2026年7月22日

生成AIの進化により、攻撃者による情報収集や攻撃準備の効率は大きく向上しています。一方で、企業ではDXやクラウド活用の拡大に伴い管理対象となるIT資産が増加しており、把握できていない公開資産がセキュリティリスクとなるケースも少なくありません。
こうした背景から、自組織の公開資産を継続的に把握・管理するASM（Attack Surface Management）が注目されています。しかし、市場には多くの製品やサービスが存在しており、「どの製品を選ぶべきか」で悩む組織も少なくありません。
本記事では、AI時代にASMの重要性が高まる背景を踏まえながら、ASM製品を選定する際の進め方と評価のポイントを解説します。

目次

AI時代にASMが注目される理由

近年、攻撃者は生成AIを活用して公開情報や外部公開資産の分析を効率化できるようになっています。従来は個別に実施していた調査や分析を短時間で実施できるようになり、攻撃対象の発見に必要なコストは低下しています。

特に未管理のサブドメインや放置されたシステム、設定不備のあるクラウド環境などは、攻撃者から見つかる可能性がこれまで以上に高まっています。そのため企業には、自組織の公開資産を攻撃者と同じ視点で継続的に把握することが求められています。ASMはこうした攻撃者の視点を用いて、自組織の公開資産やリスクを把握するための有効な対策と言えます。

なぜASM製品の選定は難しいのか

ASM製品の多くは、資産発見、リスク評価、ダッシュボード、レポート出力といった共通機能を備えています。そのため、製品資料を見るだけでは違いが分かりにくく、「機能が多い製品が良い製品」と考えてしまいがちです。
しかし実際には、資産発見を強みとする製品、リスク評価を強みとする製品、運用支援サービスを含めて提供する製品など、それぞれ特長が異なります。そのため、製品比較から始めるのではなく、「ASMで何を実現したいのか」を明確にし、自組織に必要な評価項目を整理することが重要です。

ASM製品選定の進め方

ASM製品選定は、次のような流れで進めると体系的な整理と評価がしやすくなります。

まずは導入目的を整理し、その目的に基づいて評価項目を定義します。その後、机上評価で候補を絞り込み、PoCや実機評価によって自組織への適合性を確認します。本記事では、ASM製品を評価する際の代表的な観点として、「発見能力」「リスク評価・優先度判断能力」「運用適合性」の3つを紹介します。

評価観点① 発見能力

ASMの基本機能は資産発見です。把握できていない資産は管理することも、防御することもできません。そのため製品選定時には、発見可能な資産の範囲、サブドメイン探索能力、クラウド資産への対応、グループ企業への対応などを確認する必要があります。重要なのは発見件数そのものではありません。自組織の実態をどの程度正確に把握できるかという観点で評価することが重要です。
従来は専門知識を持つ攻撃者が時間をかけて調査していた資産情報も、現在ではAIを活用することで効率的に整理・分析できるようになっています。そのため、組織自身も外部公開資産の把握を継続的に行うことが重要です。

評価観点② リスク評価・優先度判断能力

ASMを利用すると、多くの資産発見やリスク情報が得られます。しかし、すべてのリスクへ同時対応することは現実的ではありません。そのため、どのリスクから優先的に対応すべきか判断できる仕組みが重要になります。特に、

などを確認するとよいでしょう。重要なのは、「何が見つかったか」ではなく、「何から対応すべきかが分かるか」です。

評価観点③ 運用適合性

実際の導入成否を左右する最も重要な要素が運用適合性です。ASMは資産やリスクを発見する仕組みですが、それだけでリスクが低減されるわけではありません。発見されたリスクについて、対処の判断や優先順位付け、是正計画の策定といった後続の運用が必要になります。

多くのASMツールが強みを発揮するのは攻撃対象領域の把握やリスク調査のフェーズです。一方で、実際にリスクを低減するためには、その後の判断・計画・対処まで実行しなければなりません。

上図のように、自組織の構成や運用体制（要員数、スキル等）から実行上の課題を明らかにし、現状体制で運用実施が可能かどうかの見極めが必要となります。自組織で運用が難しい場合は、運用まで支援可能なASM”サービス”を活用することも選択肢となります。

費用対効果の評価

候補製品を絞り込み、PoCを実施した後は費用対効果を評価します。
ここで重要なのは、ライセンス費用だけを見るのではなく、

などを含めた総合的なコストを比較することです。
ライセンス費用が安くても運用負荷が高ければ、結果としてコストが増加する場合があります。反対に、運用支援サービスを含めて効率的に活用できる製品の方が、高い費用対効果を得られることもあります。
製品候補が幾つか存在し選定に悩む場合は、各製品の調査・検証結果を比較・評価するためにカテゴリー単位でスコアリングし、レーダーチャート等で可視化すると製品間で比較がしやすくなります。

まとめ

生成AIの活用によって攻撃者の調査能力が向上する中、組織自身も攻撃者視点で公開資産やリスクを把握していくことが重要になっています。ASM製品を選定する際は、機能比較だけではなく、自組織の目的や運用体制に適合するかという観点で評価することが重要です。
NECセキュリティでは、外部公開資産の脆弱性や漏えい資格情報、各種デジタルリスクを可視化し、専門アナリストの知見を加えながら継続的なリスク把握と対策を支援する「外部IT資産リスク可視化サービス」を提供しています。攻撃者に狙われる可能性のあるリスクを早期に発見し、優先度を踏まえた対策につなげたい組織にとって、有効な選択肢の一つとなるでしょう。
本記事が、ASM導入を検討されている皆さまの製品選定や評価項目の整理に役立ち、組織のリスク低減の一助となれば幸いです。

参考文献

[1] 経済産業省_ASM (Attack Surface Management）導入ガイダンス
https://www.meti.go.jp/files/900013349.pdf
[2] ISOG-J_ASM導入検討を進めるためのガイダンス（基礎編）
https://wg1.isog-j.org/ASMGuidance/
[3] 外部IT資産リスク可視化サービス | NECセキュリティ
https://www.nec-security.co.jp/service/pr/attack_surface_risk_visualization_DL/index.html