ASMとは何か 企業規模によって選び方が変わる理由
ASMの基本的な仕組みと、なぜ企業規模によって適した製品が異なるのかを最初に整理しておきます。規模ごとの違いを理解することで、自社に合う製品を絞り込みやすくなります。
ASMの基本機能とアタックサーフェスの考え方
ASMとは、自社が公開しているIPアドレスやドメイン、クラウドサービスなどの外部公開資産を自動的に検出し、脆弱性や設定ミスを継続的に監視するサービスです。アタックサーフェスとは攻撃者から見て侵入口になり得る公開資産全体を指す言葉で、これを可視化することがASM導入の第一歩となります。専門知識が少ない担当者でも、資産の状態を客観的な数値で把握できる点が特長です。
例えば社員が個人でクラウド上に立てた検証用サーバーなど、情報システム部門が把握していない資産が攻撃の入り口になるケースがあります。ASMはこうした管理外資産も含めて自動で洗い出せる点が、手作業による棚卸しとの大きな違いです。定期的にスキャンを繰り返すことで、新しく公開された資産も見落とさずに検知できます。
企業規模によって監視対象の資産量が変わる理由
従業員数が増えるほど利用するクラウドサービスや外部ドメインの数も増加し、監視すべき資産の範囲が広がります。10名規模の企業であれば公開資産は数十件程度に収まることが多い一方、数百名規模になると管理部門をまたいだ資産が積み重なり、把握が難しくなる傾向があります。
そのため小規模企業では導入のしやすさやコストが重視され、大企業では大量の資産を扱える処理能力やグループ会社を横断した管理機能が重要です。自社の規模に合わない製品を選ぶと、機能が過不足になり運用が定着しない原因になるため、まず自社の資産規模を把握したうえで製品を絞り込むことが大切です。次の章から規模別に具体的な選定基準を見ていきますので、自社の状況と照らし合わせながら確認してください。
従業員10～30名規模の小規模企業に適したASMの選び方
従業員10名から30名程度の小規模企業がASMを選ぶ際に意識したい、導入のしやすさと運用負荷の観点を紹介します。専任の情報システム担当者がいない場合の考え方も含めて解説します。
小規模企業が重視すべき導入のしやすさとコスト
10名規模の企業では、専任のセキュリティ担当者を置けないケースが多くあります。設定が簡易で管理画面が分かりやすいASMを選ぶことが重要です。また月額費用が資産数に応じて変動する料金体系であれば、公開資産が少ない段階でも無理のない費用感で導入できます。
導入時にエージェントのインストールなど複雑な作業は必要ありません。ドメインやIPアドレスを登録するだけで検出が始まる製品であれば、情報システムの専任者がいない組織でも運用を始めやすくなります。まずは無料トライアルで自社の公開資産数を確認してから本導入を検討する方法も有効で、費用対効果を実感しやすいという利点もあります。導入時に専門用語の説明が丁寧に用意されているかも、初めてASMを扱う担当者にとって選定の判断材料になります。
30名規模で運用負荷を抑えるための選定ポイント
30名規模になると部門ごとに利用するクラウドサービスが増え始め、資産の種類が多様化してきます。この段階では、検出した脆弱性に優先順位を付けて表示してくれる機能があると、限られた人員でも対応すべき課題を見極めやすくなります。管理者が複数の業務を兼任していても対応漏れが起きにくい仕組みが求められます。
あわせて、アラートの通知先をチャットツールと連携できる製品であれば、担当者が管理画面を毎回確認しなくても異常に気づける体制を作れます。兼任担当者が無理なく運用を続けられるかという基準で製品を比較することがポイントで、サポート窓口の対応言語や問い合わせのしやすさも確認しておくと安心です。導入後のサポート体制が充実しているかどうかも、長く使い続けるうえで確認しておきたい観点です。
300名以上・上場企業の大量資産監視に求められるASMの要件
300名を超える企業や上場企業では、公開資産の数が数百から数千件に及ぶこともあり、それに耐えられる検出能力とガバナンス対応が求められます。この規模で重視すべき要件を整理します。
大規模組織で発生する監視対象の増加とリスク
従業員数が300名を超える企業では、事業部門ごとに独自にクラウドサービスを契約するケースが増え、情報システム部門が把握しきれない資産が積み重なりやすくなります。大量の資産を継続的にスキャンできる処理能力を持つASMであれば、資産の増加スピードに検出が追いつかない事態を防げます。海外拠点を持つ場合は、対象範囲を柔軟に拡張できるかも確認しておきたい点です。
そのほか、検出結果をCSVやAPI経由で既存のセキュリティ管理システムに連携できる製品を選ぶと、他のセキュリティ対策と合わせた一元的なリスク管理がしやすくなります。大量データを扱う前提で、検索や絞り込みの操作性も確認しておくとよいでしょう。担当者が複数人で分担して確認できる権限管理の機能があるかも重要な確認事項です。
上場企業がASM導入で重視するガバナンス対応
上場企業では、サイバーセキュリティに関する情報開示や監査対応が求められる場面が増えており、資産の棚卸し結果を客観的な記録として残せるASMが選ばれる傾向があります。定期的なレポート出力機能や、過去の検出履歴を追跡できる機能は、監査対応の際に役立ちます。取締役会や株主向けの説明資料としてそのまま活用できる点も評価されています。
また、グループ全体でセキュリティ基準を統一する目的で、複数事業部門の資産を一つの管理画面に集約できる製品が検討されることが多くあります。導入実績や運用サポート体制も、比較時に確認しておきたい判断材料です。
グループ会社の外部資産をまとめて監視するポイント
複数のグループ会社を持つ企業では、各社が個別に管理している外部公開資産を横断的に把握できるかどうかが、ASM選定における重要な基準になります。連携のしやすさと運用体制の両面から確認しておきたい点を紹介します。
グループ全体の資産可視化に必要な機能
グループ会社ごとにドメインやIPアドレスの管理方法が異なると、親会社の情報システム部門がすべての資産を把握することは容易ではありません。組織単位でグループを分けて資産を登録し、親会社側で全体を横断的に閲覧できる管理機能を持つASMであれば、グループ全体のリスクを一つの画面で確認できます。買収や事業統合で新たに加わった会社の資産も、同じ枠組みで管理しやすくなります。
子会社によってセキュリティ担当者の有無や知識レベルが異なることも多いため、各社が個別に詳細な設定をしなくても自動で検出が始まる仕組みであれば、グループ全体での導入負担を抑えられます。子会社側の負担を最小限にできるかという観点も選定時に確認しておきましょう。
子会社ごとの管理体制を統一する運用の工夫
グループ会社で個別にASMを導入すると、検出基準やアラートの扱いが会社ごとにばらつき、グループ全体でのリスク比較がしにくくなることがあります。共通のダッシュボードで各社の検出結果を並べて確認できる体制を整えることで、グループ全体のセキュリティレベルを統一しやすくなります。
このほか、親会社の情報システム部門が各子会社に対応を依頼する際の連絡フローをあらかじめ決めておくと、脆弱性が見つかった際の対応スピードが向上します。運用ルールの整備は、製品選定と同じくらい重要な取り組みです。定期的な報告会などを設けて、グループ各社の状況を共有する仕組みも有効といえます。全社的な取り組みとして位置づけることで、担当者任せにならない運用体制を構築できます。
大規模組織・グループ会社管理に対応するASM製品
ここまで見てきたように、300名以上の大企業やグループ会社では、大量の資産を扱う処理能力と横断的な管理機能が製品選定のカギになります。ここでは、こうした規模に対応できる代表的なASM製品を紹介します。
ANTERAS ASM
- 独自に開発したAI駆動型ツールで網羅的・高精度に資産を発見
- サイバー攻撃の動向や手法を熟知した専門家が調査を実施
- 攻撃者目線で正確な調査を行い、資産を見つけだして脅威を判定
株式会社マクニカが提供する「ANTERAS ASM」は、独自のツールとセキュリティ専門家の知見を組み合わせたASMです。自社で把握しきれていない資産や、グループ会社・海外拠点の資産まで幅広く洗い出せます。検出した資産のリスクを攻撃者視点で優先順位付けして報告するため、担当者が対応すべき項目を絞り込みやすくなっています。サーバーに負荷をかけない調査手法を採用しており、関連会社との事前調整をせずに導入を始められる点も特徴です。
Qualys ASM （クォリスジャパン株式会社）
- 内部・外部を含む攻撃対象領域資産を統合的に発見管理
- 外部向けインターネット資産を継続可視化しリスク優先付け
- TruRiskで脆弱性とリスクを統合し体制強化を実現
Mandiant ASM （グーグル・クラウド・ジャパン合同会社）
- 動的IT環境全体の外部アセットを継続監視しリスク検出を可能化
- 攻撃対象領域を可視化し、脆弱性や設定ミスの把握を支援
- 複数環境のアセットを統合分析し、対策の優先度付けを支援
Tenable Attack Surface Management （Tenable Network Security Japan株式会社）
- インターネット全体をマッピングし外部資産の可視性を拡大。
- 既知・未知の攻撃対象領域リスクを継続的に発見・評価。
- 豊富なメタデータと分析で資産のビジネス文脈理解を支援
Cortex Xpanse （パロアルトネットワークス株式会社）
- 未知のネット資産と公開サービスを能動検出しリスク管理を実現へ
- 攻撃対象領域のリスクを可視化し迅速対応を強力に支援し促進する
- 継続監視と棚卸更新で供給網全体の資産を常に把握し維持管理強化
まとめ
ASMは企業規模によって求められる機能が異なります。10名規模の小規模企業では導入のしやすさとコストが、300名以上の大企業や上場企業では大量資産への対応力とガバナンス機能が重要になります。グループ会社を持つ場合は横断的な可視化機能も比較のポイントです。自社の規模と運用体制に合った製品を選ぶことで、無理なく継続できるセキュリティ対策につながります。
