「アタックサーフェスマネジメント（ASM）」という言葉を、経営会議の資料や他社の事例、セキュリティ関連のニュースで目にする機会が増えています。クラウドサービスの利用やリモートワークの広がりに伴い、企業がインターネットに公開するIT資産は増え続けており、情報システム部門でもその全容を把握しきれないケースが少なくありません。
こうした管理しきれない公開資産を、どのように見つけ出し、リスクを抑えていけばよいのでしょうか。その手立てとして広がりつつあるのがASMです。脆弱性診断や資産管理と何が違うのか、と疑問を持つ担当者も多いテーマです。
本記事では、ASMとは何かという定義から、なぜ今必要とされているのか、脆弱性診断・ペネトレーションテストとの違いと使い分け、導入の進め方、そしてツール・サービスの選び方と費用の目安までを解説します。
目次
一括ダウンロードする
アタックサーフェスマネジメント（ASM）とは
アタックサーフェスマネジメント（ASM：Attack Surface Management）とは、インターネットから見える自社のIT資産を、把握できていないものも含めて洗い出し、そのリスクを継続的に監視する取り組みです。経済産業省は「ASM導入ガイダンス」のなかで、ASMを次のように定義しています。
組織の外部（インターネット）からアクセス可能なIT資産を発見し、それらに存在する脆弱性などのリスクを継続的に検出・評価する一連のプロセス
出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省
ポイントは、対象に「把握できていない資産」を含めることと、一度きりではなく「継続的に」見張り続けることの2点です。年に一度棚卸しをするだけでは、その後に増えたサーバーや、退役し忘れた機器を取りこぼしてしまいます。ASMは、攻撃者と同じくインターネット側から自社を眺め、外から見えている入り口を継続的に把握し続ける発想に立っています。
アタックサーフェス（攻撃面）とは何を指すのか
アタックサーフェス（攻撃面）とは、攻撃者が侵入や情報の窃取を試みることのできる、システムの境界上の点の集合を指します。経済産業省のガイダンスは、この攻撃面を「組織の外部（インターネット）からアクセス可能なIT資産」と定め、具体的には次のようなものが該当します。
- グローバルIPアドレス・ホスト名を持つサーバーやネットワーク機器
- 社外に公開しているWebサイト（キャンペーン用サイトなど、情報システム部門以外が構築・運用しているものを含む）
- 設定ミスなどにより、外部からアクセスできる状態になっている社内システム
- 本社で一元的に管理できていないグループ企業のIT資産
- VPN機器・リモートデスクトップなど、外部からの接続口となる機器
これらのうち、情報システム部門が管理台帳で把握しているのは一部にすぎないことがあります。担当者が知らないうちに公開された資産（シャドーIT）や、設定ミスで意図せず外部に開いてしまった資産こそ、攻撃者に狙われやすい入り口です。ASMは、こうした「見えていない攻撃面」を外部から洗い出すことに主眼があります。
出典・参考資料（1件）
ASMと関連する用語（EASM・CAASM・ASRM）の整理
ASMの周辺には、似た略語がいくつか登場します。まず押さえるべきはASMで、以下は関連する呼び名の違いを補足として整理したものです。細かい呼び分けよりも、外から見える資産を継続的に管理するというASMの考え方を先につかめば十分です。
EASM（External Attack Surface Management）は、外部からアクセス可能である点を強調した呼び方です。経済産業省のガイダンスも、両者を同じ意味として扱うと明記しています。
外部からアクセス可能であるという点を強調してEASM（External Attack Surface Management）と紹介されることもあるが、本書ではASMとEASMを同じ意味として取り扱う。
出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省
一方、CAASM（Cyber Asset Attack Surface Management）は、外部から見える資産だけでなく、社内の端末やクラウド、API連携先などの情報も統合して、サイバー資産全体を可視化しようとする考え方を指します。
CAASMは調査会社ガートナーが提唱した業界用語で、公的機関による標準的な定義があるわけではありません。外部視点のASM（EASM）に対し、内部資産まで含めて統合管理する点が広がりの違いといえます。
ASRM（Attack Surface Risk Management）は、攻撃面の可視化にとどまらず、検出したリスクへの評価・対応まで含めて経営視点で管理する、という考え方として一部のベンダーが用いる用語です。これもベンダー由来の概念で、公的な標準定義はありません。呼び方は多様ですが、いずれも「外から見える自社の入り口を把握し、そのリスクに対処する」という目的は共通しています。
なぜ今、ASMが必要とされているのか
ASMへの取り組みが広がる背景には、「守るべき対象そのものが増えて見えにくくなっている」ことと、「その隙が実際に攻撃の入り口になっている」ことの2つがあります。加えて、国内でも外部公開資産の可視化を後押しする動きが出てきています。
外部公開資産・シャドーITの拡大
クラウドサービスの普及やリモートワークへの対応により、企業がインターネットに公開する資産は急速に増えました。事業部門がマーケティング用に立てたWebサイトやSaaSの設定、テスト用に一時的に公開したサーバーなど、情報システム部門の管理台帳に載らないまま外部に開いている資産も生まれやすくなっています。
経済産業省のガイダンスも、ASMで発見できる資産の例として、情報システムを管理する部門以外が構築・運用しているWebサイトや、設定ミスにより外部からアクセス可能になった社内システム、本社で一元管理できていないグループ企業の資産を挙げています。管理できていない資産は、そもそも脆弱性対策の対象にすら入っていないため、放置されやすいという問題があります。
出典・参考資料（1件）
サイバー攻撃の高度化と、狙われる公開機器
公開資産の増加は、そのまま攻撃の入り口の増加につながります。警察庁がまとめた「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」によれば、企業・団体等におけるランサムウェアの被害報告件数は同上半期で116件にのぼりました。その侵入経路について、同庁は次のように分析しています。
前述のアンケート結果によると、VPNやリモートデスクトップ用の機器からの侵入が、全体の感染経路の8割以上を占める状況である。その原因としては、当該機器のID・パスワード等が非常に安易であったことや、不必要なアカウントが適切に管理されずに存在していたことなどが挙げられる。
出典：令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
侵入の起点は、高度なゼロデイ攻撃ばかりではありません。外部に公開されたVPN機器やリモートデスクトップの、管理が行き届いていない設定や不要なアカウントが突かれています。こうした「外から見える入り口」を自社が把握できているかどうかが、被害を左右します。管理から漏れた公開機器を継続的に洗い出すASMは、この起点をふさぐための第一歩に位置づけられます。
経済産業省「ASM導入ガイダンス」と国内の動向
国内でも、外部公開資産の可視化を後押しする動きが広がっています。経済産業省は2023年5月に「ASM導入ガイダンス」を公開し、ASMの定義や進め方、脆弱性診断との違いを整理しました。企業がASMに取り組む際の共通の拠り所となる公式文書です。
また、国内ではサプライチェーン全体のセキュリティ対策を評価する枠組みづくりも進んでいます。経済産業省と内閣官房国家サイバー統括室は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の制度構築方針を、2026年3月に公表しました。外部から見える資産を把握し、リスクを可視化しておくことは、こうした流れのなかで自社のセキュリティ状況を説明する場面でも役立ちます。
出典・参考資料（2件）
ASMと脆弱性診断・ペネトレーションテストの違い
ASMは、脆弱性診断やペネトレーションテストとしばしば混同されます。いずれもセキュリティの弱点に関わる取り組みですが、対象や手法、確度が異なります。ここでは、どちらが優れているかではなく、それぞれの守備範囲と使い分けを整理します。
対象・手法・確度の違いを比較する
3つの取り組みを、対象とするIT資産・手法・脆弱性の特定確度・対象への影響・頻度の観点で並べると、次のように整理できます。
| ASM・脆弱性診断・ペネトレーションテストの比較 | 対象とするIT資産 | 未把握資産の扱い | 手法・対象への働きかけ | 脆弱性の特定確度 | 対象への影響 | 実施の頻度 |
|---|---|---|---|---|---|---|
| ASM | 外部公開資産（未把握のものを含む） | 発見の対象に含む | 通常のアクセスの範囲で調査し、侵入・攻撃はしない | 脆弱性が存在する「可能性」を提示（特定はしない） | ほとんどない | 継続的 |
| 脆弱性診断 | 把握済みのIT資産 | 対象外（既知資産が前提） | 擬似的な検査を行い弱点を洗い出す | 高い（検査により脆弱性を特定） | アラート発報や動作への影響が生じる場合がある | スポット（定期・随時） |
| ペネトレーションテスト | 合意した特定のシステム | 対象外（既知資産が前提） | 実際に侵入・攻撃を試みて到達可否を検証する | 高い（悪用の可否まで検証） | 実際の攻撃を模すため影響が生じうる | スポット（重要システムに随時） |
経済産業省のガイダンスは、ASMと脆弱性診断の違いについて、対象範囲と確度の観点から次のように説明しています。ASMは未把握の資産を含めて外部から広く見渡す一方、脆弱性の特定確度は脆弱性診断のほうが高い、という関係です。
ASMは外部（インターネット）からアクセス可能なIT資産が対象であり、これには未把握のIT資産が含まれる。一方で、脆弱性診断では、把握済みのIT資産が対象となる。
出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省
ペネトレーションテストは、攻撃者になりきって実際に侵入を試み、被害がどこまで及ぶかを検証する能動的なテストです。外から見える情報を調べるだけで侵入・攻撃はしないASMとは、対象への踏み込み方が大きく異なります。
どちらか一方ではなく、併用・使い分けを前提に考える
ASMと脆弱性診断は、どちらかを選べば十分というものではありません。経済産業省のガイダンスも、両者を目的に応じて使い分ける、または併用することを勧めています。
以上のように、ASMと脆弱性診断は異なるものであり、目的に応じて使い分けや併用を検討すべきである。
出典：ASM（Attack Surface Management）導入ガイダンス｜経済産業省
実務では、まずASMで外部公開資産の全体像を継続的に把握し、そのなかで重要な資産や脆弱性の可能性が高い資産を、脆弱性診断で精密に確認するという流れが考えられます。ASMは年間を通じて変化を捉える見張り役、脆弱性診断は要所を深く確かめる精密検査、と役割を分けて組み合わせると、限られた人員でも実効性のある体制を作りやすくなります。
ASM導入の進め方（4ステップ）
ASMは、外部公開資産を見つけ、その状態を調べ、リスクを評価し、必要な対応につなげる流れで進めます。経済産業省のガイダンスは、ASMを「攻撃面の発見」「攻撃面の情報収集」「攻撃面のリスク評価」の3つのプロセスと定義しています。ここでは、評価後の対応まで含めた実務の流れを4つのステップとして整理します。
ステップ1：攻撃面の発見
最初に行うのは、外部からアクセスできる自社のIT資産の洗い出しです。自社が保有するドメインやIPアドレスを起点に、関連するサブドメインや公開サーバーを探索し、管理台帳に載っていない資産まで含めて一覧化します。ガイダンスでは、このプロセスの成果物としてIPアドレス・ホスト名のリストが挙げられています。
ステップ2：攻撃面の情報収集
次に、発見した資産一つひとつについて、OSやソフトウェアの種類とバージョン、開いているポート番号などの情報を集めます。この工程は、対象に影響を及ぼさないよう、Webページの表示など通常のアクセスの範囲で行われるのが一般的です。攻撃を仕掛けるのではなく、外から見える情報を確認する段階です。
ステップ3：攻撃面のリスク評価
集めた情報を、公開されている既知の脆弱性情報と突き合わせ、脆弱性が存在する可能性を見極める工程です。ここで得られるのはあくまで「可能性」であり、脆弱性を確定させるものではない点に注意が必要です。確度の高い特定が必要な資産は、後述するように脆弱性診断で改めて確認します。
出典・参考資料（1件）
ステップ4：リスクへの対応
評価したリスクに対し、修正パッチの適用や不要な公開資産の停止、設定の見直しといった対応を行う段階です。経済産業省のガイダンスは、リスクへの対応をASMそのもののプロセスには含めていませんが、自社のセキュリティリスクを減らすという目的においては、リスク評価の後に対応を実施すべきだとしています。発見から対応までを一つの運用サイクルとして回し続けることが、継続的な管理につながります。
これら4つのステップを自社だけで継続するのは、人員や専門知識の面で負担が大きい場合があります。そこで、ASMをツールやサービスに任せる選択肢が出てきます。次章では、その選び方と費用の目安を整理します。
一括ダウンロードする
ASMツール・サービスの選び方と費用
ASMをどう実施するかは、大きく分けて「ツールを使って自社で運用する」か「専門家に調査・伴走を任せる」かの2通りがあります。ここでは、その違いと選定の観点、そして費用の目安を整理します。
自走型（ツール）と伴走型（サービス）の違い
自走型は、SaaSなどのツールを導入し、自社で資産の発見と継続監視を運用する形です。月額課金で継続的に資産を見張れるため、変化を追い続けたい場合に向いています。運用の担い手が社内に必要になる一方、費用は比較的抑えやすい傾向があります。
伴走型は、専門家が外部公開資産を調査し、報告書や対策の提言まで提供する形です。単発で現状を把握する調査や、継続的な監視を専門家に委ねる運用があり、社内に専任担当を置きにくい場合や、専門的な判断を求めたい場合に適しています。両者を組み合わせ、ツールで日常的に監視しつつ、要所を専門家の調査で補うハイブリッドの提供形態もあります。
選び方の比較軸
ASMのツール・サービスを比べる際は、次のような観点が判断材料になります。
- 対象範囲：ドメイン・IPアドレスからどこまで資産を発見できるか。クラウドや漏洩アカウントの調査まで含むか
- 提供形態：自走できるツール型か、専門家が調査・伴走するサービス型か、その両方か
- 継続性：日次・週次などのスケジュールで自動的に監視を続けられるか、単発の調査か
- 脆弱性診断との連携：発見した資産に対する脆弱性診断まで一体で提供されるか
- サポート体制：日本語での対応や、脆弱性への対処方針を相談できる専門家の窓口があるか
- 費用体系：月額固定か、監視対象（FQDN）ごとの課金か、個別見積か
これらの観点でより多くのASMツールを見比べたい場合は、検出範囲・料金・国産／海外・運用のしやすさで主要なツールを整理した比較記事が参考になります。
費用レンジの目安
費用は提供形態によって幅があります。自走型のツールは、監視対象（FQDN）ごとの月額課金が中心で、公表されている料金では月額5,000円程度から始められるものもあります。機能を強化したプランや、脆弱性診断を組み合わせたプランでは、月額5万円前後が一つの目安です。
専門家が伴走するプランは、公表されている例では月額十数万円台からと、自走型より高くなる傾向があります。一方、単発のワンショット調査や対象範囲に応じた対応は、個別見積（オープン価格）として公式サイトに定価を掲げていないケースもあります。
まずは監視対象を絞って自走型ツールで始め、必要に応じて専門家の調査や脆弱性診断を組み合わせていくと、費用と運用負荷のバランスを取りやすくなります。各サービスの具体的な料金と機能は、次章の比較表で整理します。
ASMに対応するサービスの比較と紹介
ここからは、外部公開資産の発見・継続監視といったASMの機能を提供する主なサービスを、提供形態や費用の観点で比較し、それぞれの特徴を紹介します。自走型のツールから調査・伴走型のサービスまで、提供形態の異なる代表例として5つを取り上げます。より多くの製品を横並びで見比べたい場合は、前掲の比較記事もあわせてご覧ください。
| ASMに対応する主なサービスの比較 | GMOサイバー攻撃 ネットde診断 ASM | Securify（セキュリファイ） | Aikido Security | Soliton ASM | Mitokude（ミトクデ） |
|---|---|---|---|---|---|
| 提供形態 | ハイブリッド （自走型ツール＋伴走型） | 自走型ツール （クラウド型SaaS） | 自走型ツール （オールインワンSaaS） | ハイブリッド （専門家調査＋クラウド監視） | ハイブリッド （SaaS＋専門家相談） |
| 主な対象範囲 | 外部公開資産の発見・継続監視 ダークウェブの認証情報漏洩監視 | 外部公開資産の発見・継続監視 発見資産の脆弱性診断（DAST） | 運用中ドメインの攻撃面監視（DAST） コード〜クラウドの脆弱性診断 | 外部公開資産の発見・調査 漏洩アカウント調査 | 外部公開資産の発見・継続監視 ポート・脆弱性の日次スキャン |
| 料金 | 自走型 月額4万円〜 伴走型 月額12万円〜 | 月額5万円〜（Web診断） ASM機能は要問い合わせ | 月額5万円台〜（AndGo経由） | 要問い合わせ（オープン価格） | Basic 月額5,000円〜 Advanced 月額5万円〜（1FQDN） |
| 無料トライアル | 公式サイトに記載なし | あり（最短即日） | 無料プランあり | あり（無償トライアル調査） | 公式サイトに記載なし |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | 公式資料を見る | 公式サイト | 公式サイト |
※料金・無料トライアルは2026年9月時点の各社公式情報によります。最新の内容は各社公式サイトでご確認ください。
1. GMOサイバー攻撃 ネットde診断 ASM（GMOサイバーセキュリティ byイエラエ株式会社）
国内のホワイトハッカーを多数擁するGMOサイバーセキュリティ byイエラエが、国産のASMツールとして提供するSaaSです。外部に公開されたWebサイトやVPN機器などの脆弱性を可視化し、一元管理します。ドメイン・IPアドレス・サブドメインの洗い出しによるIT資産の棚卸に加え、ダークウェブ上への認証情報の漏洩状況の監視まで行える点が特徴です。
診断対象はグローバルIPアドレスを持つ外部公開サイトで、自社で運用する自走型と、専門家が支援する伴走型のプランが用意されています。手動主体の脆弱性診断・ペネトレーションテストも手がける企業のため、発見した弱点をより深く確認したい場合の相談先としても検討しやすい選択肢です。
2. Securify（株式会社スリーシェイク）
Securify（セキュリファイ）は、Webアプリケーションの自動脆弱性診断を中核に、ASMやクラウド設定管理などを1つのシリーズに統合したクラウド型のプラットフォームです。ASM機能では、インターネットからアクセス可能な資産を自動で継続的に棚卸しし、発見した資産に対して脆弱性診断まで実行できます。資産の把握からリスクの検知までを自動化し、外部公開資産の監視と診断を一体で運用できる点が強みです。
診断はツールによる自動巡回スキャン（DAST）が中心で、日次・週次・月次といったスケジュール実行で継続的に回せます。Webアプリケーション診断は月額5万円からで、最短即日で使える無料トライアルも用意されており、小さく始めやすい構成です。ASM機能の料金は要問い合わせとなっています。
3. Aikido Security（AndGo株式会社／Aikido Security）
Aikido Securityは、ソースコードからクラウド、実行環境までを横断的にスキャンする複数の診断機能を、1つのダッシュボードに集約したオールインワンの脆弱性診断SaaSです。開発チームでの利用を主眼に設計されており、アラートの自動整理により対応すべき項目を絞り込みやすくしています。
ASMの観点で関わるのは、動的診断（DAST）による攻撃面の監視機能です。運用中のドメインを対象に、設定の不備・外部に露出した資産・悪用され得る脆弱性を日次で自動スキャンし、新たに見つかった場合に通知します。ベルギー発の製品ですが、日本ではAndGoが日本語で導入・運用を支援し、月額5万円台の有償プランのほか、無料で使えるプランやトライアル環境も用意されています。
継続的に自動スキャンを回すと、日々検出されるアラートをどうさばくかが運用上の課題になります。日本窓口を担うAndGoの原氏は、現場で聞く悩みについて次のように話しています。
当社がよくお聞きするのは、「アラートが多すぎて、何が重要か分からなくなって放置が始まる」という悩みです。Aikido Securityは、バラバラだったアラートを統一し、対応すべきアラートを絞れるようにします。結果として、消し込み工数を減少でき、セキュリティ運用を“手に負える状態”に寄せていけます。
4. Soliton Attack Surface Management（株式会社ソリトンシステムズ）
株式会社ソリトンシステムズが提供する、外部公開IT資産の調査とアカウント情報の漏洩調査を行うサービスです。指定したドメインやIPアドレスをもとに、表層Web（一般的な検索でたどれるインターネット上の範囲）で収集できる公開IT資産・ソフトウェアの脆弱性・オープンポート・アクセス制限のない認証画面などを調査し、報告書として提供します。
VPNやリモートデスクトップ、SSH、Webアプリケーションといった、侵入口になりやすい資産を攻撃者と同じ外部視点で洗い出す点が特徴です。
提供形態は、専門家による単発のワンショット調査と、クラウドで継続的にリスクを監視するサービス、そして両者を組み合わせたハイブリッド型が用意されています。自社ドメインを対象とした無償トライアルもあり、まず現状を把握したい場合の調査型の選択肢として検討できます。料金はオープン価格で、対象範囲に応じた個別見積となります。
5. Mitokude（グランセキュノロジー株式会社）
Mitokude（ミトクデ）は、外から見える資産を自動で棚卸しし、攻撃者視点で脆弱性に優先度を付けることを掲げるサービスです。SaaSによる自動的な可視化・スキャンと、専門家（ホワイトハッカー）への相談をセットにしたハイブリッド型で、検出した脆弱性への対応方針で不明点があれば、月10件までの無料相談にエスカレーションできます。
サブドメインの自動取得、公開資産一覧、ポートスキャン、OS・ミドルウェアの脆弱性スキャンを日次で実行し、週次レポートやリアルタイムアラートで継続的に監視します。料金は監視対象（FQDN）ごとの月額課金です。資産の可視化と脆弱性スキャンを行うBasicプランは月額5,000円から、認証が必要なページにも対応するAdvancedプランは月額5万円からと、費用の下限を抑えて始めやすい料金体系です。
ASMで外部公開資産を把握したうえで、重要な資産を脆弱性診断で精密に確認する併用まで進めたい場合は、脆弱性診断サービスの選び方・費用相場・比較を次の記事でまとめています。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
アタックサーフェスマネジメント（ASM）は、インターネットから見える自社のIT資産を、把握できていないものも含めて継続的に洗い出し、そのリスクを見張り続ける取り組みです。クラウドやリモートワークで公開資産が増え、VPN機器などの管理漏れが攻撃の入り口になっている今、外から見える入り口を継続的に把握する意義は高まっています。
脆弱性診断やペネトレーションテストとは対象や手法が異なり、どれか一つで十分というものではありません。ASMで全体像を継続的に押さえ、要所を脆弱性診断で精密に確認するように、目的に応じて組み合わせるのが実務的です。導入にあたっては、自走型のツールと伴走型のサービスの違い、対象範囲や継続性、費用体系を照らし合わせ、自社の運用体制に合う形を選ぶとよいでしょう。
一括ダウンロードする
よくある質問（FAQ）
Q. アタックサーフェスマネジメント（ASM）とは何ですか？
A. アタックサーフェスマネジメント（ASM）とは、インターネットから見える自社のIT資産を、把握できていないものも含めて洗い出し、そのリスクを継続的に監視する取り組みです。経済産業省の「ASM導入ガイダンス」でも、外部（インターネット）からアクセス可能なIT資産を発見し、脆弱性などのリスクを継続的に検出・評価する一連のプロセスと定義されています。
対象に未把握の資産を含めることと、一度きりでなく継続的に見張り続けることが、従来の資産管理との違いです。
出典・参考資料（1件）
Q. ASMと脆弱性診断は、どちらを先に導入すべきですか？
A. ASMと脆弱性診断は優劣ではなく役割が異なり、まずASMで外部公開資産の全体像を継続的に把握し、そのうえで重要な資産を脆弱性診断で精密に確認する順序が実務的です。ASMは未把握の資産まで含めて外から広く見渡す見張り役、脆弱性診断は既知の資産を深く調べる精密検査にあたります。経済産業省のガイダンスも、両者は異なるものであり、目的に応じて使い分けや併用を検討すべきだとしています。
出典・参考資料（1件）
Q. ASMは自社だけで実施できますか？
A. ASMは、自社のドメインやIPアドレスを起点に資産を発見・調査する工程を自社だけで実施することも可能ですが、継続的な運用には人員と専門知識の負担が大きく、ツールやサービスの活用が現実的です。自走型のツールを使えば月額課金で継続監視を社内運用でき、専門家に調査や伴走を委ねる伴走型のサービスもあります。社内の運用体制やかけられる工数に応じて、自走型・伴走型・その組み合わせから選ぶとよいでしょう。
Q. ASMの費用はどのくらいかかりますか？
A. ASMの費用は提供形態によって幅があり、自走型ツールは監視対象（FQDN）ごとの月額課金で月額5,000円程度から、脆弱性診断を組み合わせた強化プランでは月額5万円前後が目安です。専門家によるワンショット調査や伴走型のサービスは、対象範囲に応じた個別見積（オープン価格）となることが多く、定価を公表していないケースが一般的です。
まずは監視対象を絞って自走型ツールで始め、必要に応じて専門家の調査や脆弱性診断を組み合わせると、費用と運用負荷のバランスを取りやすくなります。
Q. 中小企業にもASMは必要ですか？
A. ASMは企業規模を問わず、インターネットに公開しているIT資産がある企業であれば、中小企業でも取り組む意義がある取り組みです。攻撃者は企業規模ではなく「管理の行き届いていない公開機器」を狙うため、規模が小さくてもVPN機器や社外向けWebサイトの管理漏れがあれば侵入口になり得ます。
人員や予算が限られる場合は、監視対象を絞って月額数千円から小さく始められる自走型ツールから検討するのが現実的です。
Q. ASMを導入すればランサムウェア対策になりますか？
A. ASMはランサムウェア対策の有効な第一歩になりますが、それだけで万全になるわけではありません。警察庁の統計では、企業・団体等におけるランサムウェアの感染経路の8割以上がVPN機器やリモートデスクトップからの侵入とされ、ASMはこうした外部公開機器の管理漏れを継続的に洗い出して侵入口をふさぐのに役立ちます。
一方で、検出したリスクへの修正対応や、バックアップ・多要素認証といったほかの対策と組み合わせて初めて実効性が高まります。
出典・参考資料（1件）
Q. ASMはどのくらいの頻度で実施すべきですか？
A. ASMは、年に一度といったスポットではなく、継続的に実施することが前提の取り組みです。外部公開資産はクラウドの利用や新規サーバーの追加によって日々変化し、退役し忘れた機器も生まれるため、一度の棚卸しでは変化に追従できません。多くのツール・サービスが、日次・週次といったスケジュールで自動的に資産を監視し続ける仕組みを備えているのはこのためです。
脆弱性・セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、ASMや脆弱性診断など外部公開資産のリスク対策に使えるサービスの最新資料を無料で一括請求できます。対象範囲・提供形態・費用を見比べて、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
