ASM運用体制はどう作る？情シス担当者が1人でも回せる少人数運用と外部SOC分業の進め方

ASM運用体制の基本と情シス担当者が押さえるべきポイント

ASMの運用体制を検討する前に、そもそもASMが何を守る仕組みなのか、そして体制づくりでつまずきやすい点を確認しておくと、以降の検討がスムーズです。ここでは基本的な知識と課題を整理します。

ASM(アタックサーフェスマネジメント)とは何か

ASMとは、企業がインターネット上に公開しているサーバーやドメイン、クラウドサービスなどの資産を継続的に洗い出し、脆弱性やリスクを可視化する仕組みです。攻撃者は公開資産の弱点を突いて侵入するため、自社が把握していない資産を見つけることが重要な出発点です。

従来は手作業や年数回の棚卸しで資産を確認する企業が多くありましたが、クラウド利用の拡大で公開資産は日々増減するため、定期的な棚卸しだけでは把握が追いつかなくなっています。ASMツールを使えば、外部から見える資産を自動的に収集し、変化があった際に通知を受けられるため、担当者の負担を抑えながら継続的な監視が可能です。たとえば、担当者が知らないうちに立ち上げられていた検証用サーバーや、退職者が作成したまま残された公開サーバーやクラウド上の環境なども発見対象になり、社内の申請ルールだけでは把握しきれない部分を補う役割を担います。

情シス担当者が運用体制を整える際に直面しやすい課題

ASMを導入しても、検知した情報を誰がどう確認し、対応するのかという運用ルールが曖昧なままだと、アラートが放置されて意味をなさなくなってしまいます。特に情シス担当者が少人数、あるいは兼任である企業では、日常業務と並行して監視や対応を続ける体制づくりが課題になりやすい傾向があります。

この課題への対策としては、検知結果に優先順位を自動で付けてくれる製品を選ぶこと、対応フローをあらかじめ簡潔に文書化しておくこと、必要な部分は外部の専門家に任せることの三点が挙げられます。自社だけで抱え込まず、製品の機能や外部支援を組み合わせて考えると、無理のない運用体制を設計しやすくなります。特に情シスが未設置の企業では、体制を作る段階から相談できるベンダーを選ぶことで、運用ルールの整備自体を支援してもらえる場合もあります。

情シスが1人でも回せるASM運用体制の作り方

情シス担当者が1人しかいない、あるいは情シス自体が存在しない企業でも、ASMの運用を続けるための工夫があります。ここでは製品選びと日々の運用を軽くする方法を紹介します。

少人数運用に向くASMの選び方

少人数でASMを運用する場合は、資産の検出から脆弱性の評価、レポート作成までを自動で行ってくれる製品を選ぶことが重要です。手動での確認作業が多いツールでは、担当者が1人しかいない環境では対応が追いつかなくなり、結果としてリスクが放置されてしまう可能性があります。

具体的には、管理画面で優先度の高いリスクが一目でわかるダッシュボードを備えているか、日本語でサポートを受けられるか、導入時の初期設定を代行してもらえるかといった点を確認するとよいでしょう。情シスがいない企業では、導入から運用開始までを支援してくれるベンダーを選ぶと、立ち上げの負担を大きく減らせます。また、契約前に無料トライアルやデモ画面で操作性を確認しておくと、実際の運用イメージがつかみやすくなります。

自動化とアラート設計で日々の工数を減らす工夫

運用開始後は、検知したすべての情報を人が目視で確認するのではなく、緊急度の高いアラートだけを担当者に通知する設計にすることが、少人数運用を継続する上でのポイントです。緊急度の低い情報は週次や月次でまとめて確認するなど、確認頻度にメリハリをつけると負担が偏りません。

また、メールやチャットツールへの通知連携を設定しておけば、管理画面を毎日開かなくても異常に気づきやすくなります。定期レポートを自動生成できる製品であれば、経営層への報告資料としても活用でき、運用担当者が資料作成に時間を割く必要がなくなる点も利点です。通知の閾値は運用開始時に一度決めて終わりにせず、実際の検知状況を見ながら少しずつ調整していくと、無駄な通知を減らせます。

多拠点・グループ会社の外部公開資産を一括管理する運用体制

複数の拠点や子会社を抱える企業では、本社の情シスがどこまで一括で資産を把握するかを決めておくことが、統一した運用体制を作る上で重要です。ここでは一括管理の考え方と統合の仕組みを紹介します。

本社が全社の外部資産を一括管理するメリットと注意点

拠点ごとに個別のツールや担当者で資産を管理していると、拠点間で対応レベルにばらつきが生じ、どこかの拠点の資産が見落とされるリスクが高まります。本社の情シスが全社の外部公開資産をまとめて監視できる体制にすれば、統一した基準でリスクを評価しやすくなり、全体像を把握した上で対応の優先順位を決められます。

一方で、一括管理を進める際は、各拠点や子会社が独自に契約しているクラウドサービスやドメインを把握しきれていないケースがある点に注意が必要です。導入前に各拠点へのヒアリングを行い、既知の資産リストを整理した上でASMツールによる自動検出と突き合わせると、抜け漏れの少ない体制を構築できます。あわせて、拠点ごとの担当者にも検知結果を共有する仕組みを用意しておくと、本社主導であっても現場の状況を踏まえた対応がしやすくなります。

グループ会社間で監視情報を統合する仕組みづくり

グループ会社ごとにセキュリティ担当の体制や成熟度が異なる場合でも、ASMツールを共通の基盤として導入すれば、本社が横断的に状況を確認できる仕組みを作れます。グループ全体の資産とリスクを一つの管理画面で見渡せるようにしておくと、報告や対応指示のやり取りを簡潔に進められます。

統合を進める際は、各社の権限設定を分け、自社の情報だけを確認できるようにしつつ、本社側は全社を横断して閲覧できる構成にすると、情報共有と権限管理を両立させやすくなります。定例会議などで検知状況を共有する場を設けると、グループ全体でのセキュリティ意識も高まりやすくなります。子会社側の負担が過度にならないよう、報告に必要な作業を最小限にとどめる工夫もあわせて検討するとよいでしょう。

情シスと外部SOCが分業してポリシー運用しやすい体制

自社の情シスだけで24時間365日の監視まで担うのは難しいため、外部SOC(セキュリティオペレーションセンター)と役割を分けて運用する企業も増えています。ここでは分業の設計方法を紹介します。

情シスと外部SOCの役割分担を設計する方法

情シスと外部SOCで分業する場合、まず自社の情シスがどこまで対応し、どこから外部SOCに任せるのかという線引きを明確にしておくことが体制づくりの出発点です。一般的には、資産の登録やポリシー方針の決定は情シスが担い、日々の監視や一次対応の判断は外部SOCに任せる形が運用しやすいとされています。

役割分担を文書化しておくと、担当者が異動や交代した場合でも運用ルールが引き継ぎやすくなります。また、ASMツール側で権限や通知先を細かく設定できると、情シスと外部SOCがそれぞれ必要な情報だけを受け取れるようになり、無駄な連絡や確認作業を減らせます。契約時には、緊急度の高い検知が見つかった場合の連絡手段や、対応にかかる目安の時間についてもあわせて取り決めておくと安心です。

ポリシー運用を継続させるための工夫

分業体制を作った後も、ポリシーが形骸化しないよう、定期的な見直しの機会を設けることが重要です。半年に一度など期間を決めて、検知傾向やアラート対応の実績を情シスと外部SOCで振り返る場を設けると、運用ルールを実態にあわせて改善しやすくなります。

加えて、外部SOCから受け取る報告のフォーマットをあらかじめ統一しておくと、情シス側での確認や経営層への報告が容易です。ASMツールが提供するレポート機能を活用し、双方が同じ情報を見ながら議論できる状態を保つことも、分業体制を長く続けるためのポイントです。振り返りの際には、対応が遅れた事例があれば原因を確認し、通知の設定や対応フローの見直しにつなげると、体制全体の精度が徐々に高まります。

少人数・多拠点運用を後押しするASM製品

ここまで紹介した少人数運用や多拠点・グループ会社の一括管理という観点をふまえ、自動化された検知・優先順位付けと拠点横断での資産把握に対応できるASM製品を紹介します。

ANTERAS ASM

株式会社マクニカ

資料請求リストに追加

サービス詳細ページへ ＞

《ANTERAS ASM》のPOINT

1. 独自に開発したAI駆動型ツールで網羅的・高精度に資産を発見
2. サイバー攻撃の動向や手法を熟知した専門家が調査を実施
3. 攻撃者目線で正確な調査を行い、資産を見つけだして脅威を判定

まとめ

ASMの運用体制は、少人数でも回せる自動化された製品を選ぶこと、本社が全社の外部資産を一括管理すること、必要に応じて外部SOCと役割を分担することの三点を軸に検討すると設計しやすくなります。自社の規模や体制にあわせて製品や運用ルールを見直し、無理のない形でASMを継続的に活用してください。