攻撃対象領域管理（ASM、Attack Surface Management）の導入ガイダンスを公表 経産省
掲載：2023年06月05日
サイバー速報
目次
経済産業省は5月29日、サイバー攻撃からIT資産を守るための手法の一つである攻撃対象領域管理（ASM、Attack Surface Management）に関する導入ガイダンスを作成し公表しました。ASMの基本的な考え方や特徴、留意点などとともに2つの取り組み事例を紹介しています。
公表したのは「ASM（Attack Surface Management）導入ガイダンス～外部から把握出来る情報を用いて自組織のIT資産を発見し管理する～」です。ASMの定義にはじまり、実施計画の策定やツールならびにサービス、取り組み事例までを解説しています。
同文書ではASMを「組織の外部（インターネット）からアクセス可能なIT資産を発見し、それらに存在する脆弱性などのリスクを継続的に検出・評価する一連のプロセス」と定義しています。インターネットからアクセス可能なIT資産に脆弱性を残したまま運用していると、そこが攻撃者の偵察行為によって発見されサイバー攻撃を受ける可能性があります。ASMは企業が把握しきれていないIT資産を攻撃者の視点から発見することができるため、従来の脆弱性管理を補完する取り組みであると記されています。
ASMを実施するにはツールやサービスを利用することになります。ASMツールは主に検索エンジン型とオンアクセス型に分類され、サービスはASMツールの運用を代行するものなどがあると整理しています。取り組み事例では、ASMツールを導入した企業と、脆弱性管理において海外グループ企業を含めた脆弱性管理体制を整えているグローバル企業の2つを紹介しています。
おすすめ記事
- アタックサーフェス
- シャドーIT
- 2022年のセキュリティ動向
- KASEYA（カセヤ）社のサイバー攻撃被害に危機管理の真髄を学ぶ
- 四重脅迫手口も登場し3年連続ランサムウェア被害が1位、情報セキュリティ10大脅威2023を発表 IPA
- ランサムウェア攻撃による被害とその防止策をドラマ仕立てにして解説、啓発用の映像を公開 警察協会
- ダークネット観測網「NICTER」による2022年版レポートを公開 NICT
- 情報セキュリティ対策の実施状況は直近5年間で「わずかに改善」、2021年度の中小企業実態調査報告書を公表 IPA
- バックアップから復旧できたのは19％、2022年のランサムウェア被害件数などを公表 警察庁
- 「サイバー攻撃被害に係る情報の共有・公表ガイダンス（案）」の意見公募を開始、情報共有や被害公表に関する実務をFAQ形式で提示 NISC、警察庁、総務省、経産省
- 国家が背景にあるグループによるサイバー攻撃の脅威の緩和に向けて、国際ガイダンスに署名 NISC/警察庁
- 「能動的サイバー防御」導入に向け法案策定へ、「サイバーセキュリティ2024」を公表 NISC
- ランサムウェア被害の64％は中小企業、2024年上半期の「サイバー空間をめぐる脅威の情勢等について」を公表 警察庁
