ASM（Attack Surface Management）

ASM（Attack Surface Management）

ASM（Attack Surface Management：攻撃対象領域管理）とは、自社の資産を網羅的に洗い出し、そこに潜む脆弱性を「発見」「評価」「対応」するプロセスとして継続的に運用するセキュリティ手法である。

クラウドサービスの普及やテレワークの浸透に伴い、各事業部門や海外拠点が独自にシステムを公開する事例が増加した。これにより、本社セキュリティ部門の把握や管理が行き届かない「シャドーIT（企業内で公認されていないIT機器やサービス）」や放置された資産が発生しやすくなっている。こうした管理漏れの資産は脆弱性対策が遅れがちであり、サイバー攻撃の主要な侵入口となる。

従来の脆弱性診断やペネトレーションテストが、指定された特定の対象に対して一定周期で調査を実施するのに対し、ASMは調査対象を限定しない。把握できていない未知の資産までを含めて攻撃対象領域を常時モニタリングし、新たに生じたリスクを検知する点に特徴がある。

広大な領域の監視を人手のみで継続するのは困難なため、実際の運用では専用ツールや外部サービスを用いて、資産の自動検出からリスク評価までを自動化するのが一般的である。ASMの導入により、自社で把握していなかったIT資産や設定不備を早期に発見し、リスクの優先順位に応じた効率的な対処が可能となる。