EASMとは？サイバーセキュリティにおける役割とその重要性

EASMの基本的な定義と概要

EASMは従来のセキュリティ対策とは異なる視点で、企業の攻撃対象範囲を包括的に管理し、外部からのサイバー攻撃リスクを軽減するためのツールです。EASMの基本的な定義と概要について、3つに分けて紹介します。

EASMの定義

EASM（External Attack Surface Management）とは、日本語で「外部攻撃対象管理」と訳され、企業や組織が外部からのサイバー攻撃にさらされる可能性がある範囲を総合的に管理するためのセキュリティ手法です。EASMは、攻撃者の視点から自社のIT資産やネットワークがどのように見えるかを把握し、潜在的な脆弱性を洗い出すことが目的です。セキュリティリスクの特定と適切な対策を実行し、企業全体のセキュリティレベルを向上させることができます。

EASMが注目される理由

現代の複雑化したIT環境において、企業が自社の全てのシステムやネットワークを把握するのは非常に困難です。従来の内部ネットワーク中心のセキュリティ対策では、外部からの攻撃に対して十分な対応ができないことが増えています。

外部からの攻撃の可能性を網羅的に把握し、攻撃のリスクを可視化できるEASMが注目されています。特に、クラウドサービスやリモートワークの普及により、攻撃対象となる範囲が広がり続けている現代の企業環境において、EASMは必要不可欠なセキュリティ対策です。

従来のセキュリティ対策との違い

従来のセキュリティ対策は、ファイアウォールや侵入検知システム（IDS：Intrusion Detection System（侵入検知システム）/IPS：Intrusion Prevention System（侵入防止システム））など、内部ネットワークの保護に焦点を当てていました。しかし、近年では企業のシステムがクラウドや外部サービスに依存することが増え、内部だけではなく外部からの攻撃を受けやすい状態が生まれています。

EASMは、このような外部に公開されるIT資産を特定し、攻撃面を管理することで、従来型のセキュリティ対策では補えない部分のカバーが可能です。また、脆弱性のある攻撃面を減らすことで、攻撃者に狙われる可能性を低減する効果も期待できます。EASMは攻撃者の視点から脆弱性を見つけ出すアプローチを取るため、より現実的なリスクを洗い出すことができ、効果的なセキュリティ強化につながります。

ASM（Attack Surface Management）との違い

EASMとASM（Attack Surface Management）は、どちらも企業の攻撃面を管理し、サイバーセキュリティリスクを低減するための手法です。両者はほぼ同義として扱われることが多く、その目的や基本的なアプローチも類似しています。

区分としては、EASMは特に外部向けのアタックサーフェスに着目するケースが多い一方、ASMは外部・内部両面を含めたより広範な『攻撃面管理』を指すこともあります。ベンダーや文脈によって使い分けが異なる点に注意が必要です。

サイバーセキュリティにおけるEASMの役割とは？

現代のビジネス環境において、サイバーセキュリティは企業にとっても重要な課題の一つです。日々巧妙化するサイバー攻撃から組織を守るためには、従来の対策に加え、外部からの攻撃対象領域（アタックサーフェス）を網羅的に管理するEASMが欠かせません。

EASMは、組織のセキュリティ体制を強化し、潜在的な脅威からビジネスを守る上で、重要な役割を担っています。具体的には、以下の3つの役割があります。

攻撃面の洗い出し

組織の外部に公開されているIT資産は、Webサイト、サーバー、クラウドサービスなどです。これらの資産は、常にサイバー攻撃の標的となる可能性があります。EASMは、インターネットを介してアクセス可能なあらゆるIT資産を自動的にスキャンし、洗い出し、未知の脆弱性やセキュリティホールを発見します。

一例として、以下のような資産が攻撃面となり得ます。

• 忘れ去られたサブドメイン
• 従業員が個人で利用しているクラウドサービス
• M&Aによって取得した旧システム

これらの資産は、情報システム部門の管理外にある場合もあり、セキュリティ対策の盲点になりがちです。EASMを活用することで、組織全体のアタックサーフェスを可視化し、包括的なセキュリティ対策を講じることが可能になります。

セキュリティリスクの可視化と優先順位付け

EASMは、洗い出した攻撃面に対して脆弱性診断を実施し、セキュリティリスクを評価します。リスクの深刻度や緊急性を考慮して優先順位を付け、わかりやすく可視化します。

これにより、セキュリティ担当者は、限られたリソースを効率的に活用し、最も重要なリスクから対策を講じることが可能です。具体例として、緊急性の高い脆弱性には迅速なパッチ適用を行い、リスクの低い脆弱性には長期的な対策を計画するといった対応が可能になります。

セキュリティ監視の自動化

EASMは、脆弱性診断やリスク評価だけでなく、セキュリティ監視の自動化にも貢献します。例えば、管理が不十分な海外拠点や管理が行き届かない複数のドメインにおいても、定常的な監視による素早い対応が可能です。

これにより、セキュリティ担当者の負担を軽減し、ヒューマンエラーを減らすことができます。また、セキュリティ対策を迅速かつ効率的に実施することで、セキュリティ人材不足の解消にもつながります。

EASMは、企業がサイバー攻撃から身を守るための重要なツールです。攻撃対象の洗い出し、セキュリティリスクの可視化と優先順位付け、セキュリティ対策の自動化を通じて、組織全体のセキュリティレベル向上に大きく貢献します。

EASMの導入事例

経済産業省 商務情報政策局 サイバーセキュリティ課が公表している『ASM （Attack Surface Management） 導⼊ガイダンス〜外部から把握できる情報を用いて自組織のIT資産を発見し管理する〜』を参考に、EASMの導入事例を紹介します。

【事例1】頻繁なキャンペーン活動で管理外のドメインが増加していた企業

背景と課題

一般消費財の製造・販売を行う企業A社では、プロモーションやキャンペーン活動ごとに新しいドメインやIPアドレスを取得していました。そのため、情報システム部門が把握・管理できていないIT資産が複数存在し、セキュリティ対策の盲点となっていました。

アプローチ

A社は、EASMツールを導入し、以下の対策を実施しました。

• 自動スキャンによるIT資産の可視化：EASMツールで毎日自動的にスキャンを実行し、最新のIT資産情報を把握できるようにしました。
• CSIRTの連携による迅速なリスク対応： EASMツールで検出されたリスクをCSIRTメンバーが確認し、ECサイト管理者と連携して対応することで、迅速なリスク対応を実現しました。
• スコアリングシステムによる優先順位付け：リスク評価のスコアリングシステムを活用することで、関係者間で対応の優先順位に関する共通認識を形成し、効率的な対策を可能にしました。

ポイント

EASMツール導入により、A社は管理外のIT資産を可視化し、迅速なリスク対応体制を構築できました。さらに、スコアリングシステムの活用により、セキュリティ対策の効率化と担当者の意識向上を実現しました。

参照：経済産業省「ASM (Attack Surface Management）導入ガイダンス外部から把握出来る情報を用いて自組織のIT資産を発見し管理する)

【事例2】グローバルに展開する企業における脆弱性管理体制の構築

背景と課題

世界各国にグループ企業を持つグローバル企業B社では、本社主導で脆弱性管理を実施していましたが、海外拠点の企業では十分なセキュリティ対策ができていませんでした。

アプローチ

B社は、海外拠点を含めたグループ全体で脆弱性管理を推進するため、以下の体制を構築しました。

• 地域ごとに中核企業を選定：各地域で脆弱性管理をサポートする中核企業を選定し、本社との連携体制を構築しました。
• 本社と中核企業の役割分担：本社は脆弱性診断の実施や是正方法の提示を行い、中核企業は地域のグループ企業へのサポートを担当しました。
• セキュリティスキルの向上：中核企業のセキュリティ担当者に対して、セキュリティスキル向上のための教育施策を展開しました。

ポイント

B社は、中核企業を拠点としたサポート体制を構築することで、グローバルに展開するグループ企業全体のセキュリティレベル向上を実現しました。

これらの事例から、EASMは企業規模や業種を問わず、様々な組織のセキュリティ対策に有効であることがわかります。

参照：経済産業省「ASM (Attack Surface Management）導入ガイダンス外部から把握出来る情報を用いて自組織のIT資産を発見し管理する)

EASM導入によるメリット

EASMを導入するとどのようなメリットがあるのでしょうか。ここでは、EASM導入によるメリットを2つに分けて紹介します。

攻撃面の管理と継続的な監視ができる

EASMツールによって、外部に公開されている組織のIT資産を網羅的に管理できます。これには、情報システム部門が把握しているIT資産だけでなく、未把握のIT資産も含まれる可能性があります。外部からアクセス可能な攻撃面を特定し、管理することで、セキュリティリスクの軽減に貢献します。

さらに、継続的にIT資産を監視することで、新たに発生した脆弱性や設定ミスなどの危険な状態を検出します。また、アラート機能をもつEASMツールやサービスの場合、管理者はすぐに必要な対策を講じることができるので、被害の発生防止につながります。

効率的なリスク評価とコンプライアンスの強化

EASMツールやサービスには、検出された脆弱性の影響度や悪用される可能性を評価し、優先順位を付けてくれるものもあります。これにより、どの脆弱性から対処すべきかが明確になり、効率的にリソースを配分できます。管理者は重要な脆弱性に集中して対応することができ、効果的なセキュリティ対策を実施可能です。

また、法規制やコンプライアンス要件では、定期的なセキュリティ監査が義務付けられているものもあります。EASMを活用することで、主観的なチェックだけでなく客観的な指標を持って自社のセキュリティのレベルを把握することができ、コンプライアンスの強化につながります。

EASM導入はメリットがありますが、ツール選定の際には、以下の点を考慮しましょう。

• 網羅性: 自社のIT資産を網羅的に検出できるか
• 精度: 脆弱性やリスクを正確に評価できるか
• 使いやすさ: セキュリティ担当者にとって操作しやすいUI/UXであるか
• サポート体制: 導入後のサポート体制が充実しているか
• コスト: 導入費用や運用費用が自社の予算に合っているか

まとめ

クラウドサービスの普及やIoTデバイスの増加により、サイバー攻撃の対象となる領域は劇的に拡大しています。企業が、このような複雑化するインフラ環境全体を把握し、適切に制御するためには、EASMが欠かせません。

EASMは、組織の外部に公開されている全てのIT資産を可視化し、潜在的な脆弱性を発見することで、サイバー攻撃のリスクを最小限に抑えられます。

本記事では、EASMの基本的な定義から導入メリット、事例、導入を検討する上でのポイントまで解説しました。EASMの導入を検討する際の参考にしていただければ幸いです。