ASM（Attack Surface Management）とは？外部攻撃面管理の仕組み・ツール比較・費用ガイド

ASM（Attack Surface Management）とは？一言で言うと

ASM（Attack Surface Management：外部攻撃面管理）とは、インターネットに公開されている自組織のIT資産（ドメイン・IPアドレス・クラウドサービス・Webアプリ・APIなど）を継続的に発見・評価し、攻撃者に悪用される前に脆弱性を把握・対処するセキュリティプラクティスです。

攻撃者は標的を定めてから侵入まで、まず「どこから攻められるか」を調べます。この調査プロセスを攻撃面（Attack Surface）の偵察と呼びます。ASMは、攻撃者と同じ視点で自組織のIT資産を外部から継続的にスキャンし、露出したリスクを可視化するサービスです。

従来の脆弱性診断が「知っている資産を診断する」のに対し、ASMは「知らなかった資産も含めて発見する」点が本質的な違いです。クラウドサービスの普及・テレワーク拡大・M&Aによるシステム統合などで、管理者が把握していない公開資産（シャドーIT）が急増している現代において、ASMは必要不可欠なセキュリティ手法になっています。

攻撃面（アタックサーフェス）とは？攻撃面調査・攻撃面管理の違い

攻撃面（アタックサーフェス／Attack Surface）とは、攻撃者が組織へ侵入する入口になり得るすべての箇所の総称です。インターネットに公開されたWebサイト・API・VPN機器・クラウドストレージ・リモートデスクトップなど、外部から到達できる資産のひとつひとつが攻撃面を構成します。公開資産が増えるほど攻撃面は広がり、侵入の機会も比例して増えていきます。

攻撃面調査とは、自組織の攻撃面がどこに・どれだけ存在するかを、攻撃者と同じ外部視点で洗い出す作業を指します。ドメインやIPアドレスを起点に関連資産を列挙し、資産台帳に載っていない「管理されていない公開資産（シャドーIT）」まで可視化することが目的です。

攻撃面管理（ASM／外部攻撃面管理）とは、この攻撃面調査を一度きりで終わらせず、継続的に発見・評価・監視するプロセス全体を指します。攻撃面調査が「棚卸し」だとすれば、攻撃面管理はその棚卸しを定常運用に組み込み、新たに増えた資産や新たに公表された脆弱性へ継続的に追随していく仕組みです。

なぜ今ASMが注目されているのか

管理者が知らない「公開資産」が急増している

クラウドサービスの利用が拡大した結果、開発チームが業務効率化のために独自にAWSやAzureの環境を立ち上げ、セキュリティ担当者が把握していないサーバーが外部公開されているケースが頻発しています。IPAの調査では、中大規模企業の約60%が「把握していない公開Webサーバーが存在する可能性がある」と回答しています。

また、M&AによるIT統合やサプライチェーンの拡大により、管理対象のIT資産は増加の一途をたどっており、スプレッドシートによる手動管理では追いつかなくなっています。

攻撃者は「弱いところ」から侵入する

IPA「情報セキュリティ10大脅威2026（組織編）」では、ランサムウェア攻撃が4年連続1位を維持していますが、その侵入経路の多くはVPN機器の未パッチの脆弱性や管理者が把握していなかった公開ポートです。強固に守った本丸の隣に、誰も管理していない裏口が開いている状態がインシデントの温床になっています。

米国政府・金融庁が推奨するセキュリティ手法

米国CISAは2022年にASMを重点施策として採用し、国家重要インフラ事業者に対してASMの実施を推奨しています。日本でも金融庁のサイバーセキュリティガイドライン（2024年10月改訂版）において、外部公開資産の継続的な監視が明示的に求められるようになりました。

経済産業省のASMガイダンスと企業への影響

政府が初めてASMを公式に推進

経済産業省は2023年5月に「ASM（Attack Surface Management）導入ガイダンス〜外部から把握できる情報を用いて自組織のIT資産を発見し管理する〜」を公表しました。これは日本国内でASMを正式に推進する初の政府文書であり、セキュリティ担当者が必ず参照しておきたい重要な資料です。ガイダンスでは次の内容が整理されています。

• ASMの定義と対象範囲（IT資産の種類・外部公開の定義）
• ASMの実施プロセス（発見→分類→評価→対処の4ステップ）
• 企業規模別・内製／外部委託別の実施方法の選択肢
• 注意事項（第三者が所有する資産を誤ってスキャンするリスクなど）

企業への影響

ガイダンスの公表後、大企業を中心にASM導入の動きが加速しています。特に次の観点で優先度が高まっています。

サプライチェーン管理への要求拡大：大企業がグループ会社・取引先にセキュリティ基準の遵守を求める場面で、ASMによる外部公開資産の管理状況が評価項目に加わり始めています。経済産業省の「サイバーセキュリティ経営ガイドライン」でもサプライチェーンの把握が重点事項とされており、ASMはその実装手段として位置づけられます。

政府調達・入札要件への波及：政府系の調達案件や重要インフラ事業者向けの要件として、外部公開資産の継続的管理が言及されるケースが増えています。特定の業種・規模の企業では事実上の対応が求められる状況になってきています。

業種別ガイドラインでの言及：金融庁のサイバーセキュリティ管理態勢に関する方針、製造業向けのスマートファクトリーセキュリティガイドライン、医療機関のサイバーセキュリティ対策指針など、各業種のガイドラインでも外部公開資産の管理が明示的に触れられています。

ASMの仕組み：継続的な3ステップ

ASMは一回限りの診断ではなく、継続的なサイクルで機能します。

1. 資産発見（Asset Discovery）

起点となる情報（会社名・ドメイン・IP帯域・関連会社名）をもとに、インターネット上に公開されているIT資産を自動的に列挙します。DNSレコード・証明書透明性ログ（Certificate Transparency）・Shodan/Censysなどのインターネットスキャンデータベースを活用し、管理者が把握していないサブドメインや外部公開APIも発見します。

2. 脆弱性評価（Vulnerability Assessment）

発見した資産に対して、既知の脆弱性（CVE）・設定ミス・証明書の期限切れ・不要ポートの公開・パスワード認証の有効化などを評価します。CVSSスコアやCISA KEV（既知の悪用済み脆弱性）リストと照合し、優先対応すべきリスクを特定します。

3. 継続的な監視（Continuous Monitoring）

資産は常に変化します（新しいクラウドリソースの追加、DNS変更、証明書更新など）。ASMは定期的に（多くのサービスで日次〜週次で）再スキャンを行い、新たに出現したリスクをアラートで通知します。

ASMと脆弱性診断・ペネトレーションテストの違い

ASMは「何が外部から見えているか」の全体地図を提供し、脆弱性診断・ペネトレーションテストはその地図上の特定ポイントを深掘りする役割です。成熟したセキュリティ体制では、ASMで継続的に露出資産を把握しながら、年次のペネトレーションテストで重点領域を深く検証する組み合わせが主流になっています。

ASMと脆弱性管理（Vulnerability Management）の違い

「ASMと脆弱性管理は何が違うのか？」という質問は非常に多く寄せられます。

• 脆弱性管理：組織の内部から見た視点。エージェントやスキャナーを使って、管理下にあるIT資産（PC・サーバー・ネットワーク機器）の既知CVEを管理する。内部ネットワーク全体が対象。
• ASM：攻撃者の外部からの視点。管理下かどうかに関わらず、インターネット上に露出しているすべての資産を発見・評価する。認証なし・エージェント不要で実施可能。

簡単に言えば、脆弱性管理は「自分が知っている資産を守る」ツールであり、ASMは「自分が知らなかった露出を発見する」ツールです。両者は補完関係にあり、理想的には両方を組み合わせることで内外からのリスクを網羅的にカバーできます。

ASMツール・サービス比較【2026年版】

国内企業が導入しやすい主要ASMサービスを比較します。

ASMの費用相場と予算計画

IBM「Cost of a Data Breach Report 2024」によれば、日本企業のデータ侵害1件あたりの平均コストは約5.5億円に達しています。月額30〜50万円（年間360〜600万円）のASM費用でこのリスクを低減できると考えれば、投資対効果は明確です。

ASMが特に必要な組織の特徴

• クラウド利用が多い・急増している：AWS・Azure・GCPの利用が拡大し、開発チームが独自にインスタンスを立ち上げるケースが多い企業
• M&A・グループ会社が多い：子会社・関連会社のIT資産を一元管理できていない企業グループ
• テレワーク・リモートアクセス環境がある：VPN機器・リモートデスクトップが外部公開されており、パッチ管理が追いついていない
• 過去にサイバーインシデントを経験した：侵入経路の大半が「把握していなかった公開資産」だったケース
• 金融・医療・製造などの規制業種：規制当局から外部公開資産の継続的監視を求められている組織

ASM導入の流れ・4ステップ

ASMは「ツールを入れて終わり」ではなく、継続的に運用してこそ効果を発揮します。ここでは導入から定着までの流れを4ステップで紹介します。

ステップ1：現状把握と目標設定（〜1ヶ月）

まず「なぜASMを導入するのか」という目的と、最初に解決したい課題を明確にします。次のような問いに答えることが出発点になります。

• 外部公開IT資産の台帳はどの程度整備されているか
• シャドーITの規模を把握できているか
• サプライチェーン上の企業のリスク評価を求められているか
• 脆弱性診断は実施しているが、スコープ外資産の把握が課題になっていないか

この段階で、SaaS型のフルマネージドサービスか、API連携を前提とした高機能ツールかといった方針を固めておきます。

ステップ2：PoC（概念実証）の実施（1〜2ヶ月）

複数のASMツールベンダーに無償トライアルまたはPoCを依頼し、自社環境での動作を確認します。PoCで確認したい主なポイントは次のとおりです。

• 既知の外部公開資産が正しく発見されるか
• 知らなかった資産（シャドーITなど）が新たに発見されるか
• 誤検知（False Positive）の割合はどの程度か
• アラートの内容を現場の担当者が理解・対応できる粒度か
• 日本語対応・サポート品質は実運用に耐えるか

ステップ3：初期設定と資産台帳の整備（1〜2ヶ月）

本格導入後は、スキャン対象とする組織ドメイン・IP情報をツールに登録し、初回のフルスキャンを実施します。初回は大量の発見結果が出ることが多いため、まずはクリティカルなリスクに絞って対応を進めます。

• 重大な脆弱性（CVSSスコア9以上）が存在する公開資産
• 管理者が把握していなかった公開サービス
• 証明書の有効期限が切れているサービス
• パブリックアクセス設定になっているクラウドストレージ

このフェーズで重要なのは「全件を一度に対応しようとしない」ことです。高リスクから順に対処し、対応済みとしてマークするサイクルを回すことで、ツールへの習熟と資産台帳の整備を同時に進められます。

ステップ4：継続的運用サイクルの確立（3ヶ月目以降）

初期対応が一段落したら、定期スキャン・新規資産の検知・リスク評価・対処という運用サイクルを定着させます。ASMの価値は継続にあります。新しいサブドメインやクラウド資産は日々増減するため、月次・週次でのモニタリングを習慣化することで「見えないリスク」を継続的に抑え込めます。

よくある質問（FAQ）

Q1. ASMはどのくらいの頻度でスキャンしますか？

サービスによって異なりますが、一般的なASMツールは日次〜週次でスキャンを実施します。AEVUS提供のASMサービスでは日次スキャンを標準としています。

Q2. 社内ネットワーク（インターネット非公開の資産）もASMで管理できますか？

ASMは主に外部公開資産を対象としています。社内ネットワーク内の非公開資産については、脆弱性管理ツールで管理することが適切です。

Q3. ASM導入のために事前に資産台帳を整備する必要がありますか？

不要です。会社名・親ドメインなどの起点情報があれば、ASMが自動的に関連資産を列挙します。むしろASMの主要な価値の一つが「資産台帳に登録されていない資産を発見する」ことです。

Q4. ASMと脆弱性診断を両方実施する必要がありますか？

理想的には両方の組み合わせを推奨します。ASMで発見した高リスク資産を脆弱性診断の優先対象とすることで、診断のスコープ選定と費用対効果を最大化できます。

Q5. ASMを導入することで、ペネトレーションテストは不要になりますか？

いいえ、代替にはなりません。ASMで露出資産を継続的に把握しながら、年次のペネトレーションテストで重点領域を深く検証する組み合わせが最も効果的です。

Q6. 無料で使えるASMツールはありますか？

Shodan・Censys・OWASP Amassなどのオープンソースツールを組み合わせることで、ASMに近い機能を無料で実現できます。ただし自動化・継続監視・レポート生成の面で商用ツールに劣り、専任エンジニアが必要になります。

Q7. 攻撃面とは何ですか？ASMとの関係を教えてください。

攻撃面（アタックサーフェス）とは、攻撃者が侵入の起点にできる公開資産の総称です。ASM（攻撃面管理）は、その攻撃面を継続的に発見・評価・監視するための仕組みを指します。攻撃面が「管理される対象」、ASMが「それを管理する手法」という関係になります。

Q8. 攻撃面調査とは何ですか？脆弱性診断とどう違いますか？

攻撃面調査は「どこに公開資産があるか」を外部視点で洗い出す調査で、対象範囲を事前に確定せずに実施します。一方、脆弱性診断はすでに把握している対象に対して、脆弱性の有無を深く検証するものです。攻撃面調査で発見した高リスク資産を脆弱性診断の対象に選ぶ、という流れが最も費用対効果に優れます。

まとめ：ASM導入で「見えないリスク」をゼロにする

ASM（Attack Surface Management）について以下の内容を解説しました。

• ASMとは：外部から見えるIT資産を継続的に発見・評価し、攻撃者の視点でリスクを把握するセキュリティプラクティス
• 注目される背景：クラウド普及・シャドーITの増加・攻撃者の偵察自動化により「把握していなかった資産からの侵入」が急増
• 3ステップ：資産発見→脆弱性評価→継続的監視
• 脆弱性診断との違い：ASMは「広さ」の継続的把握、診断は「深さ」の定期確認
• 費用目安：月額20万〜100万円（企業規模・資産数による）

AEVUSでは、ASMの初回相談から資産発見・優先度付け・改善提案まで一貫してご支援しています。無料相談を受け付けていますので、まず自社の攻撃面がどの程度露出しているか確認したい場合はお気軽にお問い合わせください。