アクセス管理システム開発の発注/外注/依頼/委託方法について

アクセス管理システムの発注は、IDaaSを契約するだけでなく、対象ユーザー・業務システム・権限・運用責任を整理してから、標準機能で足りない連携だけを開発委託する進め方が適切です。

「どこまでを製品でまかない、どこからを外注するのか」「見積書の金額をどう比較するのか」「導入後にベンダーへ依存しすぎないか」と悩む担当者は少なくありません。この記事では、アクセス管理システムを発注・外注・委託するときの形態選び、RFPと要件整理、契約形態、費用相場、委託先の選び方、見積比較のポイントを順に解説します。なお、ここでいうアクセス管理は、従業員・取引先・顧客のID、認証、認可を扱う論理アクセスを指します。カードリーダーや電気錠を使う入退室管理は、機器・施工・現地保守が加わる別の見積体系です。

▼全体ガイドの記事
・アクセス管理システム開発の完全ガイド

アクセス管理システムを発注する前に知っておきたい全体像

アクセス管理システムは、ログイン画面を一つにまとめるだけの仕組みではありません。誰が、どの端末や場所から、どのシステムの、どの操作まで利用できるかを管理し、入社・異動・退職や委託期間の終了に合わせて権限を変えるための基盤です。発注時は認証だけでなく、認可、IDライフサイクル、監査ログ、運用体制までを一つの範囲として考える必要があります。

認証は本人確認であり、パスワード、MFA、パスキー、生体認証などが該当します。一方、認可は本人が確認された後に、どのデータや操作を許可するかを決める仕組みです。たとえば営業担当者が顧客情報を閲覧できても、給与情報の出力や権限変更はできないようにするのが認可です。RFPには「SSOを導入する」とだけ書かず、部署・役職・雇用区分・契約期間・端末状態・接続元IP・時間帯など、許可条件を記載する必要があります。

発注対象には、IDの登録・変更・削除、組織情報との連携、SAMLやOpenID ConnectによるSSO、SCIMなどによるプロビジョニング、権限申請・承認、特権IDの一時利用、アクセスレビュー、操作ログの保存を含めます。個人情報保護委員会のガイドラインは、個人データを扱う担当者と範囲を限定するアクセス制御、アクセス者の識別と認証を技術的安全管理措置として示しています（出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、2026年確認）。製品機能の比較だけでなく、権限を誰が承認し、退職時に誰が停止を確認するのかまで決めておくことが重要です。

アクセス管理システムの発注形態はどれを選ぶべきですか？

結論として、SaaSが中心で標準コネクタを使える企業はIDaaSの導入支援を委託し、複雑な業務ルールや古いオンプレミス連携がある企業はSIerや開発会社に統合設計まで依頼する形が適しています。自社サービスの顧客認証や独自の認可モデルを持つ場合は、既存の認証基盤を活用しながらAPIとアプリ側を開発するハイブリッド方式が現実的です。

Microsoft 365、Google Workspace、Salesforce、BoxなどSaaSが主な対象であれば、HENNGE One、Microsoft Entra ID、Okta、CloudGate UNOなどの既製サービスを選び、初期設定・アプリ連携・ユーザー移行・管理者教育をパートナーへ依頼できます。短期間でMFAやSSOを始めやすく、脆弱性対応や機能更新を自社だけで抱えずに済む点がメリットです。ただし、最低契約数、初期セットアップ費、連携対象外のアプリ、障害時の代替認証、データ返却条件は、契約前に確認する必要があります。

複数会社の人事制度、Active Directory、オンプレミス業務システム、独自の権限申請、監査対応をまとめたい場合は、要件定義・基本設計・連携開発・移行・運用設計までをSIerや開発会社へ委託します。NRIのようにIAM全体構想や複数製品を扱う会社、SCSKのように業務連携や権限管理を組み合わせる会社を候補にできます。選定時は「製品を販売できるか」よりも、異動・退職・委託先終了といった自社の業務イベントを権限に反映できるかを確認します。

顧客向けサービスでテナントごとに権限が異なる、APIごとに細かな認可が必要、契約期間に応じて利用範囲を変えるといった場合は、認証基盤をゼロから自作するのではなく、標準のID基盤とアプリケーション側の認可ロジックを分担させます。パスキー、セッション管理、アカウント復旧、レート制限、監査ログまで自社実装すると、開発後も継続的な脆弱性対応が必要です。自社固有の価値がない部分は既製基盤へ寄せ、独自要件だけをAPI実装することが、費用とリスクを抑える方法です。

アクセス管理システムを発注・外注する進め方

発注を急いで製品デモから始めると、製品に業務を合わせることになり、後から追加費用が膨らみやすくなります。まず現状を可視化し、優先度を決め、RFPで同じ条件を複数社へ渡して比較します。段階導入を前提にすれば、最初から全社・全アプリを対象にせず、代表部門で安全性と使い勝手を確認できます。

最初に、従業員、派遣社員、取引先、顧客、サービスアカウントを分けて人数と管理責任者を洗い出します。次に、SaaS、社内Web、基幹システム、VPN、API、古いオンプレミス認証を一覧にし、認証方式、利用者、重要データ、退職時の停止方法、ログ保存期間を記録します。Excelのユーザー台帳だけでなく、実際のログイン履歴や各システムの管理画面と照合し、使われていないIDや共有アカウントを候補として洗い出すことが大切です。

MUSTには、退職者の即時停止、管理者へのMFA、重要データへの最小権限、認証・権限変更ログ、障害時の復旧方法など、実現できなければ導入できない条件を置きます。WANTには、パスキーの全社展開、アクセスレビューの自動化、SIEM連携、条件付きアクセスの高度化などを置きます。MFAだけを先行して現場の問い合わせが増えるケースもあるため、スマートフォンを持たない従業員、共有端末、夜間勤務、海外拠点、委託先ユーザーの例外フローも要件に含めます。

代表部門と代表アプリを選び、ログイン成功率、認証遅延、MFA登録率、問い合わせ件数、権限申請の処理時間を測定します。特に、退職者をテスト用に登録して停止できるか、異動前後で権限が過不足なく変わるか、IDaaS障害時に管理者が復旧できるかを確認します。パイロットの結果を受けて設定を修正し、次の部門へ展開するサイクルにすると、全社展開後の手戻りを抑えられます。

RFPと要件整理には何を書けばよいですか？

RFPは、製品名を指定する書類ではなく、自社が解決したい業務課題と評価条件を委託先へ伝える書類です。ユーザー数やアプリ数だけでなく、権限の種類、データの重要度、既存環境、移行期限、運用担当者を明記します。候補会社が同じ前提で見積もれるように、必須項目と提案してほしい項目を分けて記載します。

「異動時に複数の管理画面を更新しており、付与漏れと削除漏れが発生している」「委託先アカウントを契約終了日に止めたい」「監査で権限変更の証跡を提示したい」など、現場の課題を具体的に書きます。対象ユーザーは従業員だけか、取引先・顧客・ゲストも含むかを区別します。対象アプリは本番・検証環境、オンプレミス・クラウド、API・バッチを分け、対象外の範囲も明示すると、見積もりの前提がぶれにくくなります。

SSOはSAML 2.0、OpenID Connect、OAuth 2.0のどれを使えるか、ユーザー連携はSCIMに対応できるか、既存のActive Directoryや人事システムとどの方向で同期するかを確認します。認可はRBACだけで足りるか、部署・契約期間・端末状態・場所・時間帯で判定するABACや条件付きアクセスが必要かを整理します。ログは認証、権限付与・変更、管理者操作、失敗、緊急時の例外操作を対象とし、保存期間、検索、エクスポート、SIEM連携、時刻同期の条件まで書くと比較しやすくなります。

RFPには、運用引き継ぎの成果物として設定一覧、連携仕様、権限マトリクス、障害対応手順、管理者向け手順書、利用者向けFAQを求めます。導入後は、退職者停止の完了率、過剰権限の是正件数、アクセスレビューの実施率、ログ確認に要する時間、認証関連の問い合わせ件数などを指標にします。ベンダーが作った設定を自社で確認できず、設定変更のたびに有償依頼となる状態を避けるため、管理者権限の分担と教育範囲も要件化します。

アクセス管理システムの契約形態はどう選びますか？

契約形態は、要件の不確実さ、成果物の明確さ、発注者がどこまで管理できるかで選びます。アクセス管理はセキュリティに関わるため、開発費だけでなく、設定変更、障害対応、証明書更新、ログ監視、権限レビューの責任分界を契約書と別紙に落とし込むことが大切です。

要件、対象アプリ、設定、連携、移行データ、テスト項目が固まっている場合は、請負契約で成果物と納期を定めやすくなります。ただし、「SSO連携一式」のように成果物を曖昧にすると、どのアプリが含まれるのか、エラー時に誰が直すのかで争いが起きます。受け入れ条件には、正常ログインだけでなく、MFA失敗、退職者停止、権限変更、ログ検索、障害時の復旧、ロールバックのテスト結果を含めます。

現状調査、RFP作成支援、製品選定、権限設計、運用設計のように、作業時間や専門知識の提供を受ける段階では準委任契約が適しています。要件が変わりやすい初期フェーズで無理に完成品を固定せず、月次の作業範囲、担当者、報告内容、成果物の扱いを定めます。準委任だから品質を確認しなくてよいわけではなく、レビュー会、課題一覧、意思決定記録、次月の計画を定例化する必要があります。

IDaaSの利用契約、導入支援、追加開発、保守、運用代行は、同じ会社から購入しても別の費用と責任になることがあります。月額ライセンスに含まれるサポート時間、障害時の連絡先、SLA、設定変更の単価、ユーザー追加、証明書更新、ログの保存と返却、解約時の移行支援を確認します。特定ベンダーから離れられない状態を避けるため、設定情報と連携仕様を自社へ納品する条項も重要です。

アクセス管理システムの費用相場と内訳

費用は、ライセンス、初期設定、連携開発、データ移行、教育、運用保守に分けて見ます。公開料金を確認できるIDaaSでは、HENNGE One Identity Editionが月額300円から、Microsoft Entra ID P1が年払いでユーザーあたり月額899円相当、Okta Workforce Identity Starterが月額940円から、CloudGate UNOが月額400円からです（出典: 各社公式料金ページ、2026年確認）。契約期間、税区分、最低ID数、既存のMicrosoft 365契約、初期セットアップ費が異なるため、公開単価をそのまま導入総額とみなしてはいけません。

たとえば100ユーザーで月額300円のライセンスなら月額3万円、月額2,670円のプランなら月額26万7,000円です。公開ライセンスだけで見ると、100ユーザーの年額は約36万円から約320万4,000円までのレンジになりますが、これは単純計算であり、初期費用や税、オプション、サポートを含みません。CloudGate UNOは新規契約の最低購入数量が100 IDで、初期セットアップ費が別途と案内されています（出典: インターナショナルシステムリサーチ「CloudGate UNO サービス紹介・料金」、2026年確認）。ユーザー数が少なくても最低契約数が総額を左右するため、必ず見積書で確認します。

リサーチノートと一般的な認証基盤・業務SaaS連携案件をもとにした推定では、50〜200ユーザー、SaaS 3〜10個、標準コネクタ中心の小規模導入は、初期50万〜300万円、期間1〜3か月が一つの目安です。200〜1,000ユーザーでSaaSとオンプレミスが混在し、人事・AD連携、権限申請、ログ連携まで行う中規模導入は、初期300万〜1,000万円、期間3〜6か月程度のレンジで見ます。1,000ユーザー超、複数会社、IGAやPAM、複雑な職務分掌、段階移行を含む場合は、1,000万〜3,000万円以上、6〜12か月以上になる可能性があります。これらは特定会社の確定見積ではなく、要件と連携本数で大きく変わる推定レンジです。

初年度は、ライセンスと導入費だけでなく、ユーザー台帳の整備、権限マトリクスの作成、アプリ側の改修、テスト用環境、移行リハーサル、利用者への案内、ヘルプデスクを見積もります。2年目以降は、年額ライセンス、運用代行、アクセスレビュー、ログ監視、証明書更新、連携先の追加、退職者・委託先アカウントの棚卸しが継続費になります。安い初期見積もりでも、設定変更や連携追加の単価が高いと、複数年の総額では逆転します。

委託先の選定と見積比較で確認すべきポイント

委託先は、製品の販売会社、導入支援会社、SIer、アプリ開発会社のどこに強みがあるかを見極めて選びます。製品デモが分かりやすい会社でも、権限設計や運用移行が弱い場合があります。提案内容の華やかさではなく、要件の前提、除外範囲、リスク、成果物、導入後の責任を同じ様式で比較することが重要です。

実績は、単に「導入社数が多い」ではなく、自社と似たユーザー規模、SaaSとオンプレミスの混在、委託先やゲストの管理、複数会社の統合、監査要件の経験を確認します。提案段階の営業担当だけでなく、要件定義、設計、移行、運用を担当する責任者と会います。再委託先がいる場合は、アクセス可能な情報、作業場所、ログ取得、秘密保持、契約終了時の削除方法も確認します。

見積比較では、少なくとも「要件定義」「設計」「製品・ライセンス」「アプリ連携1本あたり」「ユーザー移行」「テスト」「教育」「本番切り替え」「保守」「運用代行」「追加変更」「税・諸経費」を同じ項目へそろえます。連携本数が未確定なら、1本の標準連携、1本のAPI連携、1本の古いオンプレミス連携という代表ケースで単価を出してもらいます。年額ライセンス、最低契約数、ユーザー追加単価、解約時のデータ返却費を含め、3年程度の総額で比較すると、初期費用だけの競争を避けられます。

RFPへの回答で、前提条件や未確定事項を明確に書かず、「要件確定後に別途見積」とする会社は、後から金額が増える可能性があります。追加費用が発生する条件、仕様変更の承認方法、納期遅延時の扱い、障害時のエスカレーションを確認します。また、SAMLやOpenID Connectなど標準プロトコルを使い、設定一覧・権限一覧・ログ出力仕様・アプリ側の接続情報を納品対象にします。自社で別会社へ移行できる状態を契約と設計の両方で確保することが、ロックイン対策になります。

セキュリティ要件も、製品任せにしてはいけません。IPAは2025年7月の不正ログイン相談が144件に達したと公表し、パスキーや多要素認証の設定を呼びかけています（出典: IPA「インターネットサービスへの不正ログインによる被害が増加中」、2025年）。ただし、MFAを入れれば完了ではなく、例外時の承認、アカウント復旧、退職者停止、権限レビュー、ログ監視を組み合わせて運用できるかを委託先へ確認します。

アクセス管理システムの発注・外注でよくある質問

アクセス管理システムの発注では、費用の考え方や既製サービスと開発の境界について同じ疑問が生まれます。ここでは、発注前に確認しておきたい質問へ直接回答します。

SaaS中心で標準連携が多い場合は製品ベンダーや導入支援会社、複数会社・オンプレミス・独自権限がある場合はSIerや開発会社が向いています。自社サービスの認証・認可を作る場合は、IDaaSや認証基盤を使いながらアプリ側の独自処理を開発会社へ委託する形が適しています。重要なのは会社の種類ではなく、要件定義から運用移行まで一貫して責任を持てるかを確認することです。

標準コネクタ中心の50〜200ユーザー規模なら、初期50万〜300万円が推定レンジの目安です。オンプレミス連携、人事連携、権限申請、ログ監査、複数会社の統合が加わると、300万〜1,000万円、さらに大規模統合では1,000万〜3,000万円以上になる可能性があります。これは公開ライセンス価格と類似案件から整理した推定で、確定額ではありません。対象アプリ数、連携方式、移行データの品質、運用委託の範囲を揃えて見積もりを取る必要があります。

確定できなくても発注準備は進められますが、従業員、委託先、顧客、サービスアカウントを分け、現在数と3年後の想定数をレンジで示します。IDaaSは最低契約数やユーザー単価があるため、100・500・1,000ユーザーの3パターンで見積もると比較しやすくなります。休眠アカウント、共有ID、検証用IDをどのように数えるかも、候補会社へ同じ条件で伝えます。

よくある失敗は、SSOとMFAだけを導入して、退職者停止、過剰権限、委託先ユーザー、サービスアカウント、ログ監査を後回しにすることです。また、ベンダーが作った設定や連携仕様を自社が受け取れず、変更のたびに追加費用が発生するケースもあります。RFPに運用要件と納品物を含め、受け入れテストで異動・退職・障害・緊急権限を確認し、契約終了時のデータ返却まで決めておくと失敗を抑えられます。

まとめ

アクセス管理システムの発注では、最初に論理アクセスと入退室管理の範囲を分け、ユーザー・アプリ・権限・ログ・運用責任を棚卸しします。そのうえで、標準IDaaSの導入支援、SIerによる統合設計、自社サービスの認可開発を使い分け、RFPでMUST要件とWANT要件、受け入れ条件、成果物をそろえます。

費用は、月額ライセンスだけでなく、初期設定、連携、移行、教育、保守、アクセスレビュー、ログ監視まで含めた複数年の総額で比較します。公開料金を基準にしたライセンスのレンジと、要件から推定した導入費のレンジを分けて考えれば、根拠のない安さに引きずられにくくなります。3社程度から同じ前提で相見積もりを取り、差額の理由を確認することが大切です。

アクセス管理の成否は、導入日にログインできることだけでは決まりません。退職者を止め、異動で権限を変え、委託先の契約終了を反映し、定期的にアクセスを見直せることが重要です。設定情報・権限マトリクス・連携仕様・障害対応手順を自社で保有し、例外時の承認と復旧方法を訓練できる委託先を選ぶことで、安全性と運用の継続性を両立できます。

▼全体ガイドの記事
・アクセス管理システム開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。