ISO/IEC 19770-1で読み解くSAM運用の実務

検索トレンドでも「sam」が目立ついま、企業のソフトウェア資産管理（SAM）への関心が高まっています。2026年現在、SaaSの普及やサブスク化、監査の厳格化が進み、放置するとコスト超過やコンプライアンス違反につながりやすい状況ですね。本記事ではSAM（Software Asset Management）を実務者目線で整理し、今日から改善できる観点をまとめます。

目次

1. SAMの定義と適用範囲
2. 2026年のライセンス環境の変化
3. フレームワークと標準の要点
4. 実務の進め方（8ステップ）
5. 監査・コンプライアンスでの注意点
6. ツール選定の観点
7. 私たちの取り組み
8. 締めくくりとこれから

1. SAMの定義と適用範囲

SAMは、ソフトウェアの取得・配布・使用・保守・廃棄までのライフサイクルを管理し、コスト最適化とリスク低減を両立する取り組みです。オンプレだけでなくSaaS、仮想化、VDI、BYOD、クラウド上のBYOLまで対象が広がります。重要なのは「技術」と「契約・権利」の両輪で考えることです。

2. 2026年のライセンス環境の変化

• サブスクと従量課金の併存で「使い過ぎ」と「権利不足」の両リスクが増加
• 生成AIや開発者向けSaaSの拡大でアカウント肥大化が起こりやすい
• ハイブリッド環境で端末・ユーザー・仮想リソースのカウント基準が複雑化

3. フレームワークと標準の要点

• ISO/IEC 19770-1: SAMの要求事項。方針、役割、プロセス、記録を体系化
• ISO/IEC 19770-2: SWIDタグで製品識別を標準化
• ISO/IEC 19770-3: 権利（エンタイトルメント）情報の表現

これらをITAMやFinOpsと連携し、コスト管理と技術運用を接続すると運用が安定します。

4. 実務の進め方（8ステップ）

1) スコープ定義（対象ベンダー・SaaS・拠点）
2) 台帳の初期整備（契約・請求・購買証憑の集約）
3) ディスカバリとインベントリ（端末・サーバー・SaaSログ）
4) 名寄せ・正規化（製品名/エディション/バージョン）
5) 権利情報の整備（契約条件・利用許諾・免責条項）
6) 適合性算定（インストール/使用量と権利の照合）
7) 最適化（未使用アカウント解放、エディション適正化）
8) 定着化（ポリシー、教育、定期レビュー、KPI）

5. 監査・コンプライアンスでの注意点

• 監査通知時は範囲・方法・期限を文書で確認
• 監査用データは取得手順を固定し、再現性を担保
• ベンダー別の計測ルールに留意（例: Microsoft、Oracle、Adobe などは算定基準が異なります）
• ソフトウェアの再配布や二次利用の可否は契約原本で確認

6. ツール選定の観点

• ディスカバリ範囲（物理/仮想/クラウド/SaaS）
• SKU辞書と識別精度、更新頻度
• API連携（IDaaS、ITSM、CMDB、ERP、FinOps）
• 利用実態の可視化（ログイン/使用時間/機能利用）
• 監査レポートの粒度とエクスポート性
• 証跡保全と権限管理（分離統制）

7. 私たちの取り組み

私たちは、まず「権利」と「使用」のデータ品質を高めるところから着手します。台帳とディスカバリの突合を定期ジョブ化し、差分の原因追跡を習慣にします。加えて、部門横断の承認フローを短縮しつつ、休眠アカウントの自動検知と回収を仕組み化することで、コストとリスクの両面で着実な改善を目指しています。

8. 締めくくりとこれから

SAMは単発の棚卸しではなく、継続運用が価値を生みます。2026年以降は、タグ標準の活用、ポリシーのコード化、AIによる名寄せ支援、FinOpsとの連動で、可視化から自動最適化へ進む流れが強まりそうです。まずは重点ベンダーとSaaSから範囲を絞り、上記8ステップを回し始めることが、現実的で効果的な一歩になります。