「外から見るか／内から見るか」「資産を見つけるか／深く調べるか」の2軸で整理すると、4つの言葉の関係が一度で分かります。
どちらも「攻撃対象領域の管理」を名乗りますが、見ている場所とデータの出どころが正反対です。混同したまま製品を選ぶと、欲しかった答えが出ません。
攻撃者と同じ立場でインターネット側から自社を眺め、知らなかった公開資産を見つける。社内の台帳には一切頼らない。データ源はDNS、証明書、WHOIS、ポートスキャン、インターネット全域のインデックス。
CMDB、EDR、クラウド管理コンソール、ID基盤などの社内ツールにAPIでつなぎ、バラバラな資産台帳を一本化する。得意なのは「EDRが入っていないPCはどれか」のような保護漏れの発見。
| EASM | CAASM | |
|---|---|---|
| 見る場所 | インターネット（外部） | 社内ネットワーク・クラウド・SaaS（内部） |
| データ源 | 公開情報とスキャン。社内システムへの接続は不要 | 既存ツールのAPI。接続先が多いほど精度が上がる |
| 見つかるもの | 野良サーバ、忘れられたドメイン、子会社のクラウド、委託先が立てた環境 | 台帳の重複・欠落、EDR未導入端末、退職者アカウント、パッチ未適用の内部サーバ |
| 得意な問い | 「うちの外側に何が見えているか」 | 「うちが持っている資産は全部で何か、守れているか」 |
| 導入の前提 | トップドメインがあれば始まる | 接続するツール群が社内に揃っていること |
| 経産省ガイダンスとの関係 | ガイダンスの「ASM」はほぼこれ | ガイダンスの対象外。内部の資産管理として別立て |
| 製品例 | Cortex Xpanse、CyCognito、ANTERAS ASM、Defender EASM | Axonius、JupiterOne、Rapid7 Surface Command（EASMも統合） |
社内の資産台帳がそもそも整っていない、子会社・海外拠点が多い、DX部門や委託先がWebサイトを作りがち、経産省ガイダンスへの対応を求められている。この条件に一つでも当てはまるなら、EASMから始めるのが早い。社内に何も接続せずに結果が出るため、初回のレポートがそのまま経営説明の材料になる。
EDR・脆弱性スキャナ・クラウド管理ツールが揃っているのに、各ツールの台帳がずれていて「結局うちの端末は何台か」に答えられない企業。外側の露出より、内側の保護漏れのほうが大きいリスクになっている段階。
Rapid7 Surface CommandやTrend Vision One CREMのように、EASMとCAASMを同じ資産グラフで扱う製品がある。外部の露出が内部のどの資産に繋がるかを辿れるのは強いが、EASM単体の発見深度はType A製品に譲る。詳しくは製品の4つのタイプを参照。
2023年5月公開。難しく書かれていますが、企業がやるべきことは4つのサイクルに集約されます。
「資産の網羅的把握」が出発点であること。資産を知らなければ脆弱性診断の対象にすら入りません。また、ASMは一度やれば終わりではなく継続運用であること、そして発見した資産が本当に自社のものかを確認する工程（帰属判定）が重要であることを繰り返し述べています。
①トップドメインと主要IPを起点にASMツールで外部資産を洗い出す ②見つかった資産を部署ごとに「自社のもの／違う」と確定させる ③重大なもの（公開された管理画面、サポート切れのVPN機器など）から直す ④月次で差分を見る。この4つを回せる体制があれば、ツールの選択はその次の話です。
どちらも「外から調べる」ので混同されがちですが、役割は補完関係です。
| EASM | 脆弱性診断 | |
|---|---|---|
| 対象 | 知らない資産も含めた全公開資産 | 指定した既知の資産 |
| 頻度 | 継続（日次〜週次） | 点（年1〜数回） |
| 深さ | 浅く広く（露出・バージョン・既知脆弱性） | 深く狭く（ロジック欠陥・認可不備まで） |
| 向いている問い | 「うちの外側に何があるか」 | 「このシステムは安全か」 |
| 組み合わせ方 | EASMで資産と優先度を出し、高リスクの資産だけに脆弱性診断を当てる。EASMツールの中には、検出した脆弱性の実在を無害なエクスプロイトで確かめる「検証」機能を持つものがあり、診断との境界は近づいています。 | |
「ASMツールランキング」という比較は乱暴です。目的が違えば選ぶ製品も変わります。
Type Aインターネット全域のスキャンデータや組織構造の推定から、未知資産の発見と悪用可能性の検証に特化。グループ企業・海外拠点が多い企業向け。
Type B日本企業の運用に合わせ、専門家の判定やサポート、保険等を組み合わせた国産サービス。経産省ガイダンス起点で始める企業の基準になる。
Type CWebサイト・API中心の発見と脆弱性診断を一体化。2026年7月以降はプラットフォーム／ネットワーク領域にも検査範囲を拡大。DX部門が増やしたサイトの棚卸しに向く。
Type DEASMをCAASM・脆弱性管理・CSPMと統合したプラットフォーム。既にそのベンダーの製品を使っている企業が「外側を足す」ときの選択肢。
これは公開情報ベース評価です。総合点はタイプ内でのみ比較してください。N/Aは「機能がない」ではなく「公開情報で確認できなかった」軸で、当該配点分を減点しています（情報を公開しないことも選定上のリスクとみなすため）。
| 製品 | 総合 | 発見 20 | 帰属 15 | 脆弱性 15 | 検証 15 | 優先度 10 | 国内 10 | 連携 10 | 価格 5 | 課金・入口 |
|---|---|---|---|---|---|---|---|---|---|---|
| Type A — Pure EASM | ||||||||||
 Cortex XpansePalo Alto Networks／ラック・テクマトリックス・ネットワン | 86 | 5 | 4 | 4 | 5 | 4 | 3 | 5 | 3 | 資産数／要問合せ |
| CyCognito日立ソリューションズ | 85 | 5 | 5 | 4 | 5 | 4 | 2 | 4 | 3 | 要問合せ参考: 2020年提供開始時 年額375万円〜（代理店公開） |
 Tenable One ASMネットワールド | 65 | 4 | 3 | 4 | 2 | 4 | 3 | 3 | 2 | 新規契約はTenable Oneの一部 |
 Microsoft Defender EASMAzure直販・CSP | 61 | 3 | 3 | 3 | 2 | 3 | 4 | 3 | 5 | 資産数×日／30日無料 |
| Type B — 国内ASM | ||||||||||
 ANTERAS ASMマクニカ（旧Macnica ASM） | 76 | 4 | 5 | 3 | 3 | 4 | 5 | 3 | 3 | 要問合せ |
 GMOサイバー攻撃ネットde診断 ASMGMOサイバーセキュリティ byイエラエ ／ 情報確度B（帰属判定が非公開） | 56 | 3 | N/A | 4 | 3 | 3 | 5 | 2 | 3 | 要問合せ／保険・初動対応付帯 |
| Type C — Web ASM | ||||||||||
 AeyeScan Web-ASMエーアイセキュリティラボ | 71 | 3 | 4 | 4 | 3 | 3 | 5 | 3 | 4 | 定額（ドメイン数無制限） |
| Type D — Exposure Management | ||||||||||
 Rapid7 Surface CommandRapid7 Japan | 65 | 3 | 3 | 3 | 3 | 3 | 3 | 5 | 4 | トライアルあり |
 Trend Vision One CREMトレンドマイクロ ／ 情報確度B（帰属判定が非公開） | 61 | 3 | N/A | 4 | 3 | 4 | 5 | 4 | 2 | Vision Oneの一部のみ |
各軸は0〜5。総合点＝Σ（軸スコア÷5×配点）。スコアはベンダー公式ドキュメント・プレスリリース等の公開一次情報に基づく2026年8月23日時点の評価で、半期ごとに見直します。情報確度の注記がない製品は全8軸を公開情報で確認済みです。代理店名は各社公式サイトで確認したもののみ記載。
比較表の8軸を、検討時に聞くべき質問に言い換えました。順番は検討の流れです。
ASMツールの検討前に、30分で「知らなかった資産」が1つは見つかります。
自社ドメインで発行された証明書を全て検索できます。忘れられたサブドメインや、委託先が勝手に作った環境が出てきます。
自社のIPレンジや組織名で検索すると、公開されているポート・サービス・バージョンが分かります。管理画面やRDPの露出はここで気づけます。
Defender EASMの30日無料、Rapid7のトライアルなど、製品版を無料で試せるものがあります。まず自社で1回回してから要件を書くと、選定が早くなります。
発見後に動ける人がいない場合、製品を買うより運用代行のほうが機能します。AGEST EASMアドバイザリー（CYFIRMA基盤）、ラック・テクマトリックス・日立ソリューションズなど代理店の運用支援が該当します。
8軸（発見20・帰属15・脆弱性15・検証15・優先度10・国内10・連携10・価格5）を各0〜5で採点し、配点を掛けて合算します。根拠はベンダー公式ドキュメント、プレスリリース、分析会社の公開レポートのみで、ベンダー同士の比較記事や営業資料は使いません。根拠が取れない軸はN/Aとして減点します。
本サイトはベンダーから掲載料・紹介料を受け取っていません。評価は公開情報に基づく独立した見解であり、スコアの更新履歴は本ページに評価時点を明記して残します。
自社の規模と体制に合うタイプの見極め、要件定義、複数製品の比較評価をお手伝いします。
相談例：「EASMとCAASMのどちらから始めるべきか」「PoC候補を2〜3製品に絞りたい」「経産省ASMガイダンスに沿った体制を作りたい」
お問い合わせ
easm.jpASM / EASM 解説・製品比較