ASM導入ガイド｜外部公開資産の発見・優先順位・対応を設計

診断対象に登録した資産だけを見ていると、古いドメイン、委託先のクラウド、臨時環境を見落とします。公開資産の漏れと脆弱性対応を減らしたいCISO、SOC、IT基盤責任者が迷いやすいのは、製品名や制度名を知っても、自社の条件へ置き換える基準が見えないためです。

ASMは攻撃者から見える外部公開資産を継続的に発見し、所有者、露出、脆弱性、事業影響を結んで修正へ回す運用です。

検出数ではなく、未知資産へ所有者を割り当て、重大な露出を期限内に閉じ、再発を発見できるかで導入を判断します。

脆弱性診断は合意した対象を深く調べ、ASMは対象リスト自体の漏れを外部視点で継続探索するため、置き換えではなく補完関係です。

効果を測る数字を先に決める

未知資産件数、所有者特定時間、重大露出の修正時間、例外期限超過、再発率、誤検知の調査時間を測ります。

Attack Surface Management（ASM）の数字には対象期間、単位、母集団、実績か推計かを添えます。「所有者特定をKPIにする」を検証する際は、平均だけでなく最大・最小と例外件数を残し、運用支援付きのダッシュボードと元記録を抜き取りで照合します。Attack Surface Management（ASM）の指標定義が途中で変わった場合は、前後の値を単純につなぎません。

最初の判断

Attack Surface Management（ASM）の採否は、自社探索、ASMサービス、運用支援付きの機能数ではなく、「最終判断と例外承認を自社に残せるか」という確認点を、客観的な根拠で満たせるかによって判断します。

クラウドと委託利用が増えるほど、資産台帳の申告だけでは外部公開面の変化に追いつきにくくなります。事業部門、委託先、契約、システム台帳を結び、一次回答期限を置きます。

基準値を取ってから候補を見る

Attack Surface Management（ASM）を検討する業務を、開始条件、入力、判断、実行、確認、終了の順に一件だけ書き出します。担当部門、対象件数、利用時間、保管期間、例外時の戻り先も同じ行へ置きます。候補ごとに対象外になる工程が違う場合は、価格を比べる前に差を見える状態にしてください。

自社探索だけでなくASMサービスと運用支援付きも同じ条件へ直し、「台帳にない資産を見つける観測点があるか」への回答を確認記録へ残します。

Attack Surface Management（ASM）を読み解く用語

攻撃対象領域

インターネットから到達可能なドメイン、IP、クラウド、証明書、公開サービスなどの集合です。

未知資産

組織の正式台帳にない、または所有者が分からない公開資産です。

外部露出

意図せず公開された管理画面、ポート、情報、設定など攻撃に使われ得る状態です。

三つの選択肢を比べる

• 自社探索：既存の台帳とスキャンを自社で組み合わせます。対象が限定され専門人員がいる組織に向きます。確認点は「台帳にない資産を見つける観測点があるか」です。
• ASMサービス：外部視点の継続探索と優先順位付けを利用します。クラウドやグループ会社が多い組織に向きます。確認点は「検出根拠と誤検知の調査方法が見えるか」です。
• 運用支援付き：検出から所有者特定・修正調整まで委託します。調査と連絡の人手が不足する組織に向きます。確認点は「最終判断と例外承認を自社に残せるか」です。

Attack Surface Management（ASM）の比較表では、自社探索とASMサービスと運用支援付きを、対象範囲、残る社内作業、例外、契約終了の四点で読み直します。

要件を増やす前に絞るもの

最初の段階では、Attack Surface Management（ASM）で解決したい結果と許容できない失敗を一つずつ定義します。重大な露出を見つけても、担当不明のままでは修正が始まりません。この事実を出発点にし、便利そうな機能や話題性を要件へ足す前に、誰のどの判断を変えるのかを一文にします。

次に、運用支援付きは「検出から所有者特定・修正調整まで委託します」、自社探索は「既存の台帳とスキャンを自社で組み合わせます」、ASMサービスは「外部視点の継続探索と優先順位付けを利用します」という仕組みの違いに立ち返って候補を比べます。名称が似ていても、確認点である「最終判断と例外承認を自社に残せるか」「台帳にない資産を見つける観測点があるか」「検出根拠と誤検知の調査方法が見えるか」への回答が異なれば、Attack Surface Management（ASM）の同じ選択肢として扱えません。

三段階目では、Attack Surface Management（ASM）に関わる現場、法務・調達、情報管理、経営の各担当が一つずつ拒否条件を書きます。現場は運用不能、法務・調達は契約不能、情報管理は統制不能、経営は投資回収不能となる条件を明文化し、運用支援付きの営業説明だけで即決しないための境界線にします。

最後に、Attack Surface Management（ASM）の採用案だけでなく保留案と見送り案にも理由を残します。「台帳にない資産を見つける観測点があるか」を解消できない場合は対象を縮小し、原因を切り分けてから再判定します。決裁日、参照した一次情報、未確認事項、次の見直し日をそろえると、公開資産の漏れと脆弱性対応を減らしたいCISO、SOC、IT基盤責任者の担当が変わっても結論を検証できます。

探索範囲の起点を複数持つ

会社名や代表ドメインだけでは、買収、海外、委託先の資産を十分に発見できません。

ドメイン、IP、ASN、証明書、クラウドアカウント、ブランド名から探索します。Attack Surface Management（ASM）は通常時だけでなく、担当交代、障害、制度変更、契約終了でも「探索範囲の起点を複数持つ」の説明が成り立つか確認します。

所有者特定をKPIにする

重大な露出を見つけても、担当不明のままでは修正が始まりません。

事業部門、委託先、契約、システム台帳を結び、一次回答期限を置きます。Attack Surface Management（ASM）では平均値だけでなく、最大値、例外件数、差し戻し時間を分けると、「所有者特定をKPIにする」で確認すべき改善箇所を特定しやすくなります。

事業影響で優先順位を付ける

公開ポート数だけでは、顧客データや管理権限への影響を比較できません。

到達性、悪用可能性、資産価値、既知攻撃、代替策で修正順を決めます。Attack Surface Management（ASM）について提供者の説明と自社の運用が異なる場合は、「事業影響で優先順位を付ける」を確認した結果として自社に残る作業を、費用と責任の両面から見積もります。

閉鎖後の再発を追う

一度閉じても、自動構築や古い手順から同じ露出が再作成されます。

再出現を検知し、申請、IaC、委託契約など根本原因へ戻します。Attack Surface Management（ASM）の判断表には確認者と確認日を添え、「閉鎖後の再発を追う」に関する未回答項目を推測で埋めません。

試行結果を拡大判断へつなぐ

Attack Surface Management（ASM）の試行には通常、繁忙、例外、担当交代の四場面を含めます。未知資産件数、所有者特定時間、重大露出の修正時間、例外期限超過、再発率、誤検知の調査時間を測ります。Attack Surface Management（ASM）の開始前基準値と試行後を同じ母集団・期間で比べ、自社探索の提供者が隣で助けた時間も社内工数へ含めます。

費用は導入から終了までで見る

資産数やドメイン数の料金に加え、所有者調査、誤検知確認、委託先連絡、例外審査、閉鎖後確認、既存台帳連携を含めます。

Attack Surface Management（ASM）では初期費用、月額・従量、社内準備、教育、連携、保守、監査、更新、移行、終了を同じ期間で並べます。運用支援付きの補助や割引は総額から分け、条件が外れた支払額も確認します。Attack Surface Management（ASM）を導入しない場合の損失も、公開資産の漏れと脆弱性対応を減らしたいCISO、SOC、IT基盤責任者が同じ期間で並べてください。

現場の一件に置き換えて考える

買収した子会社のサブドメインから古い管理画面を発見した場合、脆弱性だけでなく利用者、データ、委託先、廃止可否を確認します。閉鎖後もDNSや証明書の再出現を監視し、原因となった申請手順を直します。

この事例を自社のAttack Surface Management（ASM）へ置き換えるときは、利用量、人員、設備、データ、法的条件を確認します。運用支援付きの結果だけでなく、対象外条件、支援人数、測定期間、途中で変えた設定を確認し、再現できない前提は未確認として残します。

失敗を早く見つける停止条件

検出結果をセキュリティ部門だけで抱える、所有部門が特定できない、誤検知を放置する、期限切れ例外が増える場合は対象拡大を止めます。

Attack Surface Management（ASM）の問題を検知する指標、止める権限を持つ人、自社探索などの代替手順、連絡先、復旧期限を一枚にします。Attack Surface Management（ASM）の成功事例だけで判断せず、問題が起きた期間も評価から除外しません。

比較面談で聞くべきこと

Attack Surface Management（ASM）の提案依頼では機能一覧への丸付けだけを求めず、次の質問に根拠資料を添えて回答してもらいます。

1. Attack Surface Management（ASM）の対象範囲に含まれない作業と、その作業を担う組織はどこか。
2. ASMサービスで「検出根拠と誤検知の調査方法が見えるか」へ対応する標準手順、追加費用、回答期限は何か。
3. Attack Surface Management（ASM）で障害、制度変更、仕様変更が起きたとき、通知、判断、復旧の責任は誰にあるか。
4. ASMサービスの契約終了時に返却されるデータ、形式、期限、削除証明、移行支援は何か。
5. Attack Surface Management（ASM）の導入効果を測る元記録を自社でも確認でき、定義変更の履歴を追えるか。

Attack Surface Management（ASM）への回答には「標準対応」「設定で対応」「個別開発」「対象外」の区分を付け、ASMサービスの個別対応には費用、納期、保守範囲を添えます。「検出根拠と誤検知の調査方法が見えるか」への対応条件を総額表へ反映し、初年度だけ安く見える案や、運用開始後に公開資産の漏れと脆弱性対応を減らしたいCISO、SOC、IT基盤責任者の作業が増える案を見落とさないようにします。

Attack Surface Management（ASM）の制度や技術要件は、経済産業省の「サイバーセキュリティ経営ガイドライン」を確認の起点にします。ただし同資料が示す一般要件と、ASMサービスを利用する自社の契約条件は同じではありません。適用対象、版、確認日を記録し、Attack Surface Management（ASM）の提供者が示す準拠表現だけで適合を確定しません。

継続運用と見直しの設計

Attack Surface Management（ASM）の運用開始後は、業務責任者が成果、実務管理者が例外、情報管理者が権限とログ、調達担当が契約期限を確認します。Attack Surface Management（ASM）の制度や仕様の変更を追う担当も明示し、公開資産の漏れと脆弱性対応を減らしたいCISO、SOC、IT基盤責任者の異動時に判断根拠を引き継ぎます。

「検出根拠と誤検知の調査方法が見えるか」に関する問題を検知した人が、Attack Surface Management（ASM）の停止判断者へ連絡できる経路を一つにし、平常時に権限と代替手順を試します。

拡大前に別条件で再検証する

Attack Surface Management（ASM）の導入後会議では、利用率や処理件数だけでなく、例外、差し戻し、停止、追加作業、問い合わせを確認します。公開ポート数だけでは、顧客データや管理権限への影響を比較できません。到達性、悪用可能性、資産価値、既知攻撃、代替策で修正順を決めます。Attack Surface Management（ASM）の成果を示す数字と負担を示す数字を対にし、良い平均値の裏で公開資産の漏れと脆弱性対応を減らしたいCISO、SOC、IT基盤責任者の一部へ作業が集中していないかを見ます。

運用支援付きから自社探索へ切り替える可能性も想定し、Attack Surface Management（ASM）のデータ、設定、記録、教育資料を移せる状態に保ちます。更新時に「運用支援付きから移れないから継続する」とならないよう、移行の所要時間、欠損する情報、再教育の範囲を年に一度は机上で確認します。

会社名や代表ドメインだけでは、買収、海外、委託先の資産を十分に発見できません。ドメイン、IP、ASN、証明書、クラウドアカウント、ブランド名から探索します。Attack Surface Management（ASM）に関する制度改定、組織変更、件数増加、事故、主要提供者の変更が起きたときは定例日を待たず再評価します。再評価では当初の結論を守るのではなく、自社探索を選んだ前提が残っているかを確認し、対象縮小、条件変更、終了も正式な選択肢にします。

Attack Surface Management（ASM）の運用記録には担当者名だけでなく役割、参照資料、判断理由、次回確認日を残します。個人の経験を共有できる判断基準へ変えれば、Attack Surface Management（ASM）は単発の導入企画ではなく、環境変化へ対応できる仕組みになります。

関連テーマで判断を補う

Attack Surface Management（ASM）と結論が重複しない記事を選び、隣接する制度、技術、契約、運用の前提を補います。

• ゼロトラスト導入の進め方｜境界型との違い・認証・端末・運用を整理
• DLPとDSPMの違い｜データ発見・持ち出し制御・クラウド監視を比較
• SOCとMDRの違い｜監視範囲・対応責任・費用・選び方を比較
• クラウドの責任共有モデルとは？IaaS・PaaS・SaaSの管理範囲を比較

根拠として確認した一次情報

Attack Surface Management（ASM）の制度、仕様、判断条件は、以下の公式資料を2026年8月17日に確認しました。公開資産の漏れと脆弱性対応を減らしたいCISO、SOC、IT基盤責任者は申請・契約・投資判断の直前に、Attack Surface Management（ASM）へ適用される最新版、対象主体、適用範囲、経過措置を再確認してください。

• ASM導入・運用事例調査（情報処理推進機構、確認日：2026年8月17日）
• Exposure Reduction（CISA、確認日：2026年8月17日）
• サイバーセキュリティ経営ガイドライン（経済産業省、確認日：2026年8月17日）

まとめ

Attack Surface Management（ASM）は、「探索範囲の起点を複数持つ」「所有者特定をKPIにする」「事業影響で優先順位を付ける」「閉鎖後の再発を追う」という四つの観点を一つの判断記録へ結び、導入後も再評価できる案を選びます。

最終判断では、自社探索の「台帳にない資産を見つける観測点があるか」、ASMサービスの「検出根拠と誤検知の調査方法が見えるか」、運用支援付きの「最終判断と例外承認を自社に残せるか」を未確認のまま残さず、Attack Surface Management（ASM）を採用・保留・見送る理由を同じ決裁記録へ残します。

Attack Surface Management（ASM）の採用記録には、「最終判断と例外承認を自社に残せるか」を確認した担当者、根拠、確認日、再評価日を残します。