アタックサーフェスマネジメント（ASM）と制度要件｜SCS評価制度を見据えた外部公開資産の管理

1. ASMとは何か ― 従来の脆弱性管理との違い

アタックサーフェスとは

直訳すると「攻撃対象領域」ですが、簡単に言うと「会社のIT資産のうち、インターネットを通じて外からアクセスできる『窓口や隙』のすべて」のことです。Webサイト、メールサーバー、VPN装置、IoT機器、クラウドサービス上のリソースなど、外部からアクセスできるすべてが含まれます。

ASMの定義

アタックサーフェスマネジメント（ASM：Attack Surface Management）とは、これら外部公開IT資産を発見し、脆弱性などのリスクを継続的に把握・評価するプロセスのことです。経産省ガイダンスは外部からの脅威を扱う範囲を対象にしており、これを明示する場合は「EASM（External Attack Surface Management）」とも呼ばれます。

従来の脆弱性管理との違い

ASMの本質は、「組織が把握している資産」を超えて「外部から見える資産すべて」を対象にすることにあります。

従来の脆弱性管理は、IT資産管理台帳に登録された資産を起点に脆弱性スキャンや診断を実施するアプローチでした。一方ASMは、外部公開情報（DNSレコード、SSL証明書、IPレンジ等）を手がかりに、組織自身が把握していない「シャドーIT」「忘れられた検証サーバー」「子会社のドメイン」までを発見対象に含めます。

なお、近年は組織内部の資産も含めて統合管理する「CAASM（Cyber Asset Attack Surface Management）」や、攻撃面の発見・評価・対応を継続的なプロセスとして包括的に捉える「CTEM（Continuous Threat Exposure Management）」といった概念も登場しています。本記事ではまず基本となる外部公開資産管理（EASM）としてのASMを扱います。

2. 経産省「ASM導入ガイダンス」の要点

経済産業省商務情報政策局サイバーセキュリティ課が2023年5月29日に公表した「ASM導入ガイダンス〜外部から把握出来る情報を用いて自組織のIT資産を発見し管理する〜」は、2026年5月時点で改訂版は公表されておらず、引き続き現行の参照文書です。

ガイダンスが示すASMの3段階プロセス

ガイダンスは、ASMを以下の3つのプロセスとして整理しています。

ASMと脆弱性診断の関係

ガイダンスでは、ASMと脆弱性診断は「代替関係ではなく併用関係」であると明記されています。ASMは外部から見える資産の継続的な把握と俯瞰的なリスク評価を担い、脆弱性診断はピンポイントで深いリスク検証を担います。両者は補完関係にあり、どちらか一方で済むものではありません。この点は、ASMを「導入さえすればよい」と誤解しないために、最初に押さえておきたいポイントです。

3. SCS評価制度におけるASM関連の評価項目

SCS評価制度の概要

SCS評価制度は、経済産業省と内閣官房国家サイバー統括室が制度設計を進めてきた「サプライチェーン強化に向けたセキュリティ対策評価制度（Supply Chain Security評価制度）」の略称です。意見募集を経て、2026年3月27日に「制度構築方針」（最終版）が公表され、2026年度末頃（令和8年度下期、2026年10月〜2027年3月）の運用開始を目指しています。運営はIPAが担当します。

評価レベルは★1から★5の5段階で、まず★3と★4の運用が開始されます（★5の詳細は2026年度以降に検討予定）。★3は専門家確認付きの自己評価で、要求事項26項目・評価基準83項目、有効期間1年。★4は第三者評価機関による審査と技術検証を伴い、要求事項56項目・評価基準157項目、有効期間3年です。政府調達においては★4以上が要件化される方向で検討されています。

※SCS評価制度の全体像については「サプライチェーン強化に向けたセキュリティ対策評価制度」の全体像｜企業は何を求められ、どう対応すべきか」https://www.ctc-g.co.jp/keys/blog/detail/supply-chain-security-scheme
で詳しく解説しています。

ASMの観点から見た要求事項

ASMの観点で見ると、★3と★4でそれぞれ次のような要求が含まれます。

何を意味するか

★3を取得する場合でも、IT資産台帳の整備と外部公開資産の脆弱性管理は実質的に求められます。台帳に「載っていない資産」をなくしておくことが、評価の前提として効いてきます。★4を目指す場合には、第三者による技術検証として公開機器の脆弱性検査が組み込まれるため、検査時点で初めて状態を整えるのではなく、日常的に把握・対応している状態にしておくことが現実的です。

つまり、SCS評価制度のどのレベルを目指す場合でも、外部公開資産を継続的に把握する仕組み（＝ASM）の整備は制度準備の出発点になります。制度開始は2026年度末頃ですが、対策の運用が形になるまでには時間がかかるため、今から着手する意義があります。

4. ASM導入の実務ステップ

ASMの導入は、一度きりの導入作業ではなく、運用としての継続的なプロセスとして設計する必要があります。

ステップ1：資産発見（インベントリの構築）

組織が保有するドメイン、サブドメイン、IPアドレス、クラウド上のリソースを網羅的に洗い出します。M&Aや子会社、過去のプロジェクトで作られたサブドメイン、IT部門の管理外で立ち上げられたシャドーITなど、IT資産管理台帳に載っていない資産を発見することが肝心です。

ステップ2：リスク評価と優先度付け

発見した資産に対して、稼働サービス、ソフトウェアバージョン、設定情報を収集し、既知の脆弱性、設定ミス（不要なポートの開放、認証設定の不備等）を検出します。検出結果は脅威インテリジェンスと組み合わせ、「実際に悪用されているか」「公開済みのエクスプロイトがあるか」を踏まえて優先度を付けます。すべてに同時対応はできないため、この優先度付けがASMの実用性を左右します。

ステップ3：継続的な監視と改善

ASMの本質は継続性です。外部公開資産は日々変動します。新規のクラウドリソース追加、ソフトウェアの脆弱性公表、設定変更などが日々発生するため、週次あるいは月次のスキャンと、報告・対応のサイクルを回します。

「一度実施して終わり」の脆弱性診断と異なり、ASMは運用プロセスとして組み込むことに価値があります。社内で運用するか、外部サービスを利用するかは、人員・スキル・対象規模によって選択することになります。

5. ASMと脆弱性診断・ペネトレーションテストの使い分け

ASMは万能ではありません。脆弱性診断やペネトレーションテストとの違いを理解し、適切に組み合わせることが重要です。

組み合わせの考え方

ASMで外部から見える全体像を継続的に把握し、リスクが高いと判断された資産については脆弱性診断で深掘りする。さらに重要システムについては、ペネトレーションテストで攻撃シナリオを実演的に検証する――これが基本的な使い分けの考え方です。

SCS評価制度の★4でも、技術検証の中で「脆弱性検査」が言及されており、ASMによる継続把握と組み合わせた運用が制度対応上も合理的です。「ASMだけ」「脆弱性診断だけ」ではなく、それぞれの役割を踏まえた組み合わせが、結果としてコスト効率も実効性も高めます。

まとめ

ASMは、サイバー攻撃の起点となる外部公開資産を「組織が把握していないものまで含めて」継続的に管理するプロセスです。経産省ガイダンス公表から3年、SCS評価制度の運用開始（2026年度末頃）を控える今、ASMは制度対応の実務として位置付けが明確になりつつあります。

★3、★4のどのレベルを目指す場合でも、外部公開資産の継続的な把握は実質的に求められます。制度開始までに残された時間で、まず自社の外部公開資産がどこまで把握できているかの現状確認から始めることをお勧めします。

CTCでは、長年にわたるセキュリティ運用の支援やコンサルティングの知見を生かしながら、企業ごとの事業特性やリスクに応じたセキュリティ対策の設計・実装を支援しています。今回のASMへの対応についても、「何から手をつければいいか分からない」「自社に専門知識を持つ人材がいない」という企業様に向けて、弊社ではSCS評価制度などの制度対応の基盤となるASMサービスを提供しています。自社で把握していないIT資産・攻撃面の発見を通じて、SCS評価制度をはじめとする制度対応の基盤を整え、日常運用の中で攻撃リスクを継続的に低減します。

サービス概要はこちらをご参照ください。
https://www.ctc-g.co.jp/keys/product/asm

※本記事の内容は2026年5月時点の情報に基づいています。政省令・ガイドラインの策定状況により内容が変わる可能性がありますので、最新の公式発表もあわせてご確認ください。

参照資料・関連リンク

本制度について、より正確かつ詳細な一次情報を確認したい方に向け、政府の公式資料や参照すべき関連リンクを抜粋し掲載しました。

経済産業省：ASM導入ガイダンス

（出典：経済産業省ホームページ）https://www.meti.go.jp/press/2023/05/20230529001/20230529001.html

経済産業省が取りまとめた、日本国内におけるASMの標準的なガイドラインです。ASMが必要とされる背景や定義、導入する際の手順、自社で運用する際の注意点などが解説された公式資料が掲載されています。

経済産業省：SCS評価制度の構築方針

（出典：経済産業省ホームページ）https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html

2026年3月に国が公表したSCS評価制度の構築方針等が記載されています。企業間取引の安全性を守るための共通評価基準が解説されています。

IPA 独立行政法人情報処理推進機構：SCS評価制度の詳細

（出典：IPAホームページ）https://www.ipa.go.jp/security/scs/details.html

2026年3月に国が公表した方針に基づき、実際に本制度の運営を担うIPAの公式特設ページです。制度の具体的な仕組みや評価項目、今後の最新スケジュール（評価機関の要件公表など）が随時アップデートされています。