「うちのIT資産が外部からどう見えているか、把握できていますか？」——この問いに即答できる企業は少ない。経済産業省は2023年5月に「ASM（Attack Surface Management）導入ガイダンス」を公開し、企業のIT資産の外部公開状況を継続的に把握・管理する重要性を明確に打ち出した。
ASMとは、インターネットに公開されている自社のIT資産（Webサイト、API、クラウドサービス、VPN装置、メールサーバー等）を網羅的に把握し、脆弱性や設定ミスがないかを継続的に監視・管理する取り組みだ。ランサムウェア攻撃の82%が「外部公開資産の脆弱性」を起点としている（Mandiant 2025年レポート）ことからも、ASMの重要性は急速に高まっている。
1. なぜ今ASMが必要なのか
攻撃面（Attack Surface）の爆発的拡大
横にスクロールして確認できます
| 要因 | 攻撃面の拡大 |
|---|---|
| クラウド移行 | AWS/Azure/GCPの設定ミスによる意図しない公開 |
| リモートワーク | VPN装置・リモートデスクトップの外部公開 |
| SaaS利用増加 | シャドーIT・API連携による意図しないデータ露出 |
| M&A・グループ経営 | 子会社・グループ会社のIT資産が把握できない |
| 開発スピードの加速 | テスト環境・ステージング環境の放置 |
| IoT/OTの接続 | 工場設備・監視カメラのインターネット接続 |
経産省ガイダンスの要点
経済産業省「ASM導入ガイダンス〜外部から把握出来る情報を用いて自組織のIT資産を発見し管理する〜」（2023年5月）の主要メッセージ：
- 外部からアクセス可能なIT資産を継続的に把握すべき
- 脆弱性やリスクを発見したら速やかに対処すべき
- ASMは脆弱性診断とは異なる——「何を守るべきか」を知る活動
- 経営層の関与が不可欠
SECURITY OPERATION
日常の脆弱性運用、情シス1人で回せる体制にしませんか？
月次棚卸・重大度判定・パッチ適用代行まで含む「セキュリティ運用伴走」プラン。単発対応からの卒業で、止まらない運用体制を作ります。
2. ASMの仕組み
ASMの3ステップ
横にスクロールして確認できます
| ステップ | 内容 | 頻度 |
|---|---|---|
| 1. 発見（Discovery） | 自社に関連するIT資産をインターネット上から自動発見 | 継続的（毎日〜毎週） |
| 2. 評価（Assessment） | 発見した資産の脆弱性・設定ミス・証明書期限等を評価 | 発見の都度 |
| 3. 対処（Remediation） | リスクに応じて修正・遮断・廃止を実行 | 評価の都度 |
ASMで発見できるもの
横にスクロールして確認できます
| 発見対象 | 具体例 |
|---|---|
| 未把握のWebサイト | テスト環境、旧サイト、キャンペーンページ |
| 公開されたAPI | ドキュメント未整備のAPIエンドポイント |
| VPN/RDP装置 | パッチ未適用のVPN装置 |
| クラウド設定ミス | S3バケットのパブリック公開、セキュリティグループの開放 |
| SSL/TLS証明書 | 期限切れ、脆弱なプロトコル |
| ダングリングDNS | 解約済みサービスのDNSレコード放置（サブドメインテイクオーバー） |
| メールサーバー | SPF/DKIM/DMARCの未設定 |
| ソースコード | GitHubに公開されたクレデンシャル |
ASMと脆弱性診断の違い
横にスクロールして確認できます
| 項目 | ASM | 脆弱性診断 |
|---|---|---|
| 目的 | 「何を守るべきか」を知る | 「どこが弱いか」を知る |
| 対象範囲 | 未把握の資産も含めて全体 | 指定された資産のみ |
| 頻度 | 継続的（24/365） | スポット（年1〜4回） |
| 深度 | 浅い（外部からの可視性） | 深い（脆弱性の詳細分析） |
| 認証の有無 | 非認証（外部視点） | 認証あり/なし |
| 位置付け | 脆弱性診断の前段階 | ASMの後工程 |
3. ASMツール比較
主要ツール
横にスクロールして確認できます
| ツール | 本社 | 月額目安 | 特徴 |
|---|---|---|---|
| Mandiant ASM | 米国（Google Cloud） | 要見積もり（50万円〜） | 脅威インテリジェンス統合、最大手 |
| CrowdStrike Falcon Surface | 米国 | 要見積もり（30万円〜） | EDRとの統合、リアルタイム性 |
| Microsoft Defender EASM | 米国 | $0.011/資産/日 | Azure統合、低コスト |
| Censys | 米国 | $3,000〜/月 | インターネット全体のスキャンデータ |
| ULTRA RED | イスラエル | 要見積もり | 日本語対応、CSIRT連携 |
| Macnica ASM | 日本（マクニカ） | 要見積もり | 日本語サポート、国内実績豊富 |
| GMOサイバーセキュリティ ASM | 日本 | 月額10万円〜 | 日本企業向け、低価格帯 |
選定基準
横にスクロールして確認できます
| 基準 | 重要度 | チェックポイント |
|---|---|---|
| 資産発見能力 | ★★★★★ | ドメイン・IP・クラウド・SaaSの発見範囲 |
| 脆弱性評価の精度 | ★★★★★ | 誤検知率、CVEとの紐付け精度 |
| 日本語対応 | ★★★★ | UI・レポート・サポートの日本語対応 |
| 既存ツールとの統合 | ★★★★ | SIEM/SOAR/EDRとの連携 |
| 価格 | ★★★ | 資産数ベース vs 定額制 |
| レポート機能 | ★★★ | 経営層向けダッシュボード |
4. 導入費用の目安
横にスクロールして確認できます
| 企業規模 | 管理資産数 | ツール費用（年額） | 導入支援 | 運用費（年額） | 合計（初年度） |
|---|---|---|---|---|---|
| 小規模（〜100名） | 〜100資産 | 120〜360万円 | 50〜100万円 | 60〜120万円 | 230〜580万円 |
| 中規模（100〜500名） | 100〜500資産 | 360〜720万円 | 100〜200万円 | 120〜240万円 | 580〜1,160万円 |
| 大規模（500名〜） | 500〜5,000資産 | 720〜1,800万円 | 200〜500万円 | 240〜600万円 | 1,160〜2,900万円 |
コスト効果
- ランサムウェア被害の平均コスト：約4.5億円（IBM Cost of a Data Breach Report 2025）
- ASM導入で外部起点の攻撃リスクを70〜80%低減（Gartner推計）
- ROI：被害1件の回避でASM費用の10〜100倍のリターン
5. 導入ステップ
横にスクロールして確認できます
| ステップ | 期間 | 内容 |
|---|---|---|
| 1. 対象ドメイン・IP範囲の特定 | 1〜2週間 | 自社・子会社・グループ会社のドメイン一覧作成 |
| 2. ASMツール選定・PoC | 2〜4週間 | 2〜3ツールのトライアル評価 |
| 3. 初回スキャン・棚卸し | 1〜2週間 | 発見された資産の確認・分類 |
| 4. リスク評価・優先順位付け | 1〜2週間 | 重大脆弱性の特定、対処優先度の決定 |
| 5. 是正措置の実施 | 2〜8週間 | パッチ適用、不要資産の廃止、設定修正 |
| 6. 継続運用体制の構築 | 継続 | 定期レポート、アラート対応、新規資産の監視 |
6. 中小企業向けの現実的なアプローチ
大規模なASMツールは中小企業には高額すぎる場合がある。以下の段階的アプローチを推奨する。
Phase 1：無料ツールで現状把握（費用ゼロ）
横にスクロールして確認できます
| ツール | 用途 |
|---|---|
| Shodan | 自社IPアドレスの公開ポート確認 |
| Censys Search（無料版） | ドメインに紐づく資産の発見 |
| SSL Labs | SSL/TLS設定の確認 |
| SecurityHeaders.com | HTTPセキュリティヘッダーの確認 |
| Have I Been Pwned（ドメイン検索） | 漏洩メールアドレスの確認 |
Phase 2：低コストASMサービス（月額10〜30万円）
- GMOサイバーセキュリティ ASM
- Microsoft Defender EASM（Azure利用企業なら最安）
- マネージドASMサービス（MSSP経由）
Phase 3：本格ASM導入（月額30万円〜）
- 専用ツール + CSIRT/SOC連携
- 脆弱性診断との統合運用
まとめ
ASMは「やった方がいい」ではなく「やらないと危ない」フェーズに入っている。
- 経産省が明確に推奨 — 今後、取引先からASM実施状況を問われるケースが増える
- ランサムウェア攻撃の82%が外部公開資産起点 — ASMは最も費用対効果の高い防御策
- まずは無料ツールで自社の外部公開状況を確認 — 5分でリスクが可視化できる
自社の攻撃面を把握できていますか？ GXOではASMツール選定から初回スキャン、脆弱性是正、継続運用体制の構築まで一貫して支援します。まずは無料の外部公開資産診断から始めませんか？ASM相談はこちら
