ASMとは？社外から見える自社の入口を洗い出す仕組みと始める手順

ASMとは、組織の外部（インターネット）⁠か⁠らアクセスできるIT資産を見つけ、そこにある脆弱性などのリスクを継続的に検出・評価する一連のプロセスです。経済産業省のASM導入ガイダンス（2023年5月）⁠がこう定義しています。ASMはAttack Surface Managementの略で、外から届く資産は「攻撃面」⁠と呼ばれます。

今日やることは、自社名義のドメインをすべて書き出し、ドメインの管理画面からDNSの設定一覧を取ることです。一覧の横に「使っているか」「持ち主は誰か」⁠の欄を作ります。ツールを入れる前でも、この一覧で思い当たらない名前が見つかることがあります。

ASMでは何が見つかる？

見つかるのは、管理する部門が把握していないものと、想定と違って公開されているものです。経済産業省のガイダンスは、情シス以外の部門が立てたキャンペーンサイト、設定の誤りで外から届く社内システム、本社で管理しきれていないグループ企業の資産を例に挙げています。

中小企業の実情は、IPAの「ASM診断および事例集作成業務」報告書（2026年3月公開）⁠でわかります。126社⁠を診断し、製造・建設業が53社⁠を占めました。報告書の概要版は、すでに使っていないのにインターネット上に残る資産が死角になっていると指摘しています。

検出された社数の一部を同じ事業の事例集から抜き出します。参加の呼びかけに応じた企業の結果なので、中小企業全体の割合としては読まないでください。

機密サービスの事例には、製造業の会社が検出を受けて、利用していないデータベースサーバーの停止を検討している例が載っています。古い機器が残るのは、珍しい話ではありません。

なぜ外の入口を見るのか。警察庁の令和8年上半期の資料は、ランサムウェア攻撃について、インターネットに露出した箇所から遠隔で侵入する手口が多くを占めると説明しています。被害組織へのアンケートでは侵入経路の約5割⁠がVPN機器でした。

ASMはどんな仕組みで洗い出す？

経済産業省のガイダンスは、ASMを3つ⁠の段階で説明しています。

1. 攻撃面の発見：組織名からドメイン名を特定し、DNSの検索やツールでIPアドレスとホスト名の一覧を出す
2. 攻撃面の情報収集：OS、ソフトウェアとそのバージョン、開いているポート番号などを、通常のアクセスの範囲で集める
3. 攻撃面のリスク評価：集めた情報と公開されている既知の脆弱性情報を突き合わせ、弱点がある可能性を示す

実施にはツールを使うのが一般的です。ツールは2つ⁠の型に分かれます。

ツールを使わず、運用ごと頼めるASMサービスもあります。同じガイダンスは、調査結果のレポートと解説を提供するものや、ツールの運用を代行するものがあると説明しています。社内に扱える人がいないなら、最初からサービスも候補に入ります。製品とサービスの違いはASMのツールとサービスの比較で見比べられます。

ASMと脆弱性診断の違いは？

大きな違いは、対象を誰が決めるかと、結果の確かさです。

出典はいずれも経済産業省のガイダンスです。比較の相手はサーバーやネットワークを調べるプラットフォーム診断です。

つまり、ASMで入口を見つけ、重要なものを診断で確かめる、という順番で組み合わせられます。ガイダンスも、目的に応じた使い分けや併用を検討すべきとしています。発注の準備としても使えて、脆弱性診断ツールとサービスの使い分け⁠を考えるときの対象の一覧になります。診断の種類全体はセキュリティ診断のカテゴリから確かめられます。

結果を読むときの注意は？

ASMの結果には、そのまま受け取れないものが混ざります。ガイダンスが挙げる注意点は次のとおりです。

• 自社で管理していないものが出ることがある：CDNやクラウドでIPアドレスが変わる場合など
• 脆弱性は確認されたわけではない：バージョン情報などからの推定を含む
• 誤検知も見逃しも起こる：パッチを当ててもバージョン表記が変わらない機器や、バージョン情報を隠している機器がある
• 点数がそのまま優先度にはならない：CVSSの点数が高くても、悪用が確認されていなければ順位が変わる場合がある

逆の読み違いもあります。IPAの概要版は、経営層の関与が薄い企業では「重要な問題は検出されなかった」ことがASMの結果を改善に結びつけない理由になっていると報告しています。外から見える範囲で検出がなかった、という以上の意味は持たせないようにします。

始めるときの手順は？

規模の小さな会社を想定して、ガイダンスの検討項目を実行の順に並べました。

目的と範囲を決める

「未把握の資産を見つける」「緊急の脆弱性が出たときに自社が該当するかすぐ確かめる」⁠な⁠ど⁠、目的を1つ決めます。範囲は自社、グループ企業、取引先のどこまでかを決めます。最初は自社だけで十分です。

手元の情報で一覧を作る

冒頭の一覧に、公開サイト、メール、VPN、クラウドのサービス名を足します。契約書と請求書を見ると、忘れていたドメインやサーバーの契約に気づけます。IPAの事例集も、担当の異動や退職でサブドメインやテスト環境が放置されやすいと書いています。

少額で試す

ガイダンスは、少額で実行できる範囲での概念実証（PoC）⁠も有用としています。無料の診断や試用があれば、自社のドメインを入れて、知らない名前がどのくらい出るかを見ます。無料の範囲は提供元の案内で確かめてください。

持ち主と連絡先を決める

見つかった資産ごとに持ち主を決めます。ガイダンスの事例でも、見つけた資産がどの部門のものか特定するのが難しいという声が多く挙がっています。持ち主が見つからないものをどうするかも決めておきます。「1か月待って名乗り出なければ止める準備に入る」⁠と⁠い⁠っ⁠た社内の手順です。

不要なものを止め、残すものを更新する

止められるものは止めます。止めれば、そのぶん更新の手間もなくなります。IPAの概要版でも、不要なサービスの停止、サブドメインの廃止、古いAPIキーの削除といった動きが効果として挙げられています。残すものは更新の順番を決めて直します。順番の決め方は脆弱性管理の進め方⁠で扱っています。

繰り返す頻度と登録の決まりを作る

資産は増減するので、1回⁠で終わりません。頻度について、ガイダンスは自社のポリシー、業務負荷、攻撃の流行などから総合的に判断するよう書いています。IPAの事例集の工夫も参考になります。新しいドメインを取るときは申請と台帳登録を必須にし、廃止の手順にDNSの削除まで書いておく形です。

社内の台帳と突き合わせるなら、IT資産管理ツールの比較や脆弱性管理ツールの比較も関係します。ガイダンスは、ASMが未把握の資産を見つける点で脆弱性管理やIT資産管理を補うものと位置づけています。

製造業ではどこを見る？

たとえば、産業機械のメーカーで、次の資産を持っている場合を考えます。

• 展示会や新製品のたびに、営業部門が外注して立てた特設サイト
• 設備メーカーが遠隔保守に使うVPN機器やリモート接続の機器
• 買収した子会社や海外拠点が独自に持つメールとサイト
• 取引先と図面をやりとりするために期間限定で立てたファイル共有

どれも情シス兼任の担当者の台帳から漏れやすいものです。特に遠隔保守の機器は、設備の担当と情シスのどちらの持ち物か曖昧になりがちです。経済産業省のガイダンスは、2021年⁠の公立病院の事例で、遠隔保守用の機器が脆弱性を抱えたままインターネットから届く状態になっており、そこから侵入された可能性が高いとしています。病院の話ですが、外部の保守業者を使う工場にも構造は共通します。

対策として、まず保守契約を開いて、接続用の機器の有無と更新の担当を確かめます。ASMの結果に工場の機器らしい名前が出たら、すぐに止めず、生産の担当と設備メーカーに連絡します。止めてよいかどうかは、現場を知る人と決めます。

ASMだけでは足りないところは？

ASMは外から見える範囲の取り組みです。社内のPCやサーバー、ログインの後ろにある機能の不備は対象の外です。見つけた入口が実際にどう破られるかを確かめるなら、脆弱性診断とペネトレーションテスト⁠が別に要ります。

IPAの概要版も、ツール単体では足りず、レポートの解釈、設定変更や不要資産の廃止の実務、社員教育や経営層への説明を組み合わせる必要があるとまとめています。兼任の担当者が一人で抱えるなら、運用まで外部に頼むかどうかを、製品の機能より先に検討します。