ASM（Attack Surface Management）は、インターネットから見えるサーバーやネットワーク機器などを把握し、侵入経路になり得る箇所を確認する取り組みです。対象には、WebサイトやVPNだけでなく、クラウドの共有領域、管理画面、使われなくなったサブドメインなども含まれます。
外部へ公開している資産を把握できていなければ、ソフトウェアの更新や公開停止が必要になっても対応が遅れる可能性があります。まずは、自社が管理している公開資産を一覧にしてください。
126社すべてから脆弱性を検知
IPAが2026年3月に公表した中小企業向けASM診断の報告では、診断を受けた126社すべてから何らかの脆弱性が検知されました。
これは診断対象となった企業の結果であり、国内のすべての中小企業に当てはまる統計ではありません。ただし、自社が把握していない公開資産や更新漏れがないかを見直す材料にはなります。
一覧に含めたい情報
公開資産の一覧には、機器やサービスの名前だけでなく、用途、契約名義、管理者、更新担当者、緊急時の連絡先も記録してください。障害や脆弱性が見つかったとき、誰が停止や更新を判断できるか分かる状態にしておく必要があります。
- 自社ドメイン、サブドメイン、公開Webサイト
- メール、VPN、リモートアクセス、ネットワーク機器
- クラウドサービス、公開共有領域、管理画面
- 利用を終えたサーバーやアカウント
- 各資産の用途、管理者、更新担当者、緊急連絡先
退職者が管理していたアカウント、委託契約の終了後も残っている管理画面、現在は使われていないサブドメインは一覧から漏れやすい項目です。社内の担当部署だけでなく、Web制作会社や保守事業者との契約も確認してください。
診断できるのは自社の管理範囲です
公開資産の管理者が分からない場合や、重要な取引先システムと接続している場合は、所有者と作業範囲を確認したうえで専門家へ相談してください。第三者が管理するシステムを、許可なく調査しないでください。
ASMで把握できるのは、主に外部から見える範囲です。社内のアクセス権限、バックアップ、従業員への教育、内部ネットワークの安全性については、別に確認する必要があります。