気づかないうちに立ち上がった公開サーバ、使われないまま残った古いサブドメイン、退職した担当者が個人判断で契約したクラウド環境。こうした「自社が把握しきれていないIT資産」が、外部から狙われる入口になっているのではないか——そんな不安を抱える情報システム部門やセキュリティ担当は少なくありません。
その不安に応える取り組みが、ASM（アタックサーフェスマネジメント）です。この記事では、ASMとは何かを最初に一言で示したうえで、ASMが具体的に何を見つけてくれるのか、従来の脆弱性診断（セキュリティ診断）と何が違い、どう使い分ければよいのかを、公的なガイドラインや統計にもとづいて整理します。
「自社はまず何から着手すべきか」を判断できるよう、ASMの限界や、実現手段（ツール・サービス・無料の検索サイト）の違いまで具体的に解説します。読み終えたあとに、自社の外部公開資産を実際に確認してみたいと感じたら、記事後半で紹介するサービスの資料もあわせてご覧ください。
目次
アタックサーフェスマネジメント（ASM）とは
ASM（アタックサーフェスマネジメント／Attack Surface Management）とは、インターネットから見える自社のIT資産を発見し、そこに潜むリスクを継続的に検出・評価する取り組みです。攻撃者と同じ「外からの視点」で自社を見渡し、狙われ得る面（アタックサーフェス＝攻撃対象領域）を洗い出して監視し続ける点が特徴です。
経済産業省は、ASM導入ガイダンスのなかで次のように定義しています。
組織の外部（インターネット）からアクセス可能な IT 資産を発見し、それらに存在する脆弱性などのリスクを継続的に検出・評価する一連のプロセス
出典：ASM（Attack Surface Management）導入ガイダンス（§2.1 ASMの定義）｜経済産業省
ここでいう「攻撃面（アタックサーフェス）」とは、同ガイダンスの言葉を借りれば「組織の外部（インターネット）からアクセス可能な IT 資産」を指します。Webサーバー、VPN機器、クラウド上の環境、公開されたAPIなど、外からアクセスできるものはすべて攻撃の入口になり得るため、まとめて把握・管理しようという発想です。
ASMは、外部からアクセスできる点を強調してEASM（外部アタックサーフェスマネジメント／External Attack Surface Management）と呼ばれることもあります。経済産業省のガイダンスでは、ASMとEASMを同じ意味として扱うと明記されています。似た言葉との細かな整理は後半で改めて解説します。
出典・参考資料（1件）
ASMは何を見つけてくれるのか（検出対象）
ここからは、ASMが実際に何を見つけてくれるのかを見ていきます。冒頭で挙げた「把握しきれていない資産」への不安と、どれだけ地続きかを確認してください。
経済産業省のガイダンスは、ASMの特徴として、担当部門が把握していない資産や、想定と異なり公開状態になっている資産を発見できる点を挙げています。
情報システムを管理している部門が把握していない IT 資産を発見できること。
出典：ASM（Attack Surface Management）導入ガイダンス（§2.3 ASMの特徴・活用シーン）｜経済産業省
情報システムを管理している部門の想定と異なり、公開状態となっている IT 資産を発見できること。
同ガイダンスは、こうした資産の具体例として次のようなケースを示しています。いずれも「担当部門が管理しきれていない外部公開資産」という共通点があります。
- キャンペーン用のWebサイトなど、情報システム部門以外が構築・運用しているIT資産
- 設定ミスなどにより、外部からアクセス可能な状態になっている社内システム
- グループ企業の統制上の課題や地理的な要因で、本社が一元管理できていないIT資産
実際の運用では、これらに加えて次のような資産が「見つかって驚く」対象になりがちです。退職者が個人判断で立てたまま放置されたクラウド環境、使われなくなった古いサブドメイン、サポートが終了した（EOL＝End of Life）ソフトウェアが動いたままのサーバー、閉じ忘れた通信ポート、有効期限が切れたまま残っているSSL/TLS証明書などです。
自社の担当者でさえ存在を忘れている資産こそ、攻撃者にとっては格好の入口になります。
一方で、ASMには押さえておくべき性質があります。同ガイダンスは、ASMのリスク評価は外部から確認できる情報のみを用いるため「脆弱性が存在する可能性の検知にとどまる」と留意点を明記しています。つまりASMは「どこに弱点がありそうか」を広く洗い出す取り組みであり、その弱点を実際に突けるかまで踏み込む脆弱性診断とは役割が異なります。この違いは後半で詳しく整理します。
出典・参考資料（1件）
なぜ今、ASMが必要なのか
続いて、なぜ今このタイミングでASMが求められているのかを、資産側の事情と攻撃側の事情の両面から見ていきます。
クラウド・リモートワークで、IT資産は勝手に増えていく
クラウドサービスやSaaSは、各事業部門が情報システム部門を通さずに契約・構築できてしまいます。テレワークの普及でVPN機器や社外公開のサーバーも増えました。その結果、会社として公開している資産と、担当部門が「把握している」と思っている資産の間に、無視できないズレが生まれます。
こうした担当部門の管理外にあるIT機器やクラウド（シャドーIT）は、更新やパッチ適用の対象から漏れやすく、弱点を抱えたまま公開され続けます。資産が「勝手に増える」構造そのものが、外部から狙われる面を広げているのです。
攻撃者は、外から常に公開資産をスキャンしている
攻撃側の事情も深刻です。独立行政法人情報処理推進機構（IPA）が公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威の第1位に「ランサム攻撃による被害」が挙げられました。この脅威は11年連続でランクインしており、企業が直面するリスクとして定着しています。
そのランサムウェアが、どこから侵入しているのか。警察庁の資料は、外部に公開された機器が主要な入口になっている実態を示しています。
VPN やリモートデスクトップ用の機器からの侵入が、全体の感染経路の８割以上を占める状況であるところ、その原因としては、ID・パスワード等が非常に安易であったことや、不必要なアカウントがきちんと管理されずに存在していたことなどが挙げられる。
出典：令和6年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
VPN機器やリモートデスクトップは、まさに外部から見える「攻撃面」そのものです。管理が行き届かず放置された公開機器が、実際の侵入経路の大半を占めている——この事実こそ、外から見える資産を継続的に把握するASMが求められる背景です。
出典・参考資料（2件）
台帳（Excel）ベースの資産管理では追いつかない
資産が勝手に増え、攻撃者が外から常に狙う状況で、従来のExcel台帳による手作業の資産管理には限界があります。台帳は作成した時点の情報でしかなく、新しく立ち上がった資産や設定変更に自動では追随できません。棚卸しのたびに担当者が手作業で確認する運用では、更新が滞り、実態との乖離が広がります。
加えて、多くの組織ではセキュリティ人材や工数が不足しています。膨大な資産を人手で継続的に追い続けるのは現実的ではありません。だからこそ、外から見える資産の発見と評価を継続的・自動的に回す仕組みとして、ASMに注目が集まっています。
ASMはどのように行うのか（4つのプロセス）
ここからは、ASMが具体的にどのような流れで進むのかを解説します。攻撃者と同じ外からの視点で、資産を見つけ、調べ、評価し、対応する——この一連の流れを押さえると、ASMが「継続的な仕組み」である理由が掴めます。
経済産業省のガイダンスは、ASMを「攻撃面の発見」「攻撃面の情報収集」「攻撃面のリスク評価」の3つのプロセスで構成されると定義しています。実務では、この評価に続く「リスクへの対応」まで含めて4つのステップとして捉えられることが多く、本記事でも対応まで含めて流れを解説します。
ただし同ガイダンスは、対応をASMのプロセスには含めないとしたうえで、リスク評価後に対応を実施すべきと位置づけている点は押さえておきましょう。
- 攻撃面の発見：自社が保有・管理している、外部からアクセス可能なIT資産を洗い出します。IPアドレスやホスト名のリストがこの段階の成果物になります。
- 攻撃面の情報収集：発見した資産について、OS・ソフトウェアの種類やバージョン、開いているポート番号などの情報を集めます。
- 攻撃面のリスク評価：集めた情報を、公開されている既知の脆弱性情報と突き合わせ、脆弱性が存在する可能性を見極めます。
- リスクへの対応（後続対応）：評価したリスクにもとづき、パッチ適用や設定修正などの対策を実施します。経済産業省のガイダンス上はASMのプロセスに含まれませんが、リスクを減らすために実施すべき工程です。
この流れを継続的に回すことで、新しく増えた資産や設定変更を早期に捉え、リスクの高いものから対応の優先順位を付けられます。棚卸しのたびに人手をかけずに済む点も、継続運用ならではの利点です。
出典・参考資料（1件）
ASMと脆弱性診断・ペネトレーションテストの違い
ここからは、この記事の核心である「既存の脆弱性診断と何が違うのか」を整理します。ASM・脆弱性診断・ペネトレーションテストは、どれもセキュリティ上の弱点に向き合う取り組みですが、対象範囲や視点、継続性が異なります。まず全体像を表で確認しましょう。
| 比較の観点 | ASM（アタックサーフェスマネジメント） | 脆弱性診断（セキュリティ診断） | ペネトレーションテスト |
|---|---|---|---|
| 対象範囲 | インターネットから見えるIT資産全体 （未把握の資産も含む） | あらかじめ指定した資産 | 重要システムなど 目標を定めた範囲 |
| 視点 | 外側（攻撃者の視点） | 外側・内側の両方 | 外側・内側（攻撃者を模擬） |
| 継続性 | 継続的に監視 | 単発（スポット）が中心 | 単発（スポット） |
| 主な目的 | 外部公開資産を発見し リスクを可視化する | 指定資産の具体的な脆弱性を 特定・修正する | 実際に侵入・目的達成が 可能かを検証する |
| 脆弱性を特定する確度 | 外から見える情報のみで評価するため 可能性の検知にとどまる | 攻撃を模したパケットを送り 応答を評価するため一定の確度 | 実際の攻撃手法で検証するため 高い |
| 対象への負荷 | 通常アクセスの範囲で行うため 低い | 監視装置の検知や システム負荷が生じ得る | 実攻撃に近く 負荷が大きい |
| 費用の目安 | 継続課金（月額・年額）が中心 | 対象ごとの個別見積 （スポット実施） | 個別見積・比較的高額になりやすい （スポット実施） |
※ASMと脆弱性診断の対象・確度・負荷の対比は経済産業省「ASM導入ガイダンス」表1-1にもとづきます（ペネトレーションテストは一般的な整理です）。
経済産業省のガイダンスは、ASMと脆弱性診断の関係を対象・確度・負荷の観点で対比しています。ASMは「インターネット上を検索し、発見したものを対象とする」のに対し、脆弱性診断は「対象をあらかじめ指定する」。ASMは通常アクセスの範囲で行うため脆弱性の特定確度は低い可能性がある一方、脆弱性診断は攻撃を模したパケットで応答を評価するため一定の確度が確保される、という違いです。
要点を一言でまとめると、ASMは「外から見える資産を広く・継続的に洗い出す（面）」取り組み、脆弱性診断は「指定した資産を深く・一時点で調べる（点）」取り組みです。ペネトレーションテストは、その脆弱性を突いて実際に侵入できるかまで検証する、さらに踏み込んだ手法だと捉えると整理しやすくなります。
ペネトレーションテストを実際に依頼する段階では、対象（外部・内部・シナリオ型・TLPT）や検証の深さで費用の桁が大きく変わります。相場感を早見表でつかみたい場合は、以下の記事も参考にしてください。
ペネトレーションテストの費用相場を対象・種類別に解説｜早見表でわかる料金と選び方
脆弱性診断で自社システムの弱点を洗い出すと、次に「実際に攻撃者が侵入できるのか、本当のところを確かめてほしい」と役員や監査から求められることがあります。脆弱性診断の次にペネトレーションテスト（侵入テスト）を検討する——決済や基幹システムなど…
EASM・CAASMなど、似た言葉の整理
ASMの周辺には、似た略語がいくつかあります。混乱しやすいので、要点だけ整理しておきます。
- EASM（外部アタックサーフェスマネジメント）：外部から見える資産に着目したASMの呼び方。経済産業省のガイダンスは、ASMとEASMを同じ意味として扱うとしています。
- CAASM（サイバー資産アタックサーフェスマネジメント）：外部公開資産に限らず、社内の資産まで含めて棚卸しする考え方を指して使われる言葉です。外部に特化したEASMと対比して語られることがあります。
自社にとってまず必要なのは、外から見える資産を把握する取り組みであることが多いため、本記事ではEASMを含む広い意味でのASMを軸に解説を進めます。
点（脆弱性診断）と面（ASM）の使い分け・どちらから始めるか
違いが整理できたところで、「自社はどちらから始めるべきか」を考えていきます。結論から言えば、ASMと脆弱性診断は代替関係ではなく、補完関係にあります。
ASMの限界と、診断で補うべき範囲
使い分けを考えるうえで、まずASMの限界を正直に押さえておく必要があります。前述のとおり、ASMは外から見える情報だけでリスクを評価するため、その判定は「脆弱性が存在する可能性の検知」にとどまります。広く浅く面を洗い出すのは得意でも、その弱点が本当に悪用できるのかを深く検証するには、対象を指定して踏み込む脆弱性診断が必要です。
また、外部からの観測にもとづくため、検出結果に誤検知が含まれることもあり、優先順位付けや対応判断には一定の運用負荷がかかります。ASMを導入すればセキュリティ対策が完結するわけではない、という前提を持っておくことが、過大評価を避けるうえで重要です。
ASMは、それ単独でセキュリティ対策が完結する取り組みではありません。この位置づけは公的なガイダンスにも明記されており、経済産業省のガイダンスは、ASMを脆弱性管理という大きな取り組みの一部として次のように述べています。
ASM は脆弱性管理の一部である。
出典：ASM（Attack Surface Management）導入ガイダンス（§2.4 ASMと脆弱性管理）｜経済産業省
ここで補い合う相手となる脆弱性診断そのものについては、なぜ必要なのか、どんな種類・進め方・費用感があるのかを別記事で掘り下げています。点（脆弱性診断）の側をもう一段具体的に理解しておきたい場合の参考にしてください。
脆弱性診断はなぜ必要？メリット・種類・方法と安全対策のやり方を紹介
サイバー攻撃のニュースを目にするたびに、「うちのシステムは大丈夫だろうか」と不安になる方も多いのではないでしょうか。 セキュリティ対策の代表的な手段としてよく耳にする「脆弱性診断」。しかし、その具体的な内容や必要性については意外と知られてい…
どちらから始めるべきか
そのうえで、着手の順序は自社の状況で変わります。判断の目安を整理します。
- 自社にどんな公開資産があるか自体を把握しきれていない場合は、ASM（面）から。守るべき対象の全体像が見えていない状態では、個別の脆弱性診断を手配しても抜け漏れが生じます。まず外から見える資産を洗い出し、リスクの高い資産を絞り込むのが先決です。
- 守るべき重要システムが明確な場合は、脆弱性診断（点）を優先。ECサイトや会員システムなど、守る対象と範囲がはっきりしているなら、その資産を深く診断して具体的な弱点を特定・修正するほうが効果的です。
- 多くの組織では、両者を組み合わせるのが現実解。ASMで外部公開資産を継続的に把握し、リスクが高いと判明した資産に脆弱性診断を実施する——この流れが、面と点を無駄なくつなぐ運用です。
特定のツールやサービスが「優れているから」ではなく、自社が今どの状態にあるかを起点に選ぶことが、着手順を誤らないコツです。
点＝脆弱性診断に軸足を置くと判断したら、次は具体的なサービス選びに進みます。以下の記事では、脆弱性診断サービスの診断方法・費用相場・選び方を横並びで比較しながら詳しく解説しています。実際の診断サービスを検討する段階でお役立てください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
出典・参考資料（1件）
ASMを実現する手段と選び方
ここからは、ASMを実際にどう実現するかを見ていきます。手段は大きく3つに分かれ、コストや手間、得られる情報の深さが異なります。
ツール・サービス・無料検索の3つの手段
- ASMツール（SaaS）：資産の発見から評価までを自動で継続実行するクラウド型のツールです。24時間の継続監視や自動での資産検出に向き、自社で継続的に運用したい場合に適します。導入・運用の手間は自社で担うことになります。
- ASMサービス（マネージド・スポット）：専門家が資産の把握やリスク評価を代行するサービスです。四半期ごとなどのスポット実施や、継続的な運用代行まで幅があります。社内にセキュリティ人材が不足していて、専門家に任せたい場合に有力です。
- 無料の検索サイト：ShodanやCensysのように、インターネット上に公開された機器を検索できるサービスもあります。得られる情報は限定的で継続監視には向きませんが、自社のドメインやIPで検索してみると、公開状態の資産の一端を今すぐ把握できます。まず現状を手軽に確認したい段階で役立ちます。
手段を選ぶときの観点
ツールやサービスを選ぶ際は、次のような観点で自社に合うかを見極めると、比較がしやすくなります。
- 資産の検出範囲と精度：ドメインやIPを起点に、サブドメインや関連資産をどこまで自動で洗い出せるか。自社に関係のないアラートを抑えられるかも運用のしやすさを左右します。
- スキャンの頻度：毎日・週次・月次など、どの頻度で継続監視できるか。資産の増減や設定変更にどれだけ早く追随できるかに直結します。
- リスク評価・優先順位付けの充実度：検出した項目に自動で優先度を付けられるか。限られた人員で対応するうえで、対処すべき資産を絞り込めるかが重要です。
- 診断対象や回数の制限：診断できるドメイン数や実行回数に制限がないか。自社の資産規模に見合う契約条件かを確認します。
ASMと継続的な診断を実現するサービス
ASMそのものの理解が目的なら、ここまでで概要は掴めています。ここからは、継続的な把握を実際に始めたい段階に向けて、受け皿となるサービスを紹介します。
外部公開資産を継続的に把握する純粋なASMツールに加え、外部の把握を補完する統合型のSaaSや、内部ネットワークの継続診断も、継続的にリスクを見張る観点から整理しました。各サービスが外部・内部のどちらをカバーするかは、下の比較表の「継続監視・診断の対象」列で確認できます。
| サービス名 | Aikido Security | KATABAMI サイバーセキュリティ対策パッケージ | GMOサイバー攻撃ネットde診断 ASM | Securify | SCT SECURE クラウドスキャン |
|---|---|---|---|---|---|
| 提供会社 | 株式会社AndGo （開発元は Aikido Security BV／ベルギー） | 株式会社SYNCHRO | GMOサイバーセキュリティ byイエラエ株式会社 | 株式会社スリーシェイク | 三和コムテック株式会社 |
| 提供形態 | オールインワン脆弱性診断SaaS （11種スキャナを統合） | 予防・復旧・補償の 統合パッケージ | 手動診断＋ASMツールの ハイブリッド | 自動脆弱性診断＋ASMの 統合プラットフォーム | クラウド型の 自動脆弱性診断サービス |
| 継続監視・診断の対象 | ソースコード〜クラウド・実行環境 （外部公開資産のDAST監視を含む） | ネットワーク内部 （複合機・機器など内部資産） | 外部公開資産 （グローバルIPを持つ公開サイト） | 外部公開資産・Webアプリ （クラウド連携で自動把握） | 外部公開資産 （Web・ネットワーク機器） |
| 診断の頻度 | 継続的にスキャン （サブスクリプション型） | 月次（年12回） | 自動定期診断 （任意タイミングでも実行可） | 日次・週次・月次から選択 （スケジュール実行） | 毎日自動診断 （契約中は何度でも） |
| 料金 | 月額5万円台〜 （AndGo経由） | 1台あたり月額1,250円〜 | 月額40,000円〜 （ASMプラン。プランにより異なる） | 月額5万円〜 （Webアプリ診断STARTER） | 要お問い合わせ （公式に金額の掲載なし） |
| 無料トライアル | Freeプランあり | 記載なし （無料相談は可） | 記載なし | あり（最短即日） | あり |
| 詳細情報 | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※料金は課金単位（利用者数・台数・IP/FQDN数・診断対象数など）や対象範囲がサービスごとに異なります。最新の料金は各社の資料でご確認ください。
1. Aikido Security（株式会社AndGo）
ソースコードからクラウド、実行環境までを1つのプラットフォームで継続的にスキャンする、オールインワン型の脆弱性診断SaaSです。ベルギーのAikido Security BVが開発し、日本では株式会社AndGoが正規代理店として、日本語での導入支援や請求書払いに対応して提供しています。
SAST（静的解析）やSCA（依存関係スキャン）、DAST（動的診断によるアタックサーフェス監視）、CSPM（クラウド設定の監視）など、11種類のスキャナを1つに統合しています。さらに、ダークウェブ上での認証情報の漏洩検出にも対応します。月額課金のサブスクリプション型で、外部公開資産や設定を継続的に見張りたい開発チームに向いた「面」のアプローチが特徴です。
料金はAndGo経由で月額5万円台からとされ、開発元はSOC 2 Type II・ISO/IEC 27001:2022に準拠しています。
2. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
「予防・復旧・補償」の3本柱でサイバー攻撃対策をまとめたパッケージ型サービスです。株式会社SYNCHROが提供し、年1回のスポット診断で終わりにしない継続的なアプローチを打ち出しています。
予防にあたる脆弱性診断（VDP）は、公式サイトで「年に12回（毎月実施）」とされる定期検診型で、検出した弱点への対策案を毎月レポートで提示します。あわせて、ランサムウェア被害に備えるバックアップ（復旧）とサイバー保険（補償）を組み合わせられる点が特徴です。
診断は外部スキャン型のASMとは異なり、ネットワーク内部からの検査を軸とするため、USBやメール経由など内部起点の脅威も検知できると訴求しています。料金は1台あたり月額1,250円からで、外部の面の把握と組み合わせて内部側の継続診断を厚くしたい場合に有力な選択肢です。
3. GMOサイバー攻撃ネットde診断 ASM（GMOサイバーセキュリティ byイエラエ株式会社）
国内のホワイトハッカーを多数擁するGMOサイバーセキュリティ byイエラエが提供する、国産のASMツールです。手動主体の高度な脆弱性診断で知られる同社が、ツール型の継続診断として展開しています。
ドメイン・IPアドレス・サブドメインの洗い出しによる資産の棚卸しを起点に、外部公開資産の自動定期診断、検出した脆弱性への自動優先順位付け、ダークウェブ上の認証情報漏洩の監視までを備えます。重大な脆弱性を見つけた際のメール通知やレポート出力にも対応し、外部から見える資産を継続的に管理したいニーズに直接応えます。
診断対象はグローバルIPアドレスを持つ外部公開サイトで、料金はASMプランで月額40,000円からとされています（プランにより異なるため、詳細は資料でご確認ください）。
4. Securify（株式会社スリーシェイク）
株式会社スリーシェイクが提供する、クラウド型の自動脆弱性診断とASMを1つに統合したプラットフォームです。専門家の手動診断ではなく、ツールによる自動巡回スキャンを中核に据えている点が特徴です。
ASM機能では、クラウド連携でインターネットからアクセス可能な資産を自動で把握し、発見した資産に対して脆弱性診断まで実行します。Webアプリケーション診断は日次・週次・月次など任意の頻度でスケジュール実行でき、外部公開資産の継続監視と診断を一体で回せます。CSPM（クラウド設定管理）やSBOM（ソフトウェア部品表管理）も同シリーズで提供します。
Webアプリケーション診断は月額5万円から利用でき、基本機能の無料利用や最短即日の無料トライアルもあるため、スモールスタートしやすい国産SaaSです。
5. SCT SECURE クラウドスキャン（三和コムテック株式会社）
三和コムテックが提供する、クラウド型の自動脆弱性診断サービスです。2004年から提供される長い実績を持ち、外部公開資産を継続的に監視する用途に向いています。
Webサイトに加え、ルーター・ファイアウォール・DNSといったネットワーク機器を、インターネット経由で外部から毎日自動診断します。アプリのインストールや機器の設置は不要で、契約期間中は何度でも診断できるため、スポットの手動診断に比べて外部公開資産を継続的に見張る運用に適しています。
診断で脆弱性が検出されなければ、最新の診断日を示すセキュリティマークをサイトに掲示でき、取引先に対して継続的に検査していることを示せます。料金は公式サイトに金額の掲載がないため、資料請求や見積もりで確認する形になります。
まとめ
外から見える自社の資産を継続的に把握するASM（アタックサーフェスマネジメント）は、クラウドやリモートワークで資産が増え、外部公開機器が実際の侵入経路の大半を占める今、その意義を高めています。担当部門が把握しきれていない資産を攻撃者と同じ視点で洗い出すことが、被害を防ぐ第一歩になります。
ASM（面）と脆弱性診断（点）は代替ではなく補完の関係です。自社にどんな公開資産があるか把握しきれていないならASMから、守るべき重要システムが明確なら脆弱性診断から着手し、最終的には両者を組み合わせるのが現実的です。まずは無料の検索サイトで自社の公開資産を確かめ、継続的な把握が必要だと感じたら、本記事で紹介したサービスの資料で機能や料金を比較してみてください。
よくある質問（FAQ）
Q. ASM（アタックサーフェスマネジメント）とは何ですか？
A. ASMとは、インターネットから見える自社のIT資産を発見し、そこに潜むリスクを継続的に検出・評価する取り組みです。攻撃者と同じ「外からの視点」で自社を見渡し、狙われ得る面（アタックサーフェス＝攻撃対象領域）を洗い出して監視し続けます。
経済産業省の「ASM導入ガイダンス」でも同様に定義されており、外部から見える資産に着目してEASM（外部アタックサーフェスマネジメント）と呼ばれることもあります。
Q. ASMと脆弱性診断は何が違いますか？
A. ASMは「外から見える資産を広く・継続的に洗い出す（面）」取り組み、脆弱性診断は「指定した資産を深く・一時点で調べる（点）」取り組みです。ASMは通常アクセスの範囲で外部から観測するため、その判定は脆弱性が存在する可能性の検知にとどまります。
一方の脆弱性診断は、攻撃を模したパケットを送って応答を評価するため、一定の確度で具体的な弱点を特定できます。両者は対象範囲・視点・継続性が異なる、役割の違う手法です。
Q. ASMと脆弱性診断は、どちらから始めるべきですか？
A. 自社にどんな公開資産があるか把握しきれていないならASM（面）から、守るべき重要システムが明確なら脆弱性診断（点）から始めるのが目安です。守る対象の全体像が見えていない状態で個別の診断を手配しても抜け漏れが生じるため、まず外から見える資産を洗い出すのが先決です。多くの組織では、ASMで公開資産を継続的に把握し、リスクが高いと分かった資産に脆弱性診断を実施する組み合わせが現実的です。
Q. ASMの費用（料金）はどのくらいかかりますか？
A. ASMの費用は提供形態によって幅があり、SaaS型のツールでは月額数万円程度から、外部公開資産の継続診断サービスでは年額数十万円程度からが一つの目安です。本記事で紹介したサービスでも、月額4〜5万円台から始められるツール型から、年額で契約する継続スキャン型、公式に金額を公開せず見積もりとなるものまで、提供形態によって幅があります。
診断できるドメイン数やスキャン頻度、リスクの優先順位付けの充実度によって費用は変わるため、自社の資産規模に見合う条件かを資料で確認することをおすすめします。
Q. ASMは無料で試すことはできますか？
A. ASMの入り口は、ShodanやCensysといった公開機器の検索サイトを使えば無料で試せます。自社のドメインやIPで検索すると、インターネットに公開されている資産の一端を今すぐ把握できます。ただし得られる情報は限定的で継続監視には向かないため、まず現状を手軽に確かめる段階向きです。
継続的な把握が必要になったら、無料トライアルや一部機能の無料利用ができるSaaS型ツールから試す方法もあります。
Q. 中小企業や小規模な組織でもASMは必要ですか？
A. ASMの必要性は企業規模ではなく、外部に公開しているIT資産があるかどうかで決まります。規模が小さくても、クラウド環境やVPN機器、キャンペーン用サイトなど外から見える資産があれば、攻撃の入口になり得ます。
警察庁の資料によると、ランサムウェアの感染経路の8割以上がVPNやリモートデスクトップ機器からの侵入とされており、公開機器の管理は規模を問わず重要です。むしろ人材や工数が限られる組織ほど、資産の把握を自動で回せる仕組みの価値は大きくなります。
Q. ASMツールを選ぶときは何を比較すればよいですか？
A. ASMツールは、資産の検出範囲と精度・スキャンの頻度・リスクの優先順位付けの充実度・診断対象や回数の制限、の4点を軸に比較すると選びやすくなります。ドメインやIPを起点にサブドメインや関連資産をどこまで自動で洗い出せるか、資産の増減や設定変更にどれだけ早く追随できるかは、運用のしやすさを左右します。限られた人員で対応するには、検出項目に自動で優先度を付けられるかも重要な判断材料です。
Q. ASMを導入すれば、脆弱性診断は不要になりますか？
A. いいえ、ASMを導入しても脆弱性診断が不要になるわけではなく、両者は補完し合う関係です。ASMは外から見える情報だけでリスクを評価するため、判定は「脆弱性が存在する可能性の検知」にとどまり、その弱点が本当に悪用できるかを深く検証するには、対象を指定して踏み込む脆弱性診断が必要です。
経済産業省のガイダンスも「ASMは脆弱性管理の一部である」と位置づけており、ASMだけでセキュリティ対策が完結するわけではありません。
脆弱性診断・セキュリティ診断サービスの料金・機能を一括チェック
MCB FinTechカタログでは、脆弱性診断・セキュリティ診断サービスの最新資料をまとめてダウンロードできます。ASM機能を持つサービスから専門家による脆弱性診断まで、気になるサービスの料金・機能をまとめて比較し、自社の状況に合った選定にお役立てください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修者は記事の内容について監修しています。
