり的な導入をしていれば、いずれIDが積み重なった状態に行き着く」とコリントン氏は話し、次のように指摘する。

　「セキュリティが最優先課題だと言う場合、それが真に意味するところはアクセスコントロールだ。ID管理の方法が増えれば、そこから生じるリスクも増える。優れた手段もあればそうでもない手段もあり、その管理に一貫性がなければ、セキュリティリスクが生じる」

SaaSの混乱防止とSaaS戦略の確立

　影のITに関しては、「ムチよりもアメを探す方が大切だ」とゴールデン氏は語り、事業部門がIT部門を通してSaaSを導入するメリットを作り出すことを提言する。例えば、事業部門が金銭面の好条件を獲得できるようにIT部門が支援できることや、その事業部門にとって重要な法令順守をIT部門が支援できることを周知させるなどの方法があるという。

　「IT部門がルールを強要するよりも、会社の状況を利用してさらに改善できる方法を勧めることの方が実を結びやすい」（ゴールデン氏）

　ゴールデン氏はまた、事業部門と連携して、SaaSアプリケーション採用に向けた一貫性のあるアプローチの指針となる共通プロセスやチェックリストを作成するよう、IT部門にアドバイスする。「必要条件に詳しいIT部門が率先すべきだ。だが、事業部門の担当者とも連携すべきである。事業部門の人々は、『われわれに従わないのなら出て行け』といったIT部門の独善的な態度にうんざりしている。そうならないよう注意が必要だ」と同氏は話す。

　SaaS戦略には、ID管理を柱とする優れたエンタープライズアーキテクチャの導入も含まれる。「クラウドサービス活用の戦略を立てる場合、その戦略の結果として、複数のクラウドサービスを利用することになる可能性は大きい、あるいはほぼ確実といえる。その戦略をサポートできるよう、アーキテクチャ面で優れたID管理の方法を見つけ出さなければならない」と同氏。

　コリントン氏は「ID管理に関して重要なのは、現在どのように認証を行っているかを確認することだ」と言う。また、アプリケーションの取扱注意度やビジネスの重要性などをベースとして、認証条件を見極めるための分析を事前に実行するよう、組織にアドバイスしている。その上で、具体的なサービスを検討する際は、そのサービスと認証要件を照らし合わせ、既に導入している認証技術を利用する。「これは、社外のプロバイダーとのIDフェデレーション（IDの連携）を実現し、一貫した方法でID管理を実施するためのアプローチを取るチャンスだ」と同氏は話している。