ASMは Attack Surface Management、EASMは External Attack Surface Management の略です。「Externalが付くから違うものだろう」と思うところですが、国の定義文書はそう扱っていません。

ガイダンスは冒頭で「米国を中心にいくつかの企業で定義が行われているが、その定義や範囲などにおいて解釈が分かれるケースがある」と断っています。つまり、言葉が先に広まって、意味が後から追いかけている状態です。日本語の資料を読むときは、まずこの定義に戻るのが安全です。

「攻撃面」という言葉

ASMの中心にあるのが攻撃面（Attack Surface）です。日本語では「攻撃対象領域」と訳されることもありますが、ガイダンスは「攻撃面」で統一しています。

おもしろいのは、経産省が国際的な定義をそのまま使わなかったことです。

ガイダンス 2.1 より。NISTの定義は原文の要旨を日本語にしたものです。

絞り込んだ理由も書かれています。攻撃面は「組織外の攻撃者が容易に発見できるものであり、かつ、組織がセキュリティ上より注視すべきであるもの」だから、というのがガイダンスの説明です。

第1章 おわり — 次は第2章

ガイダンスは、ASMを3つのプロセスで整理しています。この3つを覚えると、製品説明を読むときに「どこまでやってくれるのか」が判別できるようになります。

ガイダンス 2.2 ASMのプロセス より。(2)が「通常のアクセスの範囲」であることが、第3章と第5章で効いてきます。

4行目が、この記事のいちばん大事な部分です。ガイダンスの原文はこうです。

「含めていない。しかしながら、実施すべきである」——ここに、ASMを導入した組織が必ずぶつかる問題が凝縮されています。ツールは問題のリストを出しますが、それを直すのは人の仕事です。第6章で、実際にそれが最大の課題になっていることを見ます。

脆弱性管理のどこをカバーするのか

ガイダンスは、IPAの資料をもとに脆弱性管理を6段階に整理し、ASMがどこを担うかを明示しています。

ガイダンス 2.4 表2-1 より。「対象ソフトウェアの把握」にはVPN装置や複合機上で動作するファームウェアも含むと脚注で明記されています。

そしてもう一点、対象範囲そのものが違います。

第2章 おわり — 次は第3章

ガイダンスは、ASMと脆弱性診断を3つの観点で比べています。表は原文の表1-1を、読みやすく組み直したものです。

ガイダンス 表1-1 より。ここでの脆弱性診断はネットワーク・OS・ミドルウェアを対象としたプラットフォーム診断を指します。

2行目を、はっきり言い換えます。

ガイダンス自身も、両者を対立させていません。「ASMと脆弱性診断は異なるものであり、目的に応じて使い分けや併用を検討すべきである」という結論です。実務では、こう組み合わせるのが自然です。

「緊急性の高い脆弱性情報が公開された際に、自社のIT資産に該当するかを簡易的に調査する」は、ガイダンス 3.1 が挙げるASM導入目的の1つです。

第3章 おわり — 次は第4章

ASMの前提は「自社にも、把握していないIT資産がある」ということです。これは管理の怠慢ではなく、ふつうに事業をしていると起きることです。ガイダンスが挙げる活用シーンが、そのまま「知らない資産」の発生源になっています。

ガイダンス 2.3「ASMの活用シーン」より。3つとも「攻撃された」話ではなく「増えていった」話である点に注目してください。

実際に起きた事例（事例-A）

ガイダンスは、国内企業へのヒアリングから2つの事例を載せています。1つ目が、上の1行目そのままの話です。

キャンペーンごとに新しいドメインを取る——マーケティングの現場では当たり前の運用です。ところがそのサイトは、キャンペーンが終わったあとも生き続けます。更新されないまま、忘れられたまま、インターネットに向かって開いています。

この企業がやったことは2つでした。

ガイダンス 4.1 より。ツールの自動検索だけでなく「手動登録」を併用している点が実務的です。

そして、この事例がいちばん語っているのは2行目の打ち手です。CSIRTが「なぜ対応しなければならないか」「何をどうしなければいけないか」をサイト管理者に伝える役割を担ったことで、対応が速くなったと書かれています。ツールを入れただけでは、この部分は埋まりません。

2026年、これは「やったほうがいい」から「求められること」になりました

ガイダンスは2023年のものですが、この話は古びていません。2026年7月31日に決定された『重要インフラのサイバーセキュリティ対策のための統一基準』（2026年10月1日施行）は、安全基準等に規定されるべき事項として、こう書いています。

④が、ASMがやろうとしていることそのものです。重要インフラ16分野が対象の文書ですが、資産目録・外部サービス一覧・未承認資産の監視という3点セットは、規模を問わず通用する形になっています。制度の全体像は 重要インフラとは？ にまとめました。

第4章 おわり — 次は第5章

ガイダンス 3.2.4「注意すべき事項」は、ASMの限界をこれ以上ないほど率直に書いています。ここを読まずにツールを入れると、必ずどれかを踏みます。

① 自社のものではない資産が出てくる

CDNやクラウド上の資産はIPアドレスが変わります。またホスト名で検索した場合、DNSレコードの状態によって自社で管理していないIT資産のIPアドレスが正引きされることがあります。一覧に出たからといって、自社のものとは限りません。

② 偽陽性と偽陰性が、どちらも起きる

ここは理由まで書かれているので、そのまま表にします。

ガイダンス 3.2.4 より。「パッチを当てたのにバージョン番号が変わらない」ケースがあるという指摘は、実務では非常に重要です。

③ 他社の資産を調べると、訴訟になり得る

この記事でいちばん強く伝えたい部分です。ASMツールには2つの型があり、法的な意味がまったく違います。

ガイダンス 3.2.2 および 3.2.4 より。

さらにガイダンスは、調べた結果の使い方についても釘を刺しています。

取引先をASMツールで採点して、スコアを根拠に改善を迫る——という運用が現実に行われています。国はそれを「控えるべき」としています。理由は①〜②のとおり、そのスコアが実態に即していない可能性があるからです。取引先の管理そのものは必要ですが、手段の選び方は サプライチェーン攻撃 の考え方と合わせて検討してください。

④ リスクスコアを、そのまま優先度にしない

これは ゼロデイ の記事で扱った話と正確に同じです。CISAのKEVカタログに載る「実際に悪用されている脆弱性」1,665件のうち93.4%は、前年以前に公表されたCVEでした。スコアの高さより、本当に使われているかどうかが優先度を決めます。使い分けは CVSS と KEVカタログ の記事へ。

⑤ 画面の情報は「いま」ではない

検索エンジン型の場合、表示されているのは事業者が収集したタイミングの情報です。ガイダンスは「ユーザーが閲覧する情報は検索を行った時点の情報ではない可能性が高い」とし、攻撃面の詳細情報を確認する際は、確認した日時の情報もあわせて見るべきだとしています。

第5章 おわり — 次は第6章

ガイダンス作成のために国内企業へヒアリングをした結果、多くの企業から同じ声が上がりました。ここが、この記事のタイトルにした部分です。

ツールは資産を見つけます。しかし「これは誰のものですか」には答えません。そして次のように締めています。

事例-Bが選んだ答え：全部やらない

事例-Bは製造業で、世界各国に数百のグループ企業を持っています。本社主導で脆弱性管理をしていましたが、海外拠点では同じレベルにできませんでした。課題は2つでした。

ガイダンス 4.2 事例-B より。この企業はASMツールを導入している事例ではありませんが、ASMにも応用できる体制の例として収録されています。

この会社の打ち手が秀逸です。数百のグループ企業すべてを本社が見るのをやめました。

同。数百社を20社に集約し、その20社を育てるという構造です。

そして事例-Aが示したとおり、見つけたあとを動かすのは CSIRT の役割です。事例-Aでは本社CSIRTメンバーが運用フローに加わり、「なぜ対応しなければならないか」「何をどうしなければいけないか」をサイト管理者に伝えることで、対応が速くなりました。ASMは、CSIRTがあってはじめて回ります。

第6章 おわり — 次は第7章

ガイダンスは「ツールの利用が実質不可欠」としつつ、「少額の費用で実行できる範囲でPoC（概念実証）を実施することも有用である」とも書いています。そして事前準備として挙げているのは、ツールがなくてもできることです。

この一覧は、別の場面でもそのまま使えます。2026年10月1日に施行されるサイバー対処能力強化法では、基幹インフラ事業者の届出の中心が、ファイアウォールやVPN装置など「インターネットに面した機器」です。制度の詳細は 能動的サイバー防御とは？ に書きました。

検索エンジン型を、自分を調べるために使う

ShodanやCensysのような検索エンジンは、攻撃者が使う道具として紹介されがちですが、第1章で見たとおり、ASMの発想は「攻撃者と同じ視点で自社をチェックする」ことです。自社のIPアドレス・ドメインを対象にする限り、これは自己点検です。

他社のIPアドレスやドメインを対象にする場合は、第5章③の注意が適用されます。必ず承認を得てください。

最後に、なぜ継続が定義に入っているのかを確認しておきます。ガイダンスの説明はシンプルです。

頻度については、「より頻繁に実施したほうサイバー攻撃のリスクを低減できるが、その分業務負荷が高くなる」とし、自社のセキュリティポリシーや業務負荷、サイバー攻撃の流行などから総合的に判断してほしいという書き方です。正解の頻度は示されていません。事例-Aは毎日でした。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ