ASMとは何か、業種によって懸念点が異なる理由
ASMの基本的な仕組みと、なぜ業種ごとに注意点が違ってくるのかを押さえておきましょう。
ASM(Attack Surface Management)の役割
ASMとは、インターネットに公開しているサーバーやドメイン、クラウド環境などの資産を自動的に洗い出し、脆弱性や設定の不備を継続的に把握する仕組みです。従来の脆弱性診断が特定の対象を定期的に調べるのに対し、ASMは公開資産全体を常時スキャンし、変化をいち早く検知する点が特徴です。
近年はクラウド利用の拡大やテレワークの普及により、企業が把握しきれていない公開資産が増える傾向にあります。ASMはこうした管理外の資産、いわゆるシャドーITを可視化する手段として、多くの業種で導入が検討されています。特にセキュリティ担当者の人数が限られる企業では、資産の洗い出しを自動化できる点が導入を後押しする要因になっています。
業種によって懸念点が異なる理由
ASMは共通の仕組みを持つ製品ですが、実際の運用では業種特有のシステム構成が影響し、懸念点が異なってきます。金融機関のように独自の業務システムを持つ業種や、製造業のように制御系の機器を扱う業種では、一般的なIT環境とは異なる配慮が求められます。
例えば、稼働継続を最優先する現場ではスキャンによる負荷が問題になりやすく、逆に変化の速いクラウド環境が中心の業種では検知精度の維持が課題です。加えて、業界特有の規制や監督官庁への報告義務が絡む業種では、検知した情報をどのように記録・管理するかも比較の基準といえます。導入前に自社の業種特有の事情を踏まえて製品を比較することが、失敗を防ぐための大切なポイントです。
金融機関がASMを導入する際に注意したい懸念点
金融機関では業務システムとの連携やレガシー環境への配慮が、ASM導入時の重要な検討事項です。以下の2つのポイントを押さえておくと、導入後のトラブルを避けやすくなります。
業務システムとの相性による誤検知
金融機関では、勘定系や決済系など独自仕様の業務システムを運用しているケースが多くあります。こうしたシステムは一般的なWebサービスと異なる通信仕様やポート構成を持つことがあります。そのため、ASMのスキャンが想定外の応答パターンを検知し、誤検知として報告される事例が起こりやすいといえます。
誤検知が多発すると、実際に対応が必要な脆弱性の確認に時間がかかり、運用担当者の負担が増えてしまいます。導入時には、業務システムの通信仕様をベンダーに共有し、除外設定やチューニングを丁寧に行うことが重要です。段階的にスキャン範囲を広げる進め方も有効な対策のひとつです。また、導入後も定期的に検知ログを見直し、誤検知として扱ってよい通信パターンをリスト化しておくと、担当者が変わっても運用を引き継ぎやすくなります。
オンプレミス環境やレガシーシステムへの配慮
金融機関では、法規制対応や長期運用の観点から、オンプレミス環境や古いシステムを継続して利用しているケースがあります。こうした環境はクラウドネイティブな構成を前提としたASM製品との相性が課題になることがあり、資産の検出漏れや誤った分類が発生する場合があります。
対策としては、対象環境がオンプレミスやレガシーシステムを含む場合に実績のある製品を選ぶことが挙げられます。また、導入初期はPoC(概念実証)を行い、自社環境での検知精度を確認したうえで本格導入に進む進め方が安全です。加えて、システム部門だけでなく、監督官庁への報告フローを担う部署とも情報を共有し、検知結果の扱い方をあらかじめ決めておくと運用がしやすくなります。
製造業でOT資産をASMで監視する際の懸念点
製造業では工場の制御システムを扱うOT(Operational Technology)資産が多く、監視方法に独特の注意が必要です。
OT資産のスキャンによる誤作動リスク
製造業の工場では、生産ラインを制御するOT機器がネットワークに接続されているケースが増えています。OT機器は一般的なIT機器と比べて処理能力に余裕がなく、ASMによる能動的なスキャンが想定外の負荷となり、機器の応答遅延や誤作動につながる事例が報告されています。
この懸念に対しては、OT環境向けに受動的な監視方式を用意している製品を選ぶことや、スキャン対象からOT機器を明確に切り分ける設定が有効です。稼働への影響を避けるため、まずはIT資産のみを対象に導入し、OT領域は別の監視手法と組み合わせる企業も見られます。導入前に生産ラインが止まっていない時間帯を選んでテストスキャンを行い、影響の有無を確認しておくことも実務上のポイントです。
IT部門とOT部門の連携不足
製造業では、社内システムを管理するIT部門と、工場設備を管理するOT部門の担当領域が明確に分かれていることが多くあります。ASM導入の検討がIT部門主導で進むと、OT部門との情報共有が不足し、監視対象の認識にずれが生じて導入後にトラブルが発生する事例があります。
こうした事態を避けるには、導入計画の初期段階からIT部門とOT部門が合同で対象資産の洗い出しを行うことが重要です。両部門が定期的に情報を共有する体制を整えることで、監視範囲の抜け漏れや設定の食い違いを防ぎやすくなります。さらに、検知した結果を確認する担当者をあらかじめ両部門から選定しておくと、対応の判断が遅れにくくなり、トラブル発生時にも落ち着いて対処できます。
IT企業や医療法人におけるASM運用の懸念点
IT企業ではシステムの変化速度、医療法人では医療機器を含む特殊な機器構成が、ASM運用時の懸念点として挙げられます。
IT企業でのASM運用トラブル
IT企業では新規サービスの開発やクラウド環境の追加が頻繁に行われるため、資産構成が短期間で変化する傾向があります。この変化の速さにASMの資産管理が追いつかないケースもあります。既に廃止したサービスが検知対象として残り続けたり、逆に新しく公開した資産の検知が遅れたりするトラブルが起こる事例があります。
対策としては、資産の追加・廃止を管理する社内フローとASMの資産台帳を連携させることが挙げられます。開発チームとセキュリティ担当者が定期的に資産一覧を突き合わせる運用にすることで、検知の抜け漏れを減らすことができます。API連携によって資産情報を自動で反映できる製品を選ぶことも、変化の速い環境では有効な対策のひとつです。運用開始後も定期的にルールを見直し、実態に合わせて更新していく姿勢が求められます。
医療法人特有のスキャン不具合
医療法人では、電子カルテシステムや医療機器と連携する専用システムを運用しているケースがあります。こうしたシステムは一般的な業務システムと比べて仕様が特殊であることが多く、ASMのスキャンに対する応答が不安定になりがちです。その結果、正常に稼働している資産が異常として検知される不具合が起こることがあります。
医療分野では患者情報を扱うシステムの安定稼働が最優先されるため、導入前に対象システムの仕様をベンダーに十分に伝え、必要に応じてスキャン対象から除外する設定を行うことが重要です。段階的な導入により、影響範囲を確認しながら進める方法も有効です。院内システムを管理する部門と情報システム部門が連携し、スキャンを実施する時間帯を診療への影響が少ない時間に調整しておくことも大切な備えです。
業種特有の懸念に対応できるASM製品の選び方
ここまで見てきた誤検知への対応力、OT資産への配慮、資産変化への追随力といった観点をもとに、実際の製品比較で参考になるASMを紹介します。
ANTERAS ASM
- 独自に開発したAI駆動型ツールで網羅的・高精度に資産を発見
- サイバー攻撃の動向や手法を熟知した専門家が調査を実施
- 攻撃者目線で正確な調査を行い、資産を見つけだして脅威を判定
株式会社マクニカが提供する「ANTERAS ASM」は、外部公開資産の「把握」と「対処の優先順位付け」に重点を置いた予防型のASMサービスです。マクニカのセキュリティ研究センターが持つ攻撃動向の知見を活用し、未把握の資産を含めて網羅的に調査したうえで、攻撃者目線でリスクを判定する点が特徴です。業種特有の複雑なシステム構成を持つ企業でも、専門家による調査を踏まえた優先順位付けにより、限られたリソースで対応すべき脆弱性を絞り込みやすくなります。
Qualys ASM （クォリスジャパン株式会社）
- 内部・外部を含む攻撃対象領域資産を統合的に発見管理
- 外部向けインターネット資産を継続可視化しリスク優先付け
- TruRiskで脆弱性とリスクを統合し体制強化を実現
Mandiant ASM （グーグル・クラウド・ジャパン合同会社）
- 動的IT環境全体の外部アセットを継続監視しリスク検出を可能化
- 攻撃対象領域を可視化し、脆弱性や設定ミスの把握を支援
- 複数環境のアセットを統合分析し、対策の優先度付けを支援
CyCognito （CyCognito）
- 攻撃者と同じ視点で外部攻撃対象領域を自動的に検出して可視化
- 継続的な脆弱性評価と曝露の検証によりリスク優先度を明確化
- 設定不要で即時可視化し世界的大企業規模のEASMに対応
Tenable Attack Surface Management （Tenable Network Security Japan株式会社）
- インターネット全体をマッピングし外部資産の可視性を拡大。
- 既知・未知の攻撃対象領域リスクを継続的に発見・評価。
- 豊富なメタデータと分析で資産のビジネス文脈理解を支援
まとめ
ASMは外部公開資産を継続的に把握できる仕組みですが、業種ごとに業務システムや機器構成が異なるため、導入時に起こりやすい懸念点も変わります。金融機関の誤検知、製造業のOT資産への配慮、IT企業の資産変化への対応、医療法人の特殊システムへの配慮など、自社の業種特有の事情を踏まえて製品を比較することが重要です。あわせて、関係部門と情報を共有しながら段階的に導入を進めることが、失敗を防ぐポイントといえます。
