ASMツール比較21選｜検出範囲・料金・国産／海外と運用のしやすさで選ぶ

キャンペーン用に立てたまま残っているサブドメイン、検証環境として作られて放置されたサーバ、買収した会社や海外拠点が自前で契約したクラウド環境。自社の管理台帳に載っていない外部公開資産は、担当者が思っているより多く存在します。

その未把握の資産を自動で洗い出し、変化を継続的に追いかける仕組みがASM（アタックサーフェスマネジメント）ツールです。ただ、いざ製品を並べてみると「どこまで見つけてくれるのか」「いくらかかるのか」「国産と海外製で何が違うのか」といった、選定に直結する情報が製品ごとに揃わず、比較が進まないという声をよく聞きます。

この記事では、ASMツール・ASMサービス21件を、検出範囲・料金・提供元（国産／海外）・運用のしやすさという4つの軸で横並びに整理しました。料金は実額が公開されているものを一覧にし、検出範囲は対象になる資産の種類と探索の起点まで踏み込んで比べます。

先に候補の顔ぶれを見たい場合はタイプ別の比較表へ、自社の条件から絞り込みたい場合は選び方の章の末尾にある診断へ進んでください。診断では「対象資産の広がり」「社内の運用体制」「国産か海外か」「継続監視か単発か」に答えると、条件に合うサービスが表示されます。

ASMツールとは？主な機能と見つかる資産

製品を比べる前に、ASMツールが何をするものかという共通認識をそろえておきます。ここでは公的なガイダンスの定義を起点に、機能と、実際に見つかる資産の姿を確認します。

この記事は製品の比較に絞って進めます。ASMという取り組み自体をまだ整理しきれていない、あるいは脆弱性診断とどちらから着手すべきか決めかねている場合は、次の記事でASMの定義・見つかる資産の具体例・脆弱性診断やペネトレーションテストとの使い分けを先に確認しておくと、以降の比較軸が読み解きやすくなります。

ASMツールの定義（経済産業省ASM導入ガイダンス）

ASMという言葉は事業者ごとに解釈の幅がありますが、日本国内で共通の拠り所になっているのが経済産業省のガイダンスです。同ガイダンスはASMを次のように定義しています。

組織の外部（インターネット）からアクセス可能なIT資産を発見し、それらに存在する脆弱性などのリスクを継続的に検出・評価する一連のプロセス

出典：ASM（Attack Surface Management）導入ガイダンス ～外部から把握出来る情報を用いて自組織のIT資産を発見し管理する～｜経済産業省 商務情報政策局 サイバーセキュリティ課（令和5年5月）

ここで定義されているのは取り組みとしてのASMであり、ASMツールはそのプロセスを実行するツールにあたります。同ガイダンスの用語集は、提供形態としてSaaS型と、購入後にインストールが必要なソフトウェア型の両方があると補足しています。

定義の中で押さえておきたいのは「外部（インターネット）から」という前提です。ASMは攻撃者と同じ位置から見える範囲を扱う仕組みで、社内ネットワークの内側にある資産は原則として対象外になります。

ASMツールの主な機能

経済産業省のガイダンスは、ASMを「（1）攻撃面の発見」「（2）攻撃面の情報収集」「（3）攻撃面のリスク評価」の3つのプロセスで構成されると整理しています。ASMツールの機能も、この3段階に沿って並びます。

• 攻撃面の発見：外部からアクセスできる自社のIT資産を洗い出し、IPアドレスとホスト名の一覧にする
• 攻撃面の情報収集：発見した資産のOS・ソフトウェアとそのバージョン、開いているポート番号、クラウドのベンダー情報などを集める。通常のアクセスの範囲で行われ、対象への影響は抑えられる
• 攻撃面のリスク評価：集めた情報を公開されている既知の脆弱性情報と突き合わせ、脆弱性が存在する可能性を識別する。結果はダッシュボードやレポートとして出力できる

この3段階を一度きりではなく繰り返し回すことが、ASMツールを使う意味そのものです。資産は日々増減し、昨日まで問題のなかったサーバに翌週には既知の脆弱性が公表される、ということが起こります。継続的に見続ける仕組みかどうかは、後述する比較表でも重要な列になります。

一方で、リスク評価の後の修正対応まではASMのプロセスに含まれません。同ガイダンスも「本書では、評価したリスクへの対応についてはASMのプロセスには含めていない。しかしながら、自社のセキュリティリスクを減らすという目的においては、（3）攻撃面のリスク評価後にリスクへの対応を実施すべきである」と明記しています。見つけた後に誰がどう直すかは、ツールの外側で設計する必要があります。

ASMツールで実際に見つかる資産の例

抽象的な説明より、何が見つかるのかを具体で見たほうが必要性は掴みやすくなります。経済産業省のガイダンスは、ASMの活用シーンとして次の3つを挙げています。

キャンペーン活動などに利用するWebサイトなど、情報システムを管理している部門以外が構築・運用しているIT資産を発見する。

設定ミスなどにより、外部（インターネット）からアクセス可能な状態となっている社内システムなどを発見する。

グループ企業における統制上の課題や地理的な要因によって、本社で一元的に管理できていないIT資産を発見する。

出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課（令和5年5月）

ISOG-Jのガイダンスはさらに踏み込んで、ASMツールが特定するFQDNの例として「キャンペーン等で一時利用され、その後の管理が不十分なFQDN」「本来インターネットに公開すべきではないテスト・ステージング用のFQDN」を挙げています。心当たりのある担当者は少なくないはずです。

こうした管理外の資産が実際に侵入口になっている状況は、警察庁の統計からも読み取れます。

近年は、インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっている。被害組織へのアンケート結果によると、侵入経路はVPN（Virtual Private Network）機器が６割以上を占める状況である。

出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁サイバー警察局（令和8年3月公表）

管轄外の資産が起点になった事例も報告されています。警察庁は令和7年上半期の報告で「実際、海外支社等の機器を管理できていなかったためにそこから侵入され、国内の本社が被害に遭う事例や、試験的に作成したアカウントの安易な認証情報を利用されて侵入された事例を把握している」と記しています。買収先や海外拠点を抱える企業ほど、本社の目が届かない場所が穴になりやすいということです。

出典・参考資料（3件）

• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課
• 出典：4.2 ASMツールに求める機能｜ASM導入検討を進めるためのガイダンス（基礎編）｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 出典：令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について｜警察庁サイバー警察局

ASMを始める手段の違い（ASMツール・ASMサービス・無料の検索サイト）

製品ごとの軸を比べる前に、決めておきたい分岐があります。ツールを自社で回すのか、専門家の分析込みで任せるのか、それともまず無料の手段で自社の公開面を覗いてみるのか。ここが決まると、以降の比較軸の読み方も変わります。

ASMツールとASMサービスの違い（ISOG-Jのコラムによる定義）

ISOG-JのASM導入ガイダンスに付されたコラムは、両者を次のように定義しています。

なお、本コラムではASMツールを「ツールベースで自動的にASMを行うソリューション」、ASMサービスを「ツールと専門家による分析を組み合わせてASMを行うソリューション」と定義します。どちらも自組織のIT資産発見やリスク評価を行うソリューションですが、検出精度や自動化レベル、運用負担、そしてコスト等に大きな違いがあります。

出典：コラム「ASMツールとASMサービスの違い」｜ASM導入検討を進めるためのガイダンス（基礎編）｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1

同コラムは6つの観点で両者を対比しています。要点をまとめると、ツールは高頻度・低コストで回せる代わりに誤検知が多く、検出結果を読み解く社内のスキルが要ります。サービスは専門家が精査するため誤検知が少なく知識も不要ですが、頻度は下がりコストは上がります。

観点	ASMツール	ASMサービス
頻度	全自動または半自動で高頻度に実施できる	専門家が介入するため頻度は低くなる
検出精度	機械的に発見するため誤検知が多くなる傾向	専門家が精査するため誤検知は少なくなる傾向
カスタマイズ性	機能が標準化されており制限されることがある	柔軟で、組織のニーズにフィットさせやすい
スケーラビリティ	組織の規模拡大に柔軟に対応できる	提供側のリソース制約で対応が難しくなる場合がある
専門知識	自社で運用し結果を精査するためASMの知識が必要	運用を任せられるため高度な知識は不要
コスト	初期導入・運用費用を抑えやすいが自社の運用工数は増える	コストは高い傾向だが自社の運用工数は軽減される

ここで見落としやすいのが、同コラムがコスト欄の注記として置いている一文です。「ASMサービスを利用する場合でも、サービスの結果を基に自組織のIT資産管理プロセスを自分たちで運用する必要はあります」。サービスに任せても、社内の資産管理そのものが不要になるわけではありません。

無料で始められる手段とその限界

有償の製品を検討する前に、無料の手段で自社の公開面を一度見ておくという入り方もあります。ShodanやCensysのようなインターネット全体をインデックスした検索サイトを使えば、自社ドメインに紐づくホストや開いているポートをある程度は確認できます。

使い方は難しくありません。検索窓に自社のドメイン名を入れると、そのドメインに紐づくホストと、そこで開いているポート、応答しているソフトウェアとバージョンが一覧で返ります。見るべきは、心当たりのないホスト名、管理画面が開いていないか、サポートが終了したバージョンのソフトウェアが動いていないかの3点です。ここで違和感のあるホストが出てくるようなら、継続監視を検討する材料になります。

Censysの公式料金ページは、無料アカウントで得られる範囲を「標準的なポートとサービスの基本的な可視性」と説明し、そこから先は有償プランの購入としています。無料の範囲で見えるのは、あくまで断片です。

製品側にも無料の入口はあります。国産の低価格帯には0円のプランや無料版の診断を用意する製品があり、初回の簡易診断と専門家面談を無償で提供するサービスもあります。海外製には30日間の無料トライアルを設ける製品が目立ちます。どの製品にどの入口があるかは、後述の比較表のあとにまとめました。

ただし無料の手段で止まる範囲ははっきりしています。検索サイトは「今その瞬間に調べた結果」を返すだけで、資産が増えたことを教えてはくれません。検出結果に優先順位を付ける仕組みも、経営層に見せられるレポートもありません。無料の手段は現状把握のきっかけとしては有効ですが、継続監視の代わりにはならないという前提で使うのが現実的です。

ISOG-Jのガイダンスは「ほとんどのASMツールは購入前にトライアル（試用）することが可能です」とし、机上検証だけでなく実際に試して運用上の負担を確認することを勧めています。有償製品の比較でも、トライアルの有無は確認しておきたい項目です。

出典・参考資料（3件）

• 出典：コラム「ASMツールとASMサービスの違い」｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 出典：4.3 ASMツールの注意点｜ASM導入検討を進めるためのガイダンス（基礎編）｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 参考資料：Pricing｜Censys, Inc.

ASMツールの3つのタイプ

ASMを名乗る製品は、何に主眼を置いているかで性格が分かれます。自社がどの型から見ればよいかを掴んでおくと、この後の比較が一気に絞り込めます。

1. 外部公開資産の発見・継続監視に強いタイプ

ドメインや組織名を起点に、未把握のサブドメイン・IPアドレス・クラウド資産を自動で洗い出し、その変化を追い続けることに主眼を置いた型です。攻撃者と同じ外部の視点から情報を集めるため、社内に何も入れずに始められる製品が多くを占めます。

「そもそも自社が何を公開しているのか分からない」という段階の企業に最初に効くのがこの型です。一方で、見つけた脆弱性の確度は高くないため、深く調べる工程は別に用意する必要があります。

2. 脆弱性診断・脆弱性管理とあわせて使えるタイプ

発見した資産の診断・検証まで一つの製品で扱える型です。既存の脆弱性診断・脆弱性管理の対象にそのまま載せられるものと、製品の中で実際に攻撃を試して悪用可能かまで確かめられるものの両方が含まれます。ASM単体の製品ではなく、脆弱性診断プラットフォームや統合セキュリティ基盤の一機能としてASMを備えているものも、この型です。

この組み合わせは業界団体も類型として認めており、ISOG-Jのガイダンスは「ASMツールと脆弱性診断ツールを統合し、ASMでリスクが高いと示唆されたIT資産に対し、脆弱性診断を実行できるツールがあります」と説明しています。すでに診断や脆弱性管理を運用している企業なら、発見から対処までを1つの流れに載せられます。

3. 専門家による調査・運用支援を受けられるタイプ

ベンダー側の専門家が調査から結果の精査、レポート作成までを担う型で、経済産業省のガイダンスがASMサービスと呼ぶものにあたります。同ガイダンスは「自社内にASMツールを扱うスキルを有する人材的余裕や導入を検討する時間的余裕がない場合でもASMを実施することが可能である」と、この形態の意味を説明しています。

顧客側の作業がドメインを指定するだけ、というサービスもあります。検出結果を裁く人員が社内にいない場合、ツールを買っても運用が止まるより現実的な選択肢になります。

ASMツールの検出範囲はどこまで違うのか

製品を比べるときに最も差が出るのが「結局どこまで見つけてくれるのか」です。ここでは対象になる資産の種類と、その調べ方の違いを押さえます。後の比較表の検出範囲列は、この2つを土台に読むと差が見えてきます。

検出対象になる資産の種類

ISOG-Jのガイダンスは、ASMツールが発見できるIT資産としてドメイン・FQDN・IPアドレスを挙げ、それぞれに付加情報を収集すると整理しています。

• ドメイン・FQDN：組織が保有するドメイン名と、Webサーバやメールサーバに割り当てられたホスト名。一時利用のまま管理が不十分なFQDNや、公開すべきでないテスト・ステージング用のFQDNもここで拾われる
• IPアドレス・オープンポート：FQDNに紐づくIPアドレスと、そこで有効になっているサービス（ポート）
• ソフトウェアとバージョン：資産上で稼働しているソフトウェア名とバージョン情報。既知の脆弱性との突き合わせに使われる
• サーバー証明書・暗号設定：使用中の証明書と、暗号プロトコル・暗号スイートの設定
• クラウド・SaaS資産：経済産業省のガイダンスも、詳細情報として確認できる項目にクラウドのベンダー情報を挙げている
• 漏洩情報（ダークウェブ）：製品によっては、闇市場や掲示板に流出した認証情報の監視まで範囲に含む。ISOG-JのガイダンスはこれをDRPS（Digital Risk Protection Service）という別種別としても整理している

設定不備の検出も、この付加情報から導かれます。攻撃に悪用され得るポートの有無、証明書の有効期限切れや自己署名証明書、HTTPSの未使用や脆弱な暗号アルゴリズムの使用、ディレクトリインデックスの有効化といった具合です。

自社にどこまでの範囲が必要かは、費用と人的リソースに直結します。経済産業省のガイダンスは、調査対象範囲を「自社／グループ企業／サプライチェーンなどの取引先企業」の単位で、IT資産の数などの規模とともに明確にしておくよう促しています。とくに海外を含むグループ企業全体を対象にする場合は、企業間の連絡方法や脆弱性対応の役割分担を事前に整理しておくことが運用を円滑にすると指摘しています。

資産の調べ方（パッシブ調査とアクティブスキャン）

同じ「資産を発見する」でも、その調べ方は製品によって異なります。経済産業省のガイダンスはASMツールを2つに分類しています。

検索エンジン型／ASMツールを提供している事業者が、独自に収集した情報を事業者が管理するデータベースに保存し、ユーザーがツール操作時にデータベース上で攻撃面の検索・閲覧する型。

オンアクセス型／ユーザーが検索を実行したタイミングで、対象への通信を行い攻撃面の情報を収集する型。

出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課（令和5年5月）

各社の製品説明では、対象に通信を送らない調べ方をパッシブ調査、実際に通信を送って確かめる調べ方をアクティブスキャンと呼ぶことが多く、この記事の比較表でも各社の表現に沿ってその呼び方を使います。ガイダンスの分類でいえば、検索エンジン型がパッシブ調査に、オンアクセス型がアクティブスキャンに近い位置づけです。両方を併用する製品も少なくありません。

この違いは情報の鮮度に効いてきます。経済産業省のガイダンスは検索エンジン型について「ユーザーが閲覧する情報は検索を行った時点の情報ではない可能性が高い」と注意を促しています。データベースがいつ更新されたかによって、画面に出ている姿が現在の姿とずれることがあるということです。

探索の起点も製品ごとに違います。ISOG-Jのガイダンスは「あらかじめ利用者にドメイン名を登録させ、これを起点にFQDNを収集するASMツールもあれば、利用者が登録した組織名を起点にドメイン名を特定し、これを基にFQDNを特定するツールもあります」と説明しています。この差は、次に触れる誤検知の量にも直結します。

出典・参考資料（3件）

• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課
• 出典：4.2 ASMツールに求める機能｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 出典：2.4 ASMや同カテゴリに類されることが多いツールやサービス｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1

ASMツールの費用相場と料金体系

継続監視を前提にする以上、費用は毎月かかり続けます。実額がいくらかと、その額が何で決まるかを分けて押さえると、自社の場合の見積もりが立てられます。

課金単位（対象ドメイン数・IP数・資産数）

ISOG-Jのガイダンスは、代表的な料金体系として4つの課金対象を挙げています。

• 組織規模（従業員数や売上）：広範囲の外部攻撃面を管理したい場合に、ほかの体系よりスケールメリットが出る
• 企業数：管理対象とする企業数で決まる。自社やグループ企業だけでなく取引先まで含められる場合もある
• ドメイン数：組織が管理するドメイン数で決まる。ここには落とし穴があり、課金対象がFQDN単位の場合とサブドメインを含めないドメイン単位の場合がある
• 機能制限：スキャン回数やAPI利用回数の上限で決まる。上限に達すると上位プランへのアップグレードが必要になったり、使う分だけ支払うクレジット方式が採られたりする

ドメイン数課金の見積もりでは、この単位の違いが実質の対象数を大きく変えます。サブドメインが数百あるドメインを1つとして数えるのか、FQDNごとに数えるのかで、同じ月額でも守備範囲がまるで違ってきます。

各社が公表している課金単位はこの4類型に収まらない場合もあり、IPアドレス数や検出資産数で決まる製品もあります。個別の課金単位は後述の比較表とサービス紹介で、各社の公式情報にもとづいて示します。

継続監視型とワンショット診断型で費用はどう変わるか

費用の総額を左右するもう1つの要素が、監視の頻度とプランの形です。継続監視型は月額または年額で課金が続き、ワンショット診断型は実施のたびに費用が発生します。継続監視と単発診断の両方を選べるサービスや、定期診断とは別に単発のメニューを用意しているサービスもあり、どちらの形を取るかで年間の総額は大きく変わります。

頻度をどう決めるかについて、経済産業省のガイダンスは、実施が頻繁なほどリスクは下がるが業務負荷は上がるとしたうえで、自社のセキュリティポリシーや業務負荷、攻撃の流行といった内外の要因から総合的に判断するよう促しています。毎日回すことが常に正解ではない、ということです。

この記事で紹介する21件のうち、公式サイトに実額が載っているのは次の5件だけです。いずれも国産、または国内の販売元が価格を公開しているものに限られます。

サービス	プラン	公開されている料金	年額換算の目安
ASM診断 PRO	BASIC	月額3,300円（税込）	約4万円
ASM診断 PRO	BUSINESS	月額33,000円（税込）	約40万円
GMOサイバー攻撃 ネットde診断	Lite	月額4,280円〜（税抜）	約5万円〜
GMOサイバー攻撃 ネットde診断 ASM	自走	月額40,000円〜（税抜）	約48万円〜
GMOサイバー攻撃 ネットde診断 ASM	伴走	月額120,000円〜（税抜）	約144万円〜
Securify	Webアプリケーション診断 STARTER	月額50,000円（年額600,000円）	60万円（ASMモジュールは別途・非公開）
Aikido Security	Pro（ASMを含む最下位プラン）	月額600ドル〜（10ユーザー・200リポジトリ）／国内はAndGoが月額5万円台〜と案内	約60〜72万円（AndGo経由の月額5万円台から換算。本体のProは月額600ドルで通貨が異なるため換算対象外）
MS&ADサイバーリスクファインダー	自社診断サービス	年間420,000円	42万円

ここから言えるのは、継続監視を1ドメイン規模で始めるなら年間数万円から、専門家の伴走まで含めると年間100万円を超えるという幅があることです。海外製の主要製品は個別見積もりのため、この幅の外側は問い合わせないと分かりません。予算の桁を確かめる段階では、実額が公開されている製品で当たりを付けてから見積もりを取ると進めやすくなります。

出典・参考資料（2件）

• 出典：4.3 ASMツールの注意点｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課

国産ASMツールと海外製ASMツールの違い

候補を眺めていると、国産と海外製のどちらを選ぶべきかで迷う場面が出てきます。優劣ではなく、どこが違うのかを整理しておきます。

先に言葉の定義をそろえます。この記事では製品を開発している事業者の所在地で国産と海外製を分け、契約や問い合わせの窓口が国内にあるかどうかは比較表の「日本語対応」列で別に示しています。

海外の技術基盤を使いながら国内事業者がサービスとして提供しているものについては、比較表に基盤の出どころを併記しました。検出したデータがどこに保管されるかは製品ごとに異なるため、社内規程で保管国が問われる場合は個別に確認してください。

まず違いが出るのが、契約と問い合わせの窓口です。国産の製品は提供元と直接やり取りできますが、海外製は国内代理店を介する形が一般的になります。

海外製の多くは、国内の代理店が販売とサポートの窓口を担っています。1社の製品を複数の代理店が扱っていることも珍しくなく、どこから買うかで支援の手厚さが変わります。代理店経由でも日本語のサポートは受けられますが、機能の詳細やサービス品質保証（SLA）の確認に一段階挟まることは想定しておきたいところです。個別の窓口は比較表の「提供元」列に記載しました。

ドキュメントとUIの日本語対応も差が出やすい箇所です。日本語ページを持つ海外製品でも、管理画面自体は英語のままだったり、技術ドキュメントが機械翻訳だったりすることがあります。

技術ドキュメントに機械翻訳である旨を明記している製品もあれば、UIの日本語対応を公表していない製品もあります。カタログやデータシートの日本語版があることと、管理画面が日本語で使えることは別の話なので、実際に触れるトライアルで確認しておきたい部分です。

スキャンの挙動にも違いがあります。ISOG-Jのガイダンスは、この点を明確に注意喚起しています。

特に海外製のASMツールでは、セキュリティに対する考え方や法律などの違いから、アグレッシブな動作をするツールが少なくありません。導入前に、利用するASMツールのスキャンの実施タイミングやスキャン内容などの、挙動・影響範囲に関する仕様をよく確認しておきましょう。

出典：4.3 ASMツールの注意点｜ASM導入検討を進めるためのガイダンス（基礎編）｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1

一方で、海外製にははっきりした強みもあります。インターネット全体を継続的にインデックスしてきた蓄積があり、探索の起点を組織名だけにしても子会社や買収先まで辿れる製品が揃っています。グループ会社や海外拠点を多く抱える企業ほど、この規模が効いてきます。

国産の強みは、日本語での運用のしやすさと、実額の見えやすさに集約されます。前述のとおり公式に月額を公開しているのは国産の製品ばかりで、小規模から始められるプランも用意されています。スモールスタートして社内に定着させたい場合は国産、大規模な統合運用を前提にするなら海外製、という向き不向きで考えると整理しやすくなります。

この軸は、比較表の「提供元」列と「日本語対応」列で製品ごとに確認できます。

出典・参考資料（2件）

• 出典：4.3 ASMツールの注意点｜ASM導入検討を進めるためのガイダンス（基礎編）｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 参考資料：Microsoft Defender External Attack Surface Management のドキュメント｜Microsoft

自社の人員でASMの運用を回せるか

ASMで最も見落とされやすいのが、入れたあとに誰が結果を裁くのかという問題です。ISOG-Jのガイダンスも「ASMツールではその特性上、未把握のIT資産やリスク情報が大量に検出される可能性があり、運用負荷は高くなりがちです」と率直に書いています。ここでは導入から定常運用までを時系列で追い、社内の体制と製品側の支援がどこで分担されるのかを見ていきます。

導入から運用に乗せるまでの流れ

導入直後にまず起きるのは、想定より多い資産が一覧に並ぶことです。そこから定常運用に乗せるまでは、おおよそ次の順序をたどります。

1. 初期スキャンを実施し、外部から見えている資産の一覧を得る
2. 検出結果が本当に自社（またはスコープ内の関連会社）のものかを確認し、明らかに無関係なものは運用側で除外する
3. 資産ごとに管轄部門を割り出し、確認や対応を依頼する連絡先を整理する
4. 脆弱性の内容と資産の重要度に応じた対応優先度と対応期限のルールを決める
5. 継続監視に移行し、新規に検出された資産を同じ流れで処理する

この2番目の工程を軽く見ると、以降がすべて滞ります。ISOG-Jのガイダンスは「明らかに自組織と関係ない情報などは他部門に確認を依頼する前に、運用側で除外しておく必要があります」と、フィルタリングを運用側の仕事として明示しています。

導入前に机上で判断しきれない場合は、経済産業省のガイダンスが勧めるように、少額の費用で実行できる範囲でPoC（概念実証）を挟むのが確実です。

検出結果の優先順位付け（トリアージ）

検出された脆弱性をすべて即座に直すことはできません。限られた人員で回すには優先順位が要りますが、その基準をCVSSスコアだけに置くと実態と合わなくなります。経済産業省のガイダンスは次のように指摘しています。

攻撃面のリスク評価がCVSSのハイスコア評価であっても悪用行為が確認されていなければスコア通りの対応優先度とはならないケースも想定される。

出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課（令和5年5月）

ISOG-Jのガイダンスも同じ方向を向いています。攻撃者の多くは内部ネットワークへの侵入を最初のステップにしているため、「脆弱性の対応優先度についても外部からの攻撃のしやすさという観点が盛り込まれていることが望ましい」としています。

製品を見るときは、リスクスコアの算出に実際の悪用状況が織り込まれているかを確認します。この記事で紹介する製品では、CVSSに加えてEPSS（悪用される確率のスコア）やCISA KEV（既知の悪用脆弱性カタログ）を参照するもの、脅威インテリジェンスで観測された攻撃活動を基準にするもの、実際に悪用可能かを検証してから通知するものなど、アプローチが分かれています。

誤検知とアラート疲れへの備え

ASMツールの誤検知は避けられない前提として扱うのが現実的です。経済産業省のガイダンスは、脆弱性がないのにあると表示される偽陽性と、あるのにないと表示される偽陰性の両方が起こり得ると明記しています。外部から見える情報だけで評価する以上、リスク評価は「脆弱性が存在する可能性の検知にとどまる」というのが同ガイダンスの整理です。

資産そのものの誤検出もあります。ISOG-Jのガイダンスは、すでに存在しないIT資産や、まったく別の組織のIT資産が結果に混ざり得るとしています。

この量を左右するのが、前述した探索の起点です。ドメイン名を起点にすると探索元が自社の資産だと分かっているため誤検出は少なくなり、組織名やブランド名を起点にすると類似の組織の資産が混ざりやすくなります。同ガイダンスは、後者のほうが対応の労力は増えるものの、発見される未知の資産の量は多くリスク低減に寄与しやすいと両面を示しています。誤検知の少なさを取るか、発見量を取るかという選択です。

検出された数が増えたときに運用がどう詰まるのかは、診断ツールを提供する側も同じ悩みとして把握しています。

アラート疲れを避けるには、通知の絞り込み設定がどこまで細かくできるか、専門家による精査が挟まる形態か、という2点を製品選定の段階で見ておきます。

レポートの日本語対応と社内共有のしやすさ

検出結果は、担当者の手元で完結しません。管轄部門に修正を依頼し、経営層にリスクの状況を説明するところまでが実務です。レポートがそのまま社内共有に使えるかどうかで、運用の負担は目に見えて変わります。

専門家の分析が付くサービスでは、エグゼクティブサマリと推奨対策、背景情報を分けた構成のレポートを提供するものがあります。非技術者向けにリスクをスコア化・ランキング化して示す形式も一般的です。ツール型の場合は、ダッシュボードの内容をそのまま報告に使えるか、日本語で出力できるかを確認しておきます。

ISOG-Jのガイダンスは、運用人員について「検出した情報を正しく読み解き、運用側で切り分けを行う必要があるため、ある程度の技術的なスキルを持った人材が必要となります」としたうえで、確保が難しい場合は運用のアウトソースやASMサービスの利用も検討すべきだとしています。人員の確保が難しいと分かった時点で、ツールではなくサービスに寄せる判断が選択肢に入ります。

製品ごとの支援の範囲は、比較表の「運用支援」列で確認できます。

ただし外部に委ねても、対応そのものまで預けられるとは限りません。診断結果への対応を顧客と一緒に進めている事業者は、その線引きをこう話しています。

出典・参考資料（4件）

• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課
• 出典：5.2 主管の決定・運用リソースの確保｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 出典：5.3 発見したIT資産・脆弱性情報への対応プロセスの検討｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 参考資料：脆弱性トリアージガイドライン作成の手引き｜脆弱性診断士スキルマッププロジェクト

ASMツールの選び方・比較ポイント

ここまで見てきた検出範囲・費用・提供元・運用の4つの軸を、自社の条件に当てはめる段階です。すべてを最高水準で満たす製品を探すより、自社にとってどの軸が重いかを決めるほうが候補は早く絞れます。

優先順位の決め方は、自社の現在地で変わります。公開資産の全体像がまったく見えていないなら検出範囲と探索の起点を最優先に、すでに棚卸しが済んでいるなら継続監視の頻度と優先順位付けの精度を重く見ます。専任の担当者がいないなら、機能の多さより運用支援の有無が結論を決めます。

既存の脆弱性管理・セキュリティ運用との連携

ASMは単体で完結する仕組みではないため、既存の運用にどう接続するかが選定を左右します。すでに脆弱性診断や脆弱性管理を回している場合、発見した資産をそのまま診断対象に載せられる製品を選ぶと、資産リストの二重管理を避けられます。

ISOG-Jのガイダンスは、ASMツールの拡張として脆弱性診断ツールとの統合、サプライチェーンを含めたスコアレーティング、脅威インテリジェンスとの統合という3方向を挙げています。自社がどこまでを1つの仕組みに載せたいかで、見るべき製品の範囲が変わります。

検出結果の受け取り方も確認しておきます。既存のチケット管理やSIEMに流し込みたい場合は、API連携や通知の連携先（メール・Slack・Webhookなど）に対応しているかが実務上の分かれ目になります。

企業規模・体制別の選び方

体制の違いは、選ぶべき型をかなりはっきり分けます。

情シス兼任でセキュリティを見ている場合は、低価格または無料から始められる国産ツールで自社の公開面を把握するか、専門家が精査まで担うサービスに寄せるかの二択になります。検出結果を自力で裁く前提の製品は、運用が止まりやすくなります。

専任担当者がいる中堅企業では、既存の脆弱性診断・脆弱性管理と地続きに使える型が効いてきます。発見から診断、修正の追跡までを1つの流れに載せられるかを軸に選びます。

グループ会社や海外拠点を抱える大企業では、探索の起点と対象範囲の広さが決め手になります。組織名を起点に子会社や買収先まで辿れる製品、企業数や組織規模で課金される料金体系が候補に入ります。経済産業省のガイダンスが指摘するとおり、企業間の連絡方法と脆弱性対応の役割分担を事前に整理しておくことも、あわせて必要です。

海外拠点やグループ会社を抱えているが、人手も予算も限られる場合は、この2つの条件がぶつかります。最初から全社を対象にすると課金対象が一気に増え、検出される資産の量も社内で裁ける範囲を超えます。この場合は範囲を段階的に広げるのが現実的です。

まず本社ドメインだけを継続監視の対象にして運用の型を作り、海外拠点やグループ会社は単発診断で年に一度状況を確かめます。そのうえで、どこにリスクが集中しているかが見えてから対象を広げると、費用も対応の負荷も見通せます。

経済産業省のガイダンスも調査対象範囲を「自社／グループ企業／サプライチェーンなどの取引先企業」の単位で決めるよう促しており、最初から最大範囲を取ることを求めてはいません。継続監視型と単発診断型の両方を選べるサービスなら、この段階的な進め方を1社の中で組み立てられます。

ただし、ASMを入れることが常に最善とは限りません。ISOG-Jのガイダンスは「ASMツールによるIT資産の検出には限界があることです。完全に網羅してIT資産を検出できるわけではないため、従来の管理施策と比べて、ASMツールでの検出結果は漏れが多い状態となり得ます」と述べ、ASMツール・ASMサービス・従来の資産管理施策の改善という3つの選択肢を念頭に検討するよう促しています。

ここまでの軸を自社の条件に当てはめると、候補はかなり絞れます。下の診断では、対象資産の広がり・社内の運用体制・提供元の希望・監視の形に答えると、条件に合うサービスが表示されます。

出典・参考資料（3件）

• 出典：コラム「ASMツールの拡張機能と付加価値」｜ASM導入検討を進めるためのガイダンス（基礎編）｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 出典：コラム「本当にASMが必要ですか？」｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課

【比較表】ASMツールをタイプ別に比較（全21サービス）

ここからは、ASMツール・ASMサービス21件をタイプ別に横並びで比較します。検出範囲・資産の調べ方・継続監視・提供元・日本語対応・運用支援・料金の各項目は、各社の公式情報で確認できた内容のみを記載しました。

「公式に記載なし」は非対応を意味しません。公式サイトや公式ドキュメントでは確認できなかった、という意味です。ASMを名乗る製品がサブドメインを検出できないことは考えにくく、多くは「対応しているが公式には書いていない」状態と考えられます。

そのため、この表の「公式に記載なし」は問い合わせやトライアルで最初に確かめる項目のリストとして使ってください。とくに検出範囲と運用支援の欄は、確認の結果で候補の順位が入れ替わりうる部分です。

【タイプ別比較表】外部公開資産の発見・継続監視に強いタイプ

【タイプ別比較表】脆弱性診断・脆弱性管理とあわせて使えるタイプ

【タイプ別比較表】専門家による調査・運用支援を受けられるタイプ

※上記は一般的な傾向です。実際の機能搭載の有無については各社情報をご確認ください。

3つの表を通して読むと、製品の性格の分かれ方がいくつか見えてきます。

• 実額が公開されているのは、国産と、国内の販売元が価格を案内している製品に限られる。海外製で金額が分かるのはAikido Securityのように公式が定価を出しているか国内の取扱事業者が価格を案内している場合で、それ以外は個別見積もりです。予算の桁を先に知りたい場合は、金額が公開されている製品から当たるほうが早く進みます
• 専門家によるトリアージ代行は、3つ目のタイプに集中している。1つ目・2つ目のタイプは検出結果を自社で裁く前提の製品が多く、運用の担い手が決まっていない場合はここが分かれ目になります
• 組織名や企業情報を起点に関係会社まで探索範囲を広げられる製品は、海外製にも国産にもあります。国産でもGMOサイバー攻撃 ネットde診断 ASM・AeyeScan・NRIセキュアのマネージドASM・MS&ADサイバーリスクファインダーは組織名や企業情報を起点にできると案内しています。探索の起点にドメインしか指定できないのか、組織単位でも辿れるのかは、製品ごとに個別に確認する必要があります
• ASMだけを単体で契約できるとは限らない。Aikido SecurityはProプラン以上に含まれる1機能、AeyeScanは本体診断ツールのオプション、Trend Vision Oneはプラットフォームの一機能で単体購入は確認できていません。ASMのためにどこまで買うことになるかは、料金と同じくらい先に確認したい点です
• 無料で試せる入口を持つ製品は限られる。無料プランや無料診断があるのはASM診断 PRO・イージスEW・Aikido Security（ASM機能はProプラン以上）、無料トライアルがあるのはMicrosoft Defender EASM・Trend Vision One・Securify・GMOサイバー攻撃 ネットde診断 Lite、初回の簡易診断が無料なのはMS&ADサイバーリスクファインダーです

ASMツール・ASMサービスの個別紹介

ここからは各サービスを、検出範囲・課金単位・運用支援・日本語対応の観点で個別に紹介します。いずれも公式情報で確認できた内容にもとづいています。

外部公開資産の発見・継続監視に強いタイプ

自社が何を公開しているかの全体像から把握したい企業、グループ会社や海外拠点を横断して見たい企業に向く8サービスです。

1. GMOサイバー攻撃 ネットde診断 ASM（GMOサイバーセキュリティ byイエラエ株式会社）

社名・製品名・ドメイン名を起点に、外部公開資産をシャドーITまで含めて棚卸しするツール型のASMです。棚卸しの対象はメールサーバ・Webサーバ・SSHサーバ・VPN機器などのネットワーク機器で、公式は国産ASMツールと位置づけています。サブドメイン・クラウド資産・SSL証明書を検出できるかは、公式サイトに記載がありません。

調べ方は、対象に負荷をかけないパッシブスキャンと、疑似的な攻撃通信を送るアクティブスキャンの併用です。登録した資産に紐づく認証情報がダークウェブ上に漏れていないかを確認する機能も備えます。料金はツールを自社で回す自走プランが月額40,000円から、専門家の定期ミーティングと対策結果の管理まで付く伴走プランが月額120,000円から（いずれも税抜、初期費用0円・最低契約期間あり）。

同じ「ネットde診断」の名前で提供されるLiteは、Webサイトの脆弱性診断を毎日自動で回す別プランで、1ドメインあたり月額4,280円（税抜）から、初回登録に限り30日間無料で試せます。ASM本体の無料トライアルについては公式に記載がありません。2026年7月15日からは全プランに東京海上日動火災保険のサイバーリスク保険（補償最大100万円）が追加料金なしで付帯します。

2. ANTERAS ASM（株式会社マクニカ）

2021年6月にMacnica ASMとして提供が始まり、2026年5月のブランド再編で現在の名称になった、株式会社マクニカ開発の国産ASMです。検出対象は本社・グループ会社・関連ドメインを含むドメインとサブドメイン、IPアドレス、外部公開サービス、いわゆる野良サーバなどの未把握資産で、公開ポートの設定不備や既知の脆弱性まで拾います。

探索はWhois・MXレコード・NSレコードをたどって関連資産のつながりを追う方法をとり、同社セキュリティ研究センターのアナリストの知見を組み合わせます。優先順位は攻撃者の動向と悪用時の影響を踏まえて付き、対処すべき順序としてダッシュボードに表示されます。SSL証明書とダークウェブ上の漏洩情報が検出対象に含まれるかは、公式製品ページに記載がありません。

初期費用・月額とも公表がなく、料金は要問い合わせです。

対象をドメイン最大10個・IPアドレス最大20個に絞ったASM Entryサービスや、検出後の通知・リマインド・月次報告を代行するANTERAS ASM Assist（技術的な追加分析は含まない）といった周辺メニューがあり、予算と体制に応じて組み合わせられます。窓口は日本語のメールと電話で、ASM Entryサービスの対応時間は平日9時〜17時です。

3. ASM診断 PRO（株式会社Media Beats）

ドメインを入力すると所有権の認証なしで受けられるPublic診断から始まり、DNSのTXTレコードで所有権を確認したうえでVerified運用へ移る、という段階を踏む構成のSaaSです。提供元は株式会社Media Beatsです。月額数千円という価格帯の製品を選ぶときは、診断結果の保管期間とサポートの窓口、契約後に相談できる範囲を契約前に確認しておくと、運用に乗せてからの見込み違いを避けられます。

見ているのはドメインとサブドメイン、DNS設定、TLS証明書で、サブドメインの自動探索のほか、ダングリングDNSや管理画面の露出、証明書の不備を検出します。情報の集め方はHTTP応答・TLS証明書・DNSレコードを外部から非侵入で取得する範囲に限られ、侵入を伴うテストは対象外と公式のよくある質問に明記されています。IPアドレス単体・クラウド資産・漏洩情報への対応は公式に記載がありません。

料金は月額のみで、1ドメイン・週1回監視のFREEが0円、3ドメインで毎日監視のBASICが月額3,300円、30ドメインのBUSINESSが月額33,000円（いずれも税込）、上位のENTERPRISEは個別見積もりです。ダッシュボードを自社で見て運用する前提の設計で、専門家による分析や伴走支援は公式に記載がなく、問い合わせは平日10時〜18時のフォーム受付となっています。

4. Cortex Xpanse（パロアルトネットワークス株式会社）

米Palo Alto Networksが2020年に買収したExpanse社の技術を取り込んだEASM製品で、国内では日本法人に加えテクマトリックスやラックが販売を担っています。顧客側にエージェントを入れる必要も、資産リストを事前に登録する必要もなく、インターネット側の視点でスキャンする点を公式が明記しています。

検出対象はルートドメインとサブドメイン、IPアドレスとIPレンジ、デバイス、SSL/TLS証明書、そして未承認・未管理のものを含むクラウド資産で、探索はアクティブとパッシブの収集技術を併用します。

公開されたRDPサーバなどを自動で是正するActive Response、実害のない疑似攻撃で脆弱性の実在を確かめるAttack Surface Testing、取引先やM&A対象企業の公開資産を調べるLinkをモジュールとして追加できます。

料金は公式・国内代理店とも非公開で、基本のSKUに管理対象資産の規模に応じたSKUを組み合わせる体系が示されています。製品UIの日本語対応について公式サイトに記載はなく、日本語での支援は代理店経由となります。テクマトリックスは検出結果の分析、要修復ホストリストの作成、標準50IPアドレスまでの脆弱性診断を組み合わせたサービスを提供しています。

5. CyCognito（CyCognito Ltd.）

資産リストを事前に用意せず、企業名を入れるだけで外部公開資産のマッピングを始めるSeedless Discoveryを掲げるEASMプラットフォームです。グラフ構造の分析によって、見つけた資産を子会社・ブランド・事業単位へ自動的に結び付けるため、買収先や関連会社まで含めた広がりを追えます。

公式が検出対象として挙げているのは、WebアプリケーションとAPI、クラウドサービスやSaaSの資産、オンプレミス資産、さらにチャットボットやLLMのエンドポイントといったAI関連資産です。

重要な資産は日次スキャンが最高頻度と明記され、発見のしやすさ・攻撃者から見た魅力・実際の悪用可能性の3段階で優先順位を付けます。ドメインやSSL証明書を検出対象として個別に列挙した記載は、公式ページでは確認できません。

料金は非公開で、資産の可視化は資産数、セキュリティテストはアクティブIP数とWebアプリ数を課金の基準にすると公式に説明されています。国内では日立ソリューションズが2020年11月から代理店を務め、初回設定支援と月1回の定期診断・報告会、日本語での一次保守サポートを付けて提供しています。

6. Microsoft Defender EASM（日本マイクロソフト株式会社）

Azureのリソースとして作成して使うEASMで、土台になっているのはマイクロソフトが2021年に買収したRiskIQの検出技術です。2022年8月のIgniteで提供が始まりました。RiskIQは単体ブランドとしては提供を終えており、その検出技術は本製品に引き継がれています。

起点として登録できるのはドメイン・ホスト・IPアドレスブロック・メール連絡先・ASN・Whois組織情報で、ここからWhois・DNS・SSL証明書・ASNの一致を再帰的にたどって関連資産を広げます。インベントリにはページやSSL証明書も並び、承認済みの資産には約230種類のポートへの能動的なスキャンを実施します。ダッシュボードのデータは毎日更新され、起点の再スキャンは既定で週単位です。

課金は承認済みインベントリの資産単位・日割りの従量制で、単価は公式の価格ページに掲載がなく、Azureの料金計算ツールか営業窓口での確認が必要です。リソースを初めて作成すると30日間の無料トライアルが自動で付きますが、専門家によるトリアージや運用の伴走支援については公式に記載がありません。

日本語ドキュメントは機械翻訳である旨がページに明記されており、UIとサポートの日本語対応可否も公式には示されていません。

7. Mandiant Attack Surface Management（Google LLC）

2004年設立のMandiantが2021年に始めたASMで、2022年9月のGoogleによる買収を経て、現在はGoogle Cloudのセキュリティ製品群に属します。

検出対象は外部公開資産やシャドーITにとどまらず、認証情報を使ったAWS・Azure・Google Cloudの資産、GitHubなどのコードリポジトリ、タイポスクワッティングを狙った類似ドメイン、モバイルアプリ、取引先のインフラまで広がります。

探索は起点となるシードを登録し、関連するエンティティを自動生成してスキャンを実行する流れで、パッシブとアクティブの区別は公式資料に示されていません。優先順位は脆弱性の悪用可能性と、悪用された場合の影響度で決まります。料金は非公開の要問い合わせで、日本語UIの対応状況も公式には確認できず、国内はマクニカがGoogle Cloud・Mandiant製品の日本語サポート窓口を担っています。

提供形態が変わる可能性がある点は、検討前に確認しておく必要があります。この製品を組み込み機能として含むSecurity Command CenterのEnterprise tierは2027年5月21日に終了予定で、既存の組織はASMを含まないPremium tierへ自動的に移行するとされています。

旧Mandiant AdvantageのユーザーにはGoogle Threat Intelligenceへの移行案内も出ており、現在どの形態で購入できるかは公式への確認が要ります。

8. Recorded Future Attack Surface Intelligence（Recorded Future, Inc.）

脅威インテリジェンスのプラットフォームを提供するRecorded Futureが、その9つのモジュールの一つとして用意しているのがAttack Surface Intelligenceです。ライセンスはモジュール単位で、この機能だけを単体で契約できるかは公式に明記されていません。

検出の土台は、10年以上ためてきたDNS・WHOIS・SSL/TLS証明書の履歴データです。ここから忘れられた古いインフラやシャドーIT、子会社・グループ会社や取引先のインフラ、クラウド資産、期限切れの証明書を洗い出します。優先順位は悪用のしやすさに加えて、実際に観測されている攻撃活動を基準に付けられ、攻撃者が現に狙っている露出に絞り込む設計です。

探索は外部から取得できる情報を使うパッシブ調査が中心で、能動的なポートスキャンの実施については公式に記載がありません。料金は非公開の要問い合わせです。国内はNRIセキュアテクノロジーズや株式会社インテリジェント ウェイブなどの代理店が扱い、日本語での提案・PoC支援・オンボーディング・問い合わせ対応は代理店経由で受けられます。

脆弱性診断・脆弱性管理とあわせて使えるタイプ

すでに脆弱性診断や脆弱性管理を運用しており、資産の発見から診断・修正までを地続きにしたい企業に向く8サービスです。

9. Aikido Security（Aikido Security BV／株式会社AndGo）

開発元はベルギーのAikido Security BVで、日本では株式会社AndGoが正規代理店として提供しています。ソースコードからクラウド、実行環境までを11種類のスキャナで横断的に診断するオールインワン型のプラットフォームで、ASMにあたるのは「Attack Surface Monitoring」という1スキャナです。製品の主眼はコードとクラウドの脆弱性診断側にあります。

Attack Surface Monitoringの検出範囲は、サブドメイン列挙による公開システムの把握、IPアドレスと公開ポートの特定、AWS・Azure・GCPのクラウド資産、SSL/TLS証明書の有効期限や弱い暗号方式、SPF・DKIM・DMARCなどのDNS設定、ダークウェブ上の認証情報漏洩まで公式に挙げられています。

クラウドアカウントを連携すると、Route 53のレコードから資産情報が自動で補完されます。

料金はユーザー数とリポジトリ数でプランが決まり、Attack Surface MonitoringはProプラン以上に含まれる機能です。公式料金ページのProは月額600ドル（10ユーザー・200リポジトリ、2026年8月時点）、日本ではAndGoが2025年7月の発表で月額5万円台からと案内しています。

日本語での導入支援と運用の伴走、請求書払いはAndGoが担い、管理画面とドキュメントの日本語対応も告知されています。

10. Securify（株式会社スリーシェイク）

Webアプリケーションの自動脆弱性診断（DAST）を中核に、ASM・WordPress診断・SaaS診断・CSPM・SBOMを1つのシリーズにまとめた国産のSaaSで、提供元は株式会社スリーシェイクです。ASMは2024年10月にリリースされた独立モジュール「Securify ASM」が担い、棚卸しした資産に対してそのまま自動の脆弱性診断を実行できます。

検出対象は、登録したドメイン・グローバルIPと、AWS・Google Cloud・Azureのアカウントを起点とする外部公開資産です。子会社や関連会社が抱える未把握の資産も対象で、イントラネット内の資産はオプション対応、SSL証明書を含むかどうかは公式に記載がありません。スキャンは日次で実行され、CVEを検出するとメール・Slack・Webhookで通知されます。

料金はWebアプリケーション診断のSTARTERプランが月額5万円（年額60万円、診断対象1 IP/FQDN）からで、Securify ASM自体の料金は公開されておらず、資産規模に応じた個別見積もりになります。サポートは平日10時〜18時のメール対応、標準の契約期間は12か月で、最短即日で始められる無料トライアルも用意されています。

11. AeyeScan（株式会社エーアイセキュリティラボ）

AIとRPAによる自動クローリングでWebアプリケーションを診断する国産ツールで、開発・提供は株式会社エーアイセキュリティラボです。ASMを担う「AeyeScan Web-ASM」は独立した製品ではなく、この本体診断ツールのオプション機能として提供されます。本体の有償契約は300社以上と公表されています。

探索の起点は組織名で、生成AIが検索結果に上がった組織名を解読し、SSL証明書やIR情報などを突き合わせて自社の資産かどうかを判定します。対象はグループ会社や事業部門が公開するWebサイト・アプリケーション・APIが中心でしたが、2026年7月にポートスキャン・CVE照合・簡易ネットワーク診断が加わり、プラットフォームやネットワークの領域まで広がりました。

検出した資産ごとにCVSSの深刻度・EPSS・KEVの3つを並べて表示し、生成AIが深刻度を日本語で解説する機能を2025年12月に追加しています。料金は本体とWeb-ASMを合わせた個別見積もりで、公式に実額の記載はありません。継続監視の間隔とサポートの対応時間も、公式には示されていません。

12. Trend Vision One（トレンドマイクロ株式会社）

トレンドマイクロの統合セキュリティプラットフォームで、ASMにあたるのは一機能の「Cyber Risk Exposure Management（CREM、旧ASRM）」です。公式サイトの現在の表記は「TrendAI Vision One Cyber Risk Exposure Management」です。

外部スキャン専業のツールではなく、エンドポイント製品やEntra ID・Active Directoryとの連携、自社ドメインの登録によって集めたデータをリスクとして分析・スコアリングする構成が中核になります。

評価対象はPC・サーバーなどのデバイス、ドメインやIPアドレスといったインターネット接続資産、クラウド資産、IdP連携で把握したアカウントに及びます。自社ドメインを登録すると外部公開資産の監視が有効になりますが、パッシブ調査かポートスキャンかといった探索技術は公式に示されていません。ダークウェブ上の漏洩情報の監視も、公式に記載がありません。

リスクは1〜100のCyber Risk Indexとして4時間ごとに自動更新され、2025年5月の更新でCVSSに加えEPSSが算出に組み込まれました。CREM単体での購入は確認できず、料金はクレジット制のライセンス「TrendAI Flex」に含まれる形で、課金単位も公開されていません。国内法人による日本語のUI・サポートがあり、30日間の無料トライアルはCREMも対象です。

13. Tenable Attack Surface Management（Tenable, Inc.）

インターネット全体を継続的にマッピングし、50億以上の資産を含む攻撃対象マップを持つと公式に記載されている海外製のツールです。単体でも利用できますが、同社の脆弱性管理プラットフォームや統合基盤「Tenable One」に組み込むと、発見した資産を数クリックでNessusなどのスキャン対象に載せられます。

探索の起点はドメイン・IPアドレス・ASNで、そこから関連するドメイン名・ホスト名・IPアドレスを自動で発見し、オンプレミス・クラウド・ホスティングサービス上の資産を対象にします。ポートスキャンはTCPのみでUDPには対応せず、SSL証明書の検出とダークウェブの漏洩情報監視は公式ドキュメントに記載がありません。

発見した資産には200以上のメタデータ項目が付き、新しいサーバーの稼働や新規ポートの開放を検知して通知しますが、再スキャンの間隔は公式に示されていません。料金は非公開で、公式サイトに実額も課金単位の記載もありません。日本語の製品ページはなくUIの日本語対応も公式に記載がないため、日本語での問い合わせや導入支援はアシスト・ネットワールドなどの国内代理店が窓口になります。

14. Rapid7 Exposure Command（Rapid7, Inc.）

Rapid7でASMを担うのは「Surface Command」というモジュールで、単体でも提供されます。これに脆弱性管理エンジンのInsightVMなどを束ねた上位パッケージが「Exposure Command」です。かつて単体製品として提供されていたInsightVMは、現在このパッケージに統合されています。

登録したドメインとパブリックIPネットワークを起点に、IPアドレス・ドメイン・開放ポート・SSL/TLS証明書といった外部資産を発見します。サーバーやモバイル端末などの社内資産とID情報も同じインベントリに載り、クラウド資産は上位のUltimateで対象に加わります。ダークウェブの漏洩情報監視は、公式ドキュメントでは確認できません。

探索はShodanなど外部データソースの取り込みと定期的なアクティブスキャンを併用し、公式ドキュメントは更新頻度を「通常は日次」と説明しています。料金は資産数に応じた従量制で、実額は環境と要件に応じた個別見積もりです。日本法人による日本語の問い合わせ窓口はありますが、管理画面の日本語対応の範囲は公式に記載がありません。

15. イージスEW（株式会社未来研究所）

株式会社未来研究所が2023年4月から国内で販売している診断ツールで、通信を送らないパッシブスキャンによるASM診断と、実際に侵入を試すアクティブスキャンの2モードを使い分けられます。アクティブスキャンはOpenVASに登録された45,000種類を超える攻撃パターンで侵入を試行するため、稼働中のIDS/IPSの事前停止と業務時間外の実施が公式に推奨されています。

メインドメインを起点にサブドメインを自動で検出し、管理されていない野良サブドメインや放置端末を洗い出します。診断はCVE・AWS/Azureの設定・SPF/DKIM/DMARC・漏洩情報・TLS/SSL証明書・HTTPセキュリティヘッダー・ポート・野良端末の8分野に分かれ、アクティブスキャンはIPアドレスを基軸に対象端末を診断します。

結果はCVSS v3.1のスコアを色分けで示し、8分野を総合した100点満点のレーティングも表示されます。定期診断は日次・週次・月次から選べ、契約期間は1〜3年、単発の「ASM1ショット」もあります。料金は初期費用・月額とも非公開で要問い合わせですが、無料版のASM診断とデモが用意され、診断後のシステム改修作業の支援にも対応するとしています。

16. ULTRA RED（ULTRA RED, Ltd.）

発見・テスト・検証・優先順位付け・修復の5段階を1つのサイクルとして回すCTEM（継続的脅威エクスポージャー管理）プラットフォームで、提供元はイスラエルのULTRA RED, Ltd.（KELA Groupのグループ会社）です。社内への機器設置や認証情報の提供は不要で、ドメイン名を入力すれば稼働を始められるとしています。

資産の発見はDNS列挙・証明書透明性ログの解析・ASNからのIPレンジ特定といったパッシブ寄りの手法が中心です。対象は開発や検証で使われたまま忘れられたサブドメイン、IPアドレス、S3やAzure Blobなど公開設定に不備のあるクラウドストレージ、Webアプリケーション・API、開放ポート、メールインフラなどで、ダークウェブでのアカウント漏洩監視は別のCTIモジュールが扱います。

発見した弱点には攻撃シナリオを当てて実際に悪用できるかを確かめ、CVSSのスコアではなく検証を通過したリスクを基準に優先順位を付けます。料金は公式サイトに実額の記載がなく要問い合わせです。日本語の公式サイトはありますが、管理画面やレポートの日本語対応は公式に記載がなく、問い合わせ窓口は国内の販売代理店が担っています。

専門家による調査・運用支援を受けられるタイプ

検出結果を読み解いて裁く人員が社内にいない企業、情シス兼任でセキュリティを見ている企業に向く5サービスです。

17. OSINTモニタリング（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）

NTTグループのセキュリティ専業会社が、公開情報（OSINT）を継続的に収集・分析して自社に関わるリスクを可視化するサービスです。NTT研究所が開発した検出ツールによる自動検出と、専門リサーチャーによる裏付け調査を組み合わせた形で提供されます。

公式に挙げられている検出対象は、ドメイン・IP・システムなどの関連資産に加え、流出した認証情報や機密データ、サポート切れOSや脆弱性のあるシステムなどです。ハッカー掲示板・ダークネット・不正な情報売買マーケットまで監視領域に含む一方、クラウドやSaaSの資産・SSL証明書を個別の監視対象として挙げた記載は公式サイトにありません。

収集は公開情報からのパッシブな調査が主体で、能動的なスキャンを行うかどうかは公式に記載がありません。裏付け調査から分析、レポート作成までを同社の専門リサーチャーが担います。通知される事象も、「脅威×資産×脆弱性」の分析で実際に攻撃へ利用される可能性が高いものに絞られます。

レポートはエグゼクティブサマリ・推奨対策・背景情報の3部構成で、経営層への報告と実務者の対処を分けて使えます。ANAホールディングスの導入事例では、大量の脆弱性情報から必要なものを見極める工数が減ったとするコメントが公開されています。料金は初期費用・月額とも公式に記載がなく、要問い合わせです。

18. マネージドASMサービス（NRIセキュアテクノロジーズ株式会社）

探索の起点になるのは、企業名・ドメイン・IPアドレスといった基本情報です。野村総合研究所グループのNRIセキュアテクノロジーズが2024年6月から提供しており、商用のASMツールに自社の内製ツールを併用して外部公開資産を洗い出します。

検出の対象として公式に挙がっているのは、OS・プロダクトのバージョン・公開ポート・管理コンソールなどです。サブドメイン、クラウドやSaaSの資産、SSL証明書を対象に含むかは公式に記載がありません。漏洩情報や脅威情報にもとづく監視を足す場合は、オプションのマネージド脅威インテリジェンス分析サービスと組み合わせる形になります。

顧客側の負担が変わるのは検出後の工程です。検出結果の分析とトリアージを同社のアナリストが代行し、対処の優先度・緊急度を見極めたうえで提示します。優先順位付けに使われるスコアリング方式の詳細までは公開されていません。

提供の形は継続監視型で、継続的な資産探索とリスク評価を前提に設計されています。単発診断としての提供可否は公式に記載がありません。料金は個別見積もりで金額の記載はなく、サービスページも含めて日本語での提供です。

19. SIV-ASMサービス（株式会社セキュアイノベーション）

沖縄県那覇市に本社を置くセキュアイノベーションが、2025年8月から提供しているASMサービスです。台湾のサイバーセキュリティ企業CyCraftのEASM基盤「XCockpit EASM」を使い、指定されたドメインを対象に資産の調査からレポート作成までを同社が実施します。

公式ページに示された調査対象は、ドメインと関連サブドメイン、IPアドレス、クラウド資産、WebアプリケーションやAPIに加え、ダークウェブから収集した漏洩アカウント情報や侵害端末の情報です。サブドメインは1ドメインあたり最大50件が目安とされています。SSL証明書を対象に含むかについては、同サービスの公式ページに記載がありません。

ワンショット（単発）と月額の継続監視の両方から選べるため、まず現状把握だけを単発で行い、必要と判断してから継続監視に移す進め方ができます。いずれのプランも料金は個別見積もりで、公式に金額の記載はありません。

調査・精査・レポート作成・報告会という流れを同社のアナリストが担当し、レポートはHTMLとCSVの形式で提供されます。窓口・レポート・報告会はいずれも日本語で、国内企業が提供元となる一方、脅威インテリジェンスの基盤は台湾CyCraft側に依拠する構成です。

20. UGINT ASM（株式会社デジタル鑑識研究所）

顧客側の作業は、調査対象のドメインを指定するところまでです。その後の監視・調査はデジタル鑑識研究所が担い、契約期間中は指定ドメインに紐づくIT資産の弱点を常時監視すると説明されています。

監視の対象には、IT資産の技術的な脆弱性に加えて、ダークウェブや招待制の犯罪者コミュニティなどアンダーグラウンドに流通する情報も含まれます。グループ企業・取引先・外部委託先といった関連組織の資産にも言及がある一方、サブドメイン・IPアドレス・クラウド資産・SSL証明書を個別に挙げた記載は公式サイトにありません。

同社は、ダークウェブへ直接アクセスしないパッシブな調査を中心とする設計だと説明しています。発見したリスクは重大度を含む複数の要因でスコアリングされ、早急な対応が必要なリスクや組織が可視化されます。算出の基準そのものは公開されていません。

料金は個別見積もりで、公式サイトに金額の記載はありません。監視の頻度も「常時監視」という記述にとどまり、スキャン間隔の具体は公開されていません。千葉県松戸市に本社を置く国内企業による日本語での提供で、問い合わせは電話とフォームの両方を受け付けています。

21. MS&ADサイバーリスクファインダー（三井住友海上火災保険株式会社ほか）

損害保険会社が母体となっているサービスです。三井住友海上火災保険・あいおいニッセイ同和損害保険・MS&ADインターリスク総研の3社が、米国のサイバー保険会社Coalitionと共同開発したASM技術を用いて提供しています。ここで取り上げるのは、自社の外部公開資産を診断する自社診断サービス（中小企業向け）です。

登録するのは会社名とメールアドレスのドメインなどの基本情報だけで、そこから外部公開資産の診断が始まります。診断結果に表れるのはドメインと外部公開IPアドレス、稼働ソフトウェアのバージョンと既知の脆弱性、流出しているパスワード情報の件数などです。クラウドやSaaSの資産・SSL証明書を独立した項目として示した公式記述は確認できません。

診断は継続提供型で、レポートは毎月1回届き、ゼロデイ攻撃につながる欠陥を検知した場合は都度通知されます。料金は年間420,000円と公式に実額が示されており、初回の簡易診断レポートと、内容を解説するオンライン面談は無償です。

レポートには診断スコア（0〜100）、被害を受けた場合の想定額、危険度別の課題件数が並び、社内への説明にそのまま使える構成です。診断後の優先対策については、専門家によるオンライン相談窓口「セキュリティサポートデスク」が対応します。サイバー保険の契約有無にかかわらず利用でき、申し込みは三井住友海上の代理店・扱者を経由します。

ASMツールを導入するメリット

ここまで各社の実態を見てきたところで、ASMツールを導入することで何が得られるのかを整理しておきます。

管理台帳に載っていない資産が見えるようになります。これがASMの中心的な価値です。ここまで見てきたとおり、その広さは探索の起点で変わります。ドメイン登録を起点にする製品は自社ドメイン配下を確実に、組織名を起点にする製品は子会社や買収先まで含めて拾う設計で、どちらを選ぶかで見える範囲が決まります。

変化に気づける状態になります。年に1回や四半期に1回の診断では、その合間に増えた資産や公表された脆弱性を追えません。継続監視型のASMは、新しいサーバが立ち上がったことや新たなポートが開いたことを検知して通知します。侵入経路の多くが外部に露出した機器である以上、この時間差を縮める意味は小さくありません。

対応の優先順位を付けやすくなります。資産と脆弱性の情報が一箇所に集まることで、どこから直すかの判断材料が揃います。外部からの攻撃のしやすさを優先度に織り込めるようになる点は、限られた人員で運用する組織ほど効いてきます。

社内外への説明がしやすくなります。スコア化されたレポートは、経営層への報告や、取引先・監査対応でセキュリティ状況の説明を求められた場面でそのまま使えます。

ASMと脆弱性診断・EASM／CAASMの違いと使い分け

ASMは似た名前・似た守備範囲の手法と混同されやすく、そのまま製品選びを誤る原因にもなります。ここで隣接する手法との違いを整理し、ASM単体で終わらせないための道筋を確認します。

ASMと脆弱性診断の違いと使い分け

経済産業省のガイダンスは、両者がリスクを検出・評価するという目的では同じだとしたうえで、3つの観点で異なると整理しています。対象とするIT資産、脆弱性情報の確度、対象に及ぼす影響の3つです。

観点	ASM	脆弱性診断
対象	インターネット上を検索し、発見したものを対象とする	対象をあらかじめ指定する
脆弱性の特定確度	通常アクセスの範囲で行うため確度が低い可能性がある	攻撃を模したパケットを送信し、その応答を評価することで一定の確度が確保される
対象への影響	パケットがセキュリティ監視装置に検出されることはほとんどない	セキュリティ監視装置でアラームを検出したりシステムダウンを誘発したりすることがある

頻度とコストまで含めた対比は、ISOG-Jのコラムが示しています。リスク評価の頻度はASMツールが毎日から月1回程度であるのに対し、脆弱性診断は診断調整も必要なため年に1回から数回程度にとどまります。コストはASMツールが安価、脆弱性診断が高価という整理です。ただし同コラムの脆弱性診断は、専門家による手動診断サービスを想定している点に留意が必要です。

専門家が訪問して行う診断が年1回程度に落ち着く理由は、その診断を提供している事業者の説明からも見えてきます。

使い分けの結論は、どちらかを選ぶことではありません。経済産業省のガイダンスは「ASMと脆弱性診断は異なるものであり、目的に応じて使い分けや併用を検討すべきである」としています。ASMで広く浅く発見し、重要な資産は脆弱性診断で深く確かめる、という組み合わせが基本形になります。

併用する側の脆弱性診断をこれから選ぶ場合は、診断の方法（ツール型と手動）・費用相場・サービスの選び方を次の記事にまとめています。ASMで見つけた重要な資産を、どこにどこまで深く診てもらうかを決める材料になります。

ASMとEASM・CAASMの違い

EASMとASMの関係は、参照する文書によって扱いが違います。経済産業省のガイダンスは「外部からアクセス可能であるという点を強調してEASM（External Attack Surface Management）と紹介されることもあるが、本書ではASMとEASMを同じ意味として取り扱う」と、同義として扱う立場を取っています。

一方でISOG-Jのガイダンスは、ASMに類されることが多いツールの種別としてEASMとCAASMを区別しています。EASMは「インターネット上を探索し、自組織に関連したIT資産を発見、セキュリティチェックを実施し、リスクを評価する」ものとされています。

一方のCAASM（Cyber Asset Attack Surface Management）は「クラウドサービスプロバイダのAPIや既存のセキュリティ製品の外部連携機能などを活用し、IT資産および利用製品、設定の情報を取得し、リスクを評価する」ものとされています。

違いは情報の取り方にあります。EASMは外から探しに行き、CAASMは内側のAPIや既存製品から集めます。「EASM 比較」で候補を探している場合、実質的にはこの記事で扱っているASMツールと同じ製品群を見ていることになります。

ただしISOG-Jのガイダンス自身が、この分類は網羅的・排他的なものではなく、実際の製品は複数の特徴を兼ね備えることがあると断っています。製品名にどの略語が付いているかで判断せず、何を起点にどこまで見るのかで確かめるのが確実です。

ASMを導入すれば脆弱性対策が完結するという誤解

ここまでの整理から導かれる結論を、ISOG-Jのコラムが端的に書いています。

結論から述べると、ASMツールは脆弱性診断の代わりにはならず、その逆に脆弱性診断もASMツールの代わりにはなりません。

ASMツールと脆弱性診断の違いを簡単に言い表すと、一般的にASMツールは「広く浅く早く」、脆弱性診断は「狭く深く正確に」脆弱性の検出や評価を行うという違いがあります。

出典：コラム「ASMツールは脆弱性診断の代わりになる？」｜ASM導入検討を進めるためのガイダンス（基礎編）｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1

ASMの守備範囲には、外部から見えないものは入りません。ISOG-Jのガイダンスは、外部調査ではVPN機器やアクセス制限をしているサーバを発見できないこともあると注意を促しています。

記事の前半で触れたとおり、侵入経路の多くはVPN機器です。ここは切り分けて理解しておく必要があります。インターネットに口を開けているVPN機器は、ポートや稼働ソフトウェアのバージョンとして外部から観測できるためASMの検出対象に入りますが、接続元IPを絞るなど外部から見えない設定にしてある機器は、ASMでは見つかりません。「ASMを入れたからVPN経由の侵入は塞げた」とは言えない、ということです。

VPN機器の管理は、ASMで拾えた分を起点にしつつ、社内の機器台帳とファームウェアの更新状況の突き合わせを別途回すのが確実です。ASMの役割は「台帳から漏れている口を見つけること」で、台帳に載っている機器を守る作業を置き換えるものではありません。

ASMは発見の仕組みであり、診断も修正もその外側にあります。導入を検討する段階で、見つけた後に誰がどう直すのかまで含めて設計しておくことが、結果的にASMを活かす近道になります。

出典・参考資料（4件）

• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課
• 出典：コラム「ASMツールは脆弱性診断の代わりになる？」｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 出典：2.4 ASMや同カテゴリに類されることが多いツールやサービス｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 出典：5.1 現状のIT資産の特定と評価｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1

まとめ

ASMツールの比較で最初に効くのは、検出範囲と探索の起点です。ドメインを起点にするか組織名を起点にするかで、見つかる資産の量と誤検知の量が同時に変わります。自社の公開面がどこまで広がっているかを見積もったうえで、必要な範囲を先に決めると候補は絞れます。

次に見るのが、費用の決まり方と運用の担い手です。料金は組織規模・企業数・ドメイン数・機能制限のいずれか、あるいはIPアドレス数や検出資産数で決まり、ドメイン数課金でも数え方によって実質の対象数が変わります。そして検出結果を裁く人員が社内にいるかどうかが、ツール型とサービス型のどちらを選ぶかを決めます。

国産と海外製の違いは優劣ではなく、日本語での運用のしやすさと探索の規模のどちらを重く見るかという判断です。

ASMは発見の仕組みであって、脆弱性対策そのものではありません。見つけた後の診断と修正まで含めて設計しておくことが、導入を成果につなげる条件になります。気になるサービスが見つかったら、まず資料で検出範囲と課金単位、運用支援の内容を確かめてください。

よくある質問（FAQ）

Q. ASMツールとは何ですか？

A. ASMツールとは、組織の外部（インターネット）からアクセス可能なIT資産を発見し、そこに存在する脆弱性などのリスクを継続的に検出・評価するツールです。

経済産業省のASM導入ガイダンスは、この一連の取り組みをASMと定義し、それを実行するツールをASMツールと整理しています。提供形態にはSaaS型とインストール型があり、ツールに加えて専門家による分析まで含めて提供されるものは、一般にASMサービスと呼び分けられます。

出典・参考資料（1件）

• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課

Q. ASMツールは中小企業でも必要ですか？

A. ASMツールの要否は企業規模ではなく、外部に公開しているIT資産の数と、その管理が社内の人手で追いついているかで決まります。

警察庁の令和7年の報告によれば、ランサムウェア被害を報告した企業のうち中小企業が約6割を占めています。侵入経路はVPN機器が6割以上で、インターネットに露出した箇所から侵入される手口が多くを占めるとされています。

複数のWebサイトやクラウドサービスを使いながら管理担当者が兼任という体制ほど、外部公開資産の棚卸しを人手だけで維持するのは難しくなります。まずは無料の手段や低価格から始められる国産ツールで自社の公開面を一度確認し、そこで見えた資産の量から判断するのが現実的です。

出典・参考資料（1件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁サイバー警察局

Q. ASMツールで社員が個別に契約したSaaSなどのシャドーITまで把握できますか？

A. ASMツールが把握できるシャドーITは、自社のドメインやIPアドレスに紐づく形で外部から見えるものに限られます。

情報システム部門以外が立てたキャンペーンサイトや、公開すべきでないテスト・ステージング環境のように、自社ドメインの下にあるものは検出できます。経済産業省のガイダンスもASMの活用シーンとして「情報システムを管理している部門以外が構築・運用しているIT資産を発見する」ことを挙げています。

一方、ASMの対象はあくまで外部からアクセス可能な資産です。自社ドメインとの紐づきがないまま業務利用されているSaaSアカウントの棚卸しは範囲外で、クラウド側のAPIから情報を取得するCAASMや、利用状況を可視化する別の仕組みが担います。また、漏洩した認証情報をダークウェブまで含めて監視できるかは製品によって分かれるため、比較表の検出範囲で確認してください。

出典・参考資料（2件）

• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課
• 出典：2.4 ASMや同カテゴリに類されることが多いツールやサービス｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1

Q. ASMツールは海外拠点やグループ会社の資産も対象にできますか？

A. 対象にできます。ASMが扱うのはインターネットから見える資産であり、拠点の所在地は問いません。ただし、どこまでを調査対象にするかは契約前に決めておく必要があります。

経済産業省のガイダンスは、調査対象範囲を「自社／グループ企業／サプライチェーンなどの取引先企業」という単位で、IT資産の規模とともに明確にしておくよう促しています。範囲は費用に直結し、企業数や組織規模で課金される料金体系ではそのまま金額に反映されます。

実務で効くのは、その先の段取りです。同ガイダンスは、海外を含むグループ企業全体を対象にする場合、企業間の連絡方法や脆弱性対応の役割分担を事前に整理しておくことが運用を円滑にすると指摘しています。検出しても現地に修正を依頼する経路がなければ、結果は溜まる一方になります。あわせて、組織名を起点に子会社や買収先まで辿れる製品かどうかも確認してください。

出典・参考資料（1件）

• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課

Q. ASMツールのスキャンで自社のシステムに影響は出ますか？

A. ASMツールの情報収集は、調査対象に影響を及ぼさないよう通常のアクセスの範囲で行われるのが原則で、脆弱性診断のようにシステムダウンを誘発する性質のものではありません。

経済産業省のガイダンスも、ASMのパケットがセキュリティ監視装置で検出されることはほとんどないとしています。ただし、疑似的な攻撃通信を送るアクティブスキャンを併用する製品では事情が変わります。

ISOG-Jのガイダンスは「特に海外製のASMツールでは、セキュリティに対する考え方や法律などの違いから、アグレッシブな動作をするツールが少なくありません」として、導入前にスキャンの実施タイミングや内容、影響範囲の仕様を確認するよう促しています。

自社のWAFや監視装置がアラートを上げる可能性も含め、契約前にベンダーへ確認しておくべき項目です。

出典・参考資料（2件）

• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課
• 出典：4.3 ASMツールの注意点｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1

Q. ASMツールの誤検知はどれくらい発生しますか？

A. 発生率を一般化できる公開データはありませんが、誤検知は起きる前提で扱うべきもので、その量は探索の起点をドメイン名にするか組織名にするかで大きく変わります。

誤検知には2種類あります。脆弱性についての偽陽性・偽陰性と、資産そのものの誤検出です。経済産業省のガイダンスは、外部から見える情報だけで評価するためリスク評価は「脆弱性が存在する可能性の検知にとどまる」としており、ISOG-Jのガイダンスは、すでに存在しない資産やまったく別の組織の資産が結果に混ざり得るとしています。

ドメイン名を起点にすれば探索元が自社の資産だと分かっているため誤検出は少なくなり、組織名やブランド名を起点にすると類似組織の資産が混ざりやすくなります。ただし後者のほうが未知の資産の発見量は多くなるため、どちらを取るかは目的次第です。いずれにせよ、検出結果が自組織のものかを確認して除外する工程は運用側に残ります。この工程まで任せたい場合は、専門家が精査するASMサービス型が選択肢になります。

出典・参考資料（2件）

• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課
• 出典：4.3 ASMツールの注意点｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1

Q. ASMツールは契約からどのくらいで使い始められますか？

A. ASMツールは調査対象のドメインや組織名を登録するだけで初期スキャンを始められ、監視対象のサーバにエージェントを入れる必要がない製品が多く、開始そのものは短期間で済みます。

外部から見える情報を集める仕組みである以上、対象側の設定作業が要らないためです。実際、Microsoft Defender EASMのように、30日間の無料トライアルをそのまま初期スキャンに使える製品もあります。

時間がかかるのは、その後です。検出された資産が自社のものかを確認し、資産ごとの管轄部門を割り出し、対応の優先度と期限のルールを決めるまでが、運用に乗せるための工程になります。ISOG-Jのガイダンスも、明らかに自組織と関係ない情報は他部門に確認を依頼する前に運用側で除外しておく必要があるとしています。

導入時期を逆算するなら、初期スキャンまでの日数ではなく、この棚卸しに割ける人員から見積もってください。

出典・参考資料（1件）

• 出典：5.3 発見したIT資産・脆弱性情報への対応プロセスの検討｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1

Q. ASMツールのトライアルやPoCでは何を確認すればよいですか？

A. トライアルやPoCで確かめるべきなのは、機能表の充足度ではなく、自社の資産が実際にどこまで見つかるかと、出てきた結果を社内で裁ききれるかの2点です。

経済産業省のガイダンスは、机上での調査・検討が困難な場合には少額の費用で実行できる範囲でPoC（概念実証）を実施することも有用だとしています。ISOG-Jのガイダンスも「ほとんどのASMツールは購入前にトライアル（試用）することが可能です」としたうえで、机上検証だけでなく実際に試すことで運用上の負担や影響を事前に確認できると勧めています。

試用中に見ておきたいのは、検出件数と誤検出の混ざり具合、レポートがそのまま社内共有や経営層への報告に使えるか、通知の絞り込みをどこまで細かく設定できるかです。ここを確認しておくと、契約後に「結果は出るが処理しきれない」という事態を避けられます。

出典・参考資料（2件）

• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課
• 出典：4.3 ASMツールの注意点｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1

Q. ASMツールを導入した後、効果はどう確認すればよいですか？

A. ASMツールが機能しているかは、新たに検出される未知のIT資産の件数が、運用を続けるうちに収束していくかどうかが目安になります。

ISOG-Jのガイダンスは、導入後に確認したいポイントとして、未知のIT資産の検出数が収束することを挙げています。逆に件数が減らないまま推移する場合は、資産の増設が管理の外側で続いているか、探索の起点が広すぎて他組織の資産を拾い続けている可能性があります。

あわせて、検出から対応完了までに要した期間、対応期限を超過している資産の件数、部門ごとの対応状況といった運用側の数字も記録しておくと判断材料になります。検出は進んでいるのに対応が滞っているなら、ツールを乗り換えるより、運用支援の付くASMサービスへ切り替えるか、対応プロセスそのものを見直すほうが効果は出ます。

出典・参考資料（1件）

• 出典：コラム「ASM導入後に確認したいポイント」｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1

Q. ASMツールを導入すれば脆弱性診断は不要になりますか？

A. 不要にはなりません。ISOG-Jのガイダンスは、ASMツールは脆弱性診断の代わりにならず、脆弱性診断もASMツールの代わりにはならないと明言しています。

ASMは外部から見える情報だけでリスクを評価するため、経済産業省のガイダンスがいうとおり「脆弱性が存在する可能性の検知にとどまる」ものです。ISOG-Jの表現を借りれば、ASMツールは「広く浅く早く」、脆弱性診断は「狭く深く正確に」という役割の違いがあります。

もう一点、見つけた後の修正対応はASMのプロセスに含まれません。経済産業省のガイダンスも、リスクへの対応はASMのプロセスに含めないとしたうえで、リスク評価の後に対応を実施すべきだとしています。ASMで広く発見し、重要な資産は脆弱性診断で深く確かめ、修正は誰がいつまでに行うかを別途決めておきます。この3つを揃えて初めて、ASMの導入が対策として成立します。

出典・参考資料（2件）

• 出典：コラム「ASMツールは脆弱性診断の代わりになる？」｜日本セキュリティオペレーション事業者協議会（ISOG-J）WG1
• 出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省 商務情報政策局 サイバーセキュリティ課

ASMツールの料金・機能を一括チェック

MCB FinTechカタログでは、ASMツール・脆弱性診断サービスの最新資料をワンクリックで一括入手できます。検出範囲や料金体系、運用支援の内容を各社の資料で比べたうえで、自社に合う候補を絞り込んでください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。