ASM(アタックサーフェスマネジメント)とは 専門家が解説

内閣官房内閣サイバーセキュリティセンター（NISC）は、2024年7月19日に「横断的アタックサーフェスマネジメント（ASM）事業の運用開始に係るプレスリリース」を公表し、各府省庁、独立行政法人・指定法人の情報システムを対象に、システムの脆弱性等を調査・是正する横断的アタックサーフェスマネジメント事業を2024年7月22日以降、順次開始しました。

なお、NISCは2025年7月に発展的に改組され、現在は内閣官房「国家サイバー統括室（NCO：National Cybersecurity Office）」となっています。

政府の横断的ASMは現在も継続しており、2025年の政府資料では、全府省庁26機関、全独立行政法人87法人、一部の指定法人9法人を対象に、攻撃者の視点からインターネットに公開されているサーバーやネットワーク機器などの状態を調査・評価し、脆弱性等を随時是正する取り組みとして位置付けられています。

また、2026年の「デジタル社会の実現に向けた重点計画」関連資料でも、横断的ASMによる脆弱性把握が政府のサイバーセキュリティ施策の一つとして引き続き盛り込まれています。

さらに民間企業向けでも、経済産業省は2025年5月の「産業界へのメッセージ」で、サプライチェーン全体のセキュリティ対策強化に向けた実務上の取り組みとして、ASMの活用を挙げています。

このようにASMは、単なる新しいセキュリティ製品の名称ではなく、政府機関や企業が「外部から見えている自組織のIT資産を継続的に把握し、攻撃される前にリスクを減らす」ための運用手法として定着しつつあります。

NISCによる2024年のプレスリリース

国家サイバー統括室（NCO）概要

そこで本記事では、ASMの基本的な考え方、運用プロセス、脆弱性診断との違い、導入時のメリット・デメリットについて解説します。

1. ASM(アタックサーフェスマネジメント)とはASMの概要

NISCの2024年プレスリリースでは、ASM（Attack Surface Management）について、次のように説明しています。

組織の外部（インターネット）に公開されているサーバやネットワーク機器等のIT資産の情報を収集・分析し、存在する脆弱性等のリスクを継続的に検出・評価するとともに、それらに基づき、脅威対策やシステムの脆弱性等を是正する一連のプロセス

経済産業省の「ASM導入ガイダンス」でも、組織の外部からアクセス可能なIT資産を発見し、それらに存在する脆弱性などのリスクを継続的に検出・評価するプロセスとして整理されています。

少し分かりづらいため、まず「アタックサーフェス」とは何かを整理します。

アタックサーフェス（Attack Surface）は「攻撃対象領域」とも呼ばれ、攻撃者がシステムへ侵入したり、情報を取得したり、何らかの影響を与えたりする際の接点となり得る領域を指します。

NIST（米国国立標準技術研究所）はAttack Surfaceを、「攻撃者が侵入、影響の発生、データの取得を試みることができる、システムや環境の境界上のポイントの集合」と定義しています。

具体的には、次のようなものが該当します。

• Webサーバー
• VPN
• ファイアウォール
• ルーター
• メールサーバー
• クラウド上の公開サービス
• SaaSのログイン画面
• API
• DNS・サブドメイン
• 外部公開された管理画面
• 開発・検証環境
• IoT機器
• インターネットへ公開されたストレージ
• 過去に構築され、その後管理されなくなったサーバー

特にASMで重視されるのは、「情報システム部門が把握している資産」だけではありません。

例えば、

• 過去のプロジェクトで作られ、そのまま残っているクラウドサーバー
• 子会社や海外拠点が独自に契約したSaaS
• 開発部門が一時的に公開したテスト環境
• M&Aで取得した会社のドメインやサーバー
• 廃止したと思っていたサブドメイン
• 委託先が管理している公開システム

など、組織側で十分に把握できていないIT資産がインターネットから見える状態になっているケースがあります。

攻撃者は企業の資産管理台帳を見て攻撃対象を選ぶわけではありません。

外部から到達できるサーバーやVPN、管理画面、クラウド資産を探索し、そこに脆弱性や設定不備があれば侵入を試みます。

ASMは、この「攻撃者から何が見えているか」を継続的に把握するための取り組みです。

なお、「ASM」という言葉は市場や製品によって対象範囲が異なる場合があります。

海外ではExternal Attack Surface Management（EASM）という名称で、外部公開資産の発見・監視を明確に区別する場合もあります。

日本の経済産業省や政府機関がASMとして説明しているのは、主に「インターネットから把握できる外部公開IT資産」を対象とした考え方です。

そのため、単純に「日本のASMは外部、海外のASMは内部も含む」と分けるよりも、製品・ガイドラインごとにどこまでを管理対象としているか確認する方が正確です。

2. ASM のプロセス

経済産業省は2023年5月に「ASM（Attack Surface Management）導入ガイダンス―外部から把握出来る情報を用いて自組織のIT資産を発見し管理する」を公開しています。

経済産業省 ASM導入ガイダンス

このガイダンスでは、ASMは主に、

1. 攻撃面の発見
2. 攻撃面の情報収集
3. 攻撃面のリスク評価

の3つのプロセスで構成されるとしています。

実際の運用では、これに「是正」「再確認」を加えて継続的に回すことが重要です。

① 攻撃面の発見

最初に、自組織が保有または管理しており、インターネットからアクセス可能なIT資産を発見します。

例えば次のような情報を起点に探索します。

• 自社ドメイン
• サブドメイン
• IPアドレス
• IPアドレスレンジ
• DNS情報
• WHOIS情報
• TLS/SSL証明書
• クラウド上の公開ホスト
• 子会社や関連会社のドメイン

この工程の目的は、単に「現在把握しているサーバー一覧を作る」ことではありません。

情報システム部門が管理していない、いわゆるShadow ITや放置資産、過去資産を含め、「攻撃者から自社関連に見える資産」を発見することが重要です。

② 攻撃面の情報収集

次に、①で発見したIT資産について情報を収集します。

主な項目には、

• OS
• ソフトウェア
• ソフトウェアやミドルウェアのバージョン
• 公開ポート
• 利用プロトコル
• Webサーバー情報
• TLS証明書
• DNS設定
• 管理画面の露出
• クラウドサービスの設定
• インターネットから確認できる設定不備

などがあります。

一般的なASMでは、対象システムへ大きな負荷や影響を与えない範囲で情報を収集します。

ただし、実際の製品やサービスによって、

• パッシブな情報収集が中心
• 軽量なアクティブスキャンを行う
• 脆弱性スキャン機能を組み合わせる

など動作は異なります。

導入時には、自社環境に対してどこまで通信・スキャンを行うのか確認する必要があります。

③ 攻撃面のリスク評価

最後に、収集した情報を既知の脆弱性情報や設定情報と照合し、リスクを評価します。

例えば、

「インターネットからVPN装置が公開されている」
↓
「利用製品・バージョンが判明」
↓
「既知の脆弱性が存在する可能性」
↓
「実際に悪用されている脆弱性か」
↓
「インターネットから到達可能か」
↓
「優先的に対応すべきか」

という形で評価します。

近年は、単純にCVSSの点数だけを見るのではなく、

• CISA KEVなどの実悪用情報
• EPSS
• インターネットからの到達可能性
• 資産の重要度
• 攻撃者によるスキャン状況
• 脅威インテリジェンス

などを組み合わせて優先順位を付ける考え方が一般的になっています。

ASMの目的は「脆弱性を見つけること」ではなく、その結果を修正につなげることです。

経済産業省のガイダンスでは、ASMの基本プロセスを「発見・情報収集・リスク評価」と整理していますが、実務では、

発見 → 評価 → 是正 → 再確認 → 新しい資産の発見

を継続的に繰り返す必要があります。

この「修正まで含めて継続的に管理する」という点では、ASMは脆弱性管理と連携して運用することが重要です。

3. ASMと脆弱性診断の違い

セキュリティリスクを把握する手法として、一般的に利用されるものに脆弱性診断があります。

ASMと脆弱性診断は似ていますが、役割は異なります。

最も大きな違いは、「何を対象にするか」と「どこまで詳しく調べるか」です。

従来の記事では「ASMは攻撃者目線、脆弱性診断は開発者・管理者目線」と整理されることもありますが、現在では少し単純化しすぎた説明です。

外部ネットワーク脆弱性診断やWebアプリケーション診断も、攻撃者と同じ外部の視点から実施されます。

両者の決定的な違いは、

「ASMは、そもそも何が外部に存在するかを見つける」

「脆弱性診断は、既に対象として指定したシステムを詳しく調べる」

という役割です。

例えば、企業が認識していない古いVPN装置がインターネットに残っていた場合、脆弱性診断の対象リストに入っていなければ診断されません。

ASMでは、DNSやIP情報などからそのVPN装置を発見できる可能性があります。

一方、ASMで「脆弱な可能性がある」と判定されたシステムについて、本当に脆弱性が存在するのか、Webアプリケーション内部の認証後機能に問題がないか、といった詳細確認は脆弱性診断の方が適しています。

そのため、

ASMで資産を発見
↓
リスクの高い資産を絞り込み
↓
脆弱性診断で詳細確認
↓
脆弱性管理で修正・期限・担当者を管理
↓
ASMや再診断で是正を確認

という組み合わせが効果的です。

脆弱性診断の具体的な種類やツールとの違いは、脆弱性診断ツールとは？種類・自動診断と手動診断の違い・企業での選び方でも解説しています。

4. ASM（アタックサーフェスマネジメント）導入のメリットとデメリット

ASMは外部公開資産を継続的に把握できる一方、導入すれば自動的にリスクがなくなるものではありません。

運用体制や脆弱性管理との連携まで含めて設計する必要があります。

ASM（アタックサーフェスマネジメント）導入のメリット

ASMの最大のメリットは、攻撃者と同じ外部の視点から、自社が把握していないIT資産を発見できる可能性がある点です。

特にクラウドやSaaSの利用が増えた現在では、

• 部門ごとに作成されたクラウド環境
• 海外拠点・子会社が運用するサーバー
• M&Aで増えたIT資産
• 開発・検証用の一時環境
• 廃止漏れのサブドメイン
• 委託先が構築したシステム

など、中央の情報システム部門だけでは完全に把握しにくい資産が増えています。

ASMを継続的に実施することで、こうした管理漏れを早期に発見できます。

また、単純な資産管理だけでなく、

• 新しい公開資産が増えた
• 新しいポートが開いた
• 証明書が変更された
• 管理画面が外部公開された
• 新たな脆弱性に該当する資産が見つかった

といった変化を継続的に確認できる点もメリットです。

さらに、OSINTや脅威インテリジェンス、KEV、EPSSなどと組み合わせることで、「脆弱性があるか」だけでなく「実際に攻撃されやすいか」を考慮した優先順位付けがしやすくなります。

経済産業省は2025年の「産業界へのメッセージ」で、サプライチェーン全体のセキュリティ対策強化の取り組みとしてASMの活用を挙げています。

また、2025年度の政府施策では、企業の公開資産のセキュリティ状況をASMで調査し、中小企業の公開資産における問題点や想定被害額を分析する実証も位置付けられました。

ASMは大企業だけの施策ではなく、サプライチェーン全体の外部公開資産を把握する手段として活用範囲が広がっています。

ASM（アタックサーフェスマネジメント）導入のデメリット

ASMにはいくつかの注意点もあります。

まず、ASMで検出された資産が本当に自社の管理対象なのかを確認する作業が必要です。

外部情報から資産との関連性を推定するため、

• グループ会社の資産
• 委託先の資産
• 過去に利用していたIPアドレス
• 共用クラウド基盤
• CDN
• ホスティング事業者

などが候補として表示される場合があります。

つまり、「見つけた後に誰の資産か確認する」という作業が発生します。

また、脆弱性についても、外部から確認できる情報を基に推定する場合があるため、誤検知や実際のバージョンとのずれが発生することがあります。

ASMの結果だけで脆弱性が確定したと判断せず、必要に応じて管理者への確認や脆弱性診断を行う必要があります。

コストも検討事項です。

ASMは手作業でも一部実施できますが、数百、数千の資産を継続的に監視する場合は、専用ツールや外部サービスを利用する方が現実的です。

ただし、本当に重要なのはツール導入費用そのものよりも、

• アラートを誰が確認するか
• 資産の所有者を誰が特定するか
• 脆弱性を誰に修正依頼するか
• 対応期限をどう管理するか
• 修正後にどう確認するか

という運用です。

ASMを導入して大量のアラートが出ても、修正担当者や期限が決まっていなければリスクは減りません。

このためASMは、単独の製品として導入するより、既存の資産管理、脆弱性管理、脆弱性診断、SOC・CSIRTなどの運用と接続して使う方が効果を出しやすいと考えられます。

5. まとめ

ASMは、インターネットから確認できる自社のIT資産を継続的に発見し、攻撃者から見えるリスクを把握するための取り組みです。

2024年にはNISCが政府横断ASMの運用を開始し、2025年7月の国家サイバー統括室（NCO）発足後も政府施策として継続されています。

2026年の政府資料でも、横断的ASMによる脆弱性把握は引き続きサイバーセキュリティ施策として位置付けられています。

また、経済産業省は民間企業に対しても、サプライチェーン全体のセキュリティ対策強化の一環としてASMの活用を挙げています。

一方で、ASMは脆弱性診断や脆弱性管理の代替ではありません。

ASMは、

「何が外部から見えているのか」

を発見する役割に強みがあります。

脆弱性診断は、

「そのシステムにどのような弱点があるのか」

を詳しく確認します。

脆弱性管理は、

「見つかった問題を誰が、いつまでに、どのように修正するのか」

まで継続的に管理します。

この3つを組み合わせることで、

資産発見 → リスク評価 → 詳細確認 → 修正 → 再確認

という一連の流れを作ることができます。

以前はASMを「上級者向けの特殊なセキュリティ施策」と見る向きもありましたが、クラウド、SaaS、子会社、海外拠点、委託先などにIT資産が分散する現在では、外部公開資産を継続的に把握する考え方そのものが基本的なセキュリティ管理の一部になりつつあります。

導入時は、製品の検出件数だけで比較するのではなく、

• 自社資産をどこまで発見できるか
• 子会社・海外拠点まで管理できるか
• 誤検知をどのように処理できるか
• KEVやEPSS、脅威インテリジェンスと連携できるか
• 脆弱性管理やチケット管理へつなげられるか
• 修正後の再確認まで運用できるか

を確認することが重要です。

ASMは「外から見た自社」を把握する仕組みです。

その結果を実際の是正へつなげて初めて、攻撃面を減らすという本来の目的を達成できます。