ASM（Attack Surface Management）は、インターネットから見えるサーバーやネットワーク機器などを把握し、侵入経路になり得る箇所を確認する取り組みです。対象には、WebサイトやVPNだけでなく、クラウドの共有領域、管理画面、使われなくなったサブドメインなども含まれます。

外部へ公開している資産を把握できていなければ、ソフトウェアの更新や公開停止が必要になっても対応が遅れる可能性があります。まずは、自社が管理している公開資産を一覧にしてください。

126社すべてから脆弱性を検知

IPAが2026年3月に公表した中小企業向けASM診断の報告では、診断を受けた126社すべてから何らかの脆弱性が検知されました。

これは診断対象となった企業の結果であり、国内のすべての中小企業に当てはまる統計ではありません。ただし、自社が把握していない公開資産や更新漏れがないかを見直す材料にはなります。

一覧に含めたい情報

公開資産の一覧には、機器やサービスの名前だけでなく、用途、契約名義、管理者、更新担当者、緊急時の連絡先も記録してください。障害や脆弱性が見つかったとき、誰が停止や更新を判断できるか分かる状態にしておく必要があります。

• 自社ドメイン、サブドメイン、公開Webサイト
• メール、VPN、リモートアクセス、ネットワーク機器
• クラウドサービス、公開共有領域、管理画面
• 利用を終えたサーバーやアカウント
• 各資産の用途、管理者、更新担当者、緊急連絡先

退職者が管理していたアカウント、委託契約の終了後も残っている管理画面、現在は使われていないサブドメインは一覧から漏れやすい項目です。社内の担当部署だけでなく、Web制作会社や保守事業者との契約も確認してください。

診断できるのは自社の管理範囲です

公開資産の管理者が分からない場合や、重要な取引先システムと接続している場合は、所有者と作業範囲を確認したうえで専門家へ相談してください。第三者が管理するシステムを、許可なく調査しないでください。

ASMで把握できるのは、主に外部から見える範囲です。社内のアクセス権限、バックアップ、従業員への教育、内部ネットワークの安全性については、別に確認する必要があります。

関連リンク

• IPA「ASM診断および事例集作成業務 報告書」
• IPA「中小企業向けサイバーセキュリティ対策支援者リスト」

「サイバーセキュリティお助け隊サービス」は、IPAが直接提供する一つの製品ではありません。中小企業が利用しやすい監視、相談、緊急時の初動支援などをまとめた民間サービスのうち、所定の基準を満たすものにマークを付与する制度です。

登録されたサービスであっても、監視できる範囲や対応時間、料金は同じではありません。比較する際は、自社の環境と必要な支援を先に確認してください。

サービスによって支援範囲が異なります

この制度は2021年春に始まりました。登録サービスはIPAの利用者向けサイトで確認できます。

監視の対象は、従業員が使うPCなどの端末、社内ネットワーク、またはその両方です。利用できるOSや端末数、拠点数に条件が設けられている場合もあります。テレワーク端末やクラウド環境まで対象になるとは限らないため、必要な範囲が含まれているか確認してください。

見積もりを依頼する前の確認

サービスの料金は、監視する端末の台数や拠点数、支援内容によって変わります。見積もりを依頼する前に、自社の端末、OS、拠点、VPNやクラウドの利用状況を一覧にしておくと、条件を比較しやすくなります。

• 監視対象が端末、ネットワーク、または両方か確認してください
• 対象となる台数、OS、拠点、リモート端末の条件を確認してください
• 緊急時の連絡方法、受付時間、現地対応の有無を確認してください
• 初期費用、月額費用、追加対応の料金を確認してください
• バックアップや復旧のうち、自社が担当する作業を確認してください
• 契約期間、解約条件、ログや設置機器の扱いを確認してください

夜間や休日の対応、技術者による現地作業が必要な場合は、通常料金に含まれているかも確認してください。月額料金だけでなく、事故が起きたときにどこまで支援を受けられるかを見る必要があります。

SCS評価制度との関係

経済産業省とIPAは、SCS評価制度の★3・★4取得を支援する新しい類型を設ける方針を示しています。ただし、通常のお助け隊サービスを契約するだけでSCS評価を取得できるという意味ではありません。

登録状況や支援内容は変更される可能性があります。SCS評価への対応、価格、補助制度の利用条件については、契約前にIPAと各事業者の最新情報を確認してください。

関連リンク

• IPA「サイバーセキュリティお助け隊サービス制度」
• IPA「お助け隊サービス ユーザー向けサイト」

IPAの「5分でできる！情報セキュリティ自社診断」は、25項目への回答を通じて、基本的な対策状況を確認できる中小企業向けのツールです。短時間で始められますが、合否を判定したり、自社の安全性を証明したりするものではありません。

診断の目的は、未実施の対策や、社内で状況を把握できていない項目を見つけることです。点数だけを見るのではなく、回答に迷った項目も記録しておくと、その後の確認に役立ちます。

一人の推測だけで回答しない

診断を始める前に、端末とスマートフォンの管理、メールとクラウドの利用状況、更新担当者、バックアップ先、Webサイトの管理者、外部接続の方法を確認してください。

一人の推測だけで回答すると、実際の運用と診断結果がずれることがあります。総務、業務担当、IT担当で答えが異なる項目は、無理に決めず「不明」として残し、管理者や委託先へ確認してください。

診断後に確認したい3つの作業

1. 未実施・不明な項目を「すぐに対応」「社内で確認」「外部へ相談」に分類
2. 各項目を確認する担当者と期限の設定
3. 対応内容の資産台帳や従業員向け手順への反映

未実施の項目が多い場合は、業務への影響や緊急性を基に優先順位を付けてください。すべてを同時に始めるよりも、担当者と期限を決め、対応状況を追えるようにする方が継続しやすくなります。

バックアップについては、対象データ、保存先、復旧手順まで確認してください。公開WebサイトやVPNについては、管理者と更新状況を記録してください。分からない項目を調べ、社内で説明できる状態にすることも診断の目的です。

担当変更やシステム改修後に再診断

2026年3月公開のガイドライン第4.0版では、バックアップ、不要な外部通信の遮断、Webサイトの安全な運用に関する項目が加わりました。

診断は一度行えば終わりではありません。クラウドサービスの導入、担当者の変更、Webサイトの改修など、管理状況が変わった際は再度確認してください。定期的に見直す場合は、前回の未実施項目がどこまで改善したかも確認すると、対策の進み具合が分かります。

関連リンク

• IPA「情報セキュリティ教材・ツール」
• IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」