トピック
脆弱性やシャドーITを見逃さない！ 注目のセキュリティサービス「アタックサーフェスマネジメント」（ASM）とは
ASRMサービス「Mitokude」を提供するグランセキュノロジーに聞く
- 提供：
- グランセキュノロジー株式会社
2026年9月8日 06:00
人力だけでは限界！ 複雑化するネットワーク環境の脆弱性対策
近年のサイバーセキュリティ事案でよく目にするのが、「ネットワーク機器の脆弱性を突いて侵入され、攻撃を受けた」という話だ。
警察庁が2026年3月に発表したレポート「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によれば、ランサムウェア攻撃の被害を受けた組織へのアンケート結果で、侵入経路は拠点間接続などに使われる「VPN機器」が6割以上を占める状況となっており、未修正の脆弱性や設定の不備を突いたり、漏えいした認証情報や簡易なパスワードを悪用したりしての侵入が行われている。
レポートにおいて警察庁は、経営層および従業員が高いリテラシーを持ち、管理を徹底して基礎的な対策――具体的にはソフトウェア更新、パスワードの適切な管理、アクセス権限の適切な設定などを、特に主要な侵入経路であるVPN機器などに対して行うべきだ、と指摘する。
だが、企業の現場では「分かってはいるけれど、徹底が難しい」のが現実ではないだろうか。機材の台帳やネットワーク構成図を作って管理しても、環境は複雑化する一方であり、限られた人員での管理は困難になっている。外部ベンダーと保守契約を結ぶなどして管理体制を整えても、どこかの組織で勝手にシステムを導入する「シャドーIT」があって、侵入経路になってしまうかもしれない。
このような状況に「自社のIT資産・外部から攻撃を受ける可能性がある機器やソフトウェアを、システムによるスキャンによって洗い出し、管理する」という新しい視点からアプローチし、セキュリティの強化に資するのが、アタックサーフェスマネジメント（ASM：Attack Surface Management）と呼ばれるサービスだ。日本語では「攻撃対象領域管理」や「IT資産管理」と呼ばれることもある。
本稿では、グランセキュノロジー株式会社が提供するアタックサーフェス“リスク”マネジメント（ASRM）サービス「Mitokude」（ミトクデ）を例に、ASMの特徴と役割、および、その効果を紹介する。
「攻撃者の視点」を持って、自社の隙を見つけ出す
ASMの特徴を一言で示すなら、攻撃を受ける可能性があるネットワーク機器やPCその他のデバイス、ソフトウェアといったIT資産を「機械的に、徹底的に洗い出す」ことにある。
警察庁のレポートが指摘するような「セキュリティや管理の徹底」には、まずはIT資産の把握が必要になるが、人間による管理では担当者の申告漏れ、情シス担当者やセキュリティ担当者の把握漏れなどが、どうしても発生してしまう。サーバーソフトウェアが脆弱性のあるバージョンのままなのを「アップデートしたつもり」になるような勘違いも生じるかもしれない。
ASMでは、インターネットから、あるいは社内から、専用のシステムを用いて社内のIT資産をスキャンし、機器の種類やソフトウェアのバージョンから、設定の問題点や既知の脆弱性の有無までを洗い出す。このスキャンは、サイバー攻撃者が、攻撃の実施前に行う「偵察」と同じ手法であり、攻撃者の視点を持って、攻撃可能な隙を見つけ出すことができる。
サイバーセキュリティのサービスでは、「ペネトレーションテスト」や「レッドチーム演習」と呼ばれる、実際に侵入し、模擬的な攻撃を試行するものもあるが、ASMでは侵入までは行わない。IT資産を洗い出し、侵入される可能性がある脆弱性などを発見するのがASMの役割となる
経産省も「ASM導入ガイダンス」を公開して活用を促進
ASMの導入に関しては、経済産業省でも手引書「ASM（Attack Surface Management）導入ガイダンス～外部から把握出来る情報を用いて自組織のIT資産を発見し管理する～」を2023年に公開している。
同書では、2023年という時代背景から「DXが進展する中、クラウド利用の拡大に加え、民間事業者が所有するIT資産が増加・点在するとともに、コロナ禍によるテレワークの拡大等を通じて、社会全体でリモート化が進められました。これらにより、サイバー攻撃の起点が増加しています」と、リスクが増大している状況を説明。自社のIT資産を適切に管理し、リスクを洗い出すことが求められるが、人手を介した管理では把握しきれないシステムが生じやすく、機器の実際の設定も見えづらいことから、外部（インターネット）から把握できる情報を用いた管理サービスとして、ASMを紹介している。
SCS評価制度への対応にもリスク把握で大きな役割を果たす
2026年度内の運用開始が予定されている「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）においても、ASMにより運用の効率化が期待できる領域が確実にある。
SCS評価制度の評価基準は、下図のようなNIST CSF（米国国立標準技術研究所 サイバーセキュリティフレームワーク）を参考にした7つの大分類に整理でき、各段階（図中では「★3」および「★4」として記載）における具体的な項目になっていると捉えられる。このうち「リスクの特定」は、ASMを活用することで徹底して行えると期待できる。
なお、ASMはIT資産をスキャンし、リスクの特定を行うが、「攻撃等の検知」「攻撃等の防御」などにあたる機能は持たない。だが、検知や防御を実効性を持って行うには、リスクを正確に特定し、把握することが第一歩として必要だ。
そうした意味では、SCS評価制度への対応を考える企業では「リスクの特定」以外の大分類に関しても、ASMの導入が大きな効果を期待できるだろう。
月額5000円から、段階的な導入が可能な「Mitokude」
グランセキュノロジーの「Mitokude」は、このようなASMサービスの1つだ。純国産サービスとして開発され、運営するサーバーも国内で完結している。
サービスの全体像としては、インターネットからアクセス可能な自社のIT資産をスキャンする「Mitokude .pub」（ミトクデ ドットパブ）と、社内の「シャドーIT」化しているものも含めたIT資産をスキャンする「Mitokude .local」（ミトクデ ドットローカル）がある。加えて、クラウドサービスを対象とした「Mitokude .cloud」、Mitokudeファミリーを一括管理できる「Mitokude .hub」の提供も予定されている。
サービスが複数に分かれているのは、スキャンの対象によってシステムが異なり、段階的な導入も検討できるためだ。「Mitokude .pub」は、1FQDN（完全修飾ドメイン）あたり「Basicプラン」で月額5000円と導入しやすい料金設定となっている。まずは、どんなサービスかを試した上で、「Advancedプラン」5万円など、より細かなサービスを適用させていくのがいいだろう。
また、複数のドメインを一箇所で管理できるため、グループ会社複数社でウェブサイトを運営（サブドメイン含め）している場合も、集中管理・チェックできて利便性が高い。
FQDNはFully Qualified Domain Nameで、日本語では「完全修飾ドメイン」。ホスト名と全ての階層のドメイン名をあわせたもので、例えばINTERNET Watchであれば「internet.watch.impress.co.jp」がFQDNとなる
経営視点のリスク管理にも貢献する「ASRM」
Mitokudeは、「ASM」に「R」を加えた「ASRM」（アタックサーフェスリスクマネジメント）を名乗っている。先述したASMによるセキュリティリスクの発見・管理機能に加え、セキュリティリスクを経営リスクとして把握・管理する機能も備えているためだ。
「セキュリティは経営課題である」と言われるようになって久しい。サイバー攻撃による被害は、金銭的な損害に留まらず、信用の失墜、ブランド毀損といった多方面からの経営へのダメージとなる。しかし、セキュリティに関して十分に理解したうえで経営判断のできる経営層や、経営層に伝わる言葉で説明できるセキュリティ担当者は少ない。
例えば、自社の顧客情報基盤のセキュリティを強化するにあたって、いくらの予算を掛けるか？ という議題において、あまりにも高額なソリューションは現実的でない、しかし何もしないわけにもいかない、ということで、建設的な議論ができないことがある。
このような問題に対し、「Mitokude .pub」は「リスクアセスメント」機能を提供する。JNSA（特定非営利活動法人日本ネットワークセキュリティ協会）が公開している、個人情報漏えいインシデントに関する想定損害賠償額算出モデル「JOモデル」（JNSA Damage Operation Model for Individual Information Leak）に基づき、自社の個人情報を扱うシステムが抱えるリスクを算定するもので、セキュリティに関する投資の参考にできる。
このほか、スキャンの結果検出された脆弱性などのセキュリティリスクは、「高・中・低・情報（脆弱性ではないが要確認）」といったランク付けをしてレポートされ、非専門家にも分かりやすい。理解の補助として、あるいはセキュリティ担当者からの報告の妥当性をチェックする参考情報としてなどで、経営層とセキュリティ担当者間のリスクコミュニケーションをサポートできる。
高度なスキルを持つホワイトハッカーに相談できるサービスも
セキュリティにおいてしばしば課題となることに、自社の担当者や委託先の技術者では判断や対応が難しい問題が生じたとき、どのようにすればいいか？ というものがある。AIの登場により脆弱性の発見や攻撃側の技術の進化など、さまざまなものが加速している昨今において、全てに対応していくことは難しい。
その点、Mitokudeでは、検出された脆弱性の対策などを、専門のホワイトハッカーに相談できるサービスも提供している。ASMは基本的にリスクを把握するもので、把握したリスクへの対策は別途行う必要があるが、対策の段階までフォロー可能なMitokudeは、非常に心強いサービスだ。
本サービスの「Mitokude」というネーミングが気になった方もいるかもしれない。
このネーミングは、京都出身の、同社CISOでありホワイトハッカーである守井浩司氏の発案だという。守井氏によれば「見とくで」とはマイルドな関西弁であり、社内のIT資産を見て、分析しておきますよ、といった意味合い。純国産のサービスであるという分かりやすいアピールにもなるということで、決定したという。
「『見とく』サービスであって、対策機能までは備えていない、ということでもあります」と、ネーミングについて説明した守井氏は笑った。とはいえ、対策に困ったときには相談もできることは、前述の通りだ。
守井氏は、2005年設立のホワイトハッカー集団・株式会社レオンテクノロジー代表でもあり、人気ウェビナー「教えて！ホワイトハッカー守井さん」など、分かりやすく親しみやすい語り口でセキュリティについて解説する活動でも知られる。システムによる徹底的なリスク把握と、ホワイトハッカーの守井氏が率いる、「見とくで」というネーミングを全員で受け入れるチームが、顧客のセキュリティを支える