METI ASM Guidance × Product Map

経産省「ASM導入ガイダンス」対応表
— 3プロセス×9製品で見る要件マップ

経済産業省が2023年5月に公表した「ASM（Attack Surface Management）導入ガイダンス」は、ASMをツールではなくプロセスとして定義しています。このページでは、ガイダンスが求める3つのプロセスと留意点を製品選定の観点に分解し、国内で導入できるASM／EASM 9製品がどこまで対応しているかを公開情報ベースで整理します。

1. ガイダンスの要点（3分で読める版）

正式名称

ASM（Attack Surface Management）導入ガイダンス 〜外部から把握出来る情報を用いて自組織のIT資産を発見し管理する〜

公表

2023年5月29日、経済産業省 商務情報政策局 サイバーセキュリティ課

ASMの定義

組織の外部（インターネット）からアクセス可能なIT資産を発見し、そこに存在する脆弱性などのリスクを継続的に検出・評価する一連のプロセス

位置づけ

サイバーキルチェーンの最初の段階である「偵察」に対する備え。攻撃者と同じ視点で自組織を外から観察する

想定読者

ASM導入を検討する企業のセキュリティ担当者。基本的な考え方、留意点、ツールの機能、ユースケースを解説

脆弱性診断との関係

別物として位置づけ。ASMは「知らなかった資産を見つけ、広く浅く継続的に見る」、脆弱性診断は「既知の資産を深く検査する」。置き換えではなく使い分け・併用

2. ASMの3プロセスと、範囲外とされた「リスク対応」

ガイダンスはASMを次の3つの工程が循環するものとして描いています。

ここで見落とされがちなのが、「リスクへの対応」（パッチ適用、設定変更、公開停止、受容など）はASMプロセスの範囲外と明記されている点です。ガイダンスは「対応が不要」と言っているのではなく、対応は既存の脆弱性管理・変更管理のプロセスに引き渡すものだ、と整理しています。つまりASMツールを買っただけでは工程が閉じず、評価結果を誰がどこで受け取り、どう処理するかを組織側で設計することが導入の半分を占めます。

ガイダンスが挙げる留意点

• 誤検知と他組織資産の混入：外部からの推定には限界があり、自組織のものではない資産が混じったり、実在しない脆弱性が報告されたりする。ツールの結果は人が判断する前提で運用する。
• 継続性：資産も脆弱性情報も日々変わるため、一度きりの調査ではなく継続的な実施が前提。
• 体制：発見された資産の所有部門を特定し、対応を依頼できる組織的な連携が必要。
• ツールとサービスの選択：自社のスキルとリソースに応じて、ツールを自ら運用するか、マネージドサービスを使うかを選ぶ。

3. ガイダンスから導いた選定観点

ガイダンスはツールの機能要件を定めていないため、以下は編集部が3プロセスと留意点から導いた観点です。当サイトの製品評価8軸（トップページの評価基準）との対応も併記します。

選定観点	ガイダンス上の根拠	評価8軸との対応
A. 発見の網羅性 シードからの自動拡張、子会社・M&A・クラウド資産	プロセス1「攻撃面の発見」。未把握資産を見つけることがASMの存在理由	発見（20点）
B. 帰属判定と誤検知対策 「本当に自社の資産か」を判定・調整できるか	留意点「誤検知」「他組織資産の混入」	帰属判定（15点）
C. 情報収集の深さ ポート・サービス・バージョン・証明書・技術スタック	プロセス2「攻撃面の情報収集」	脆弱性検出（15点）の前提
D. リスク評価の確度 既知脆弱性との照合、実際に悪用可能かの検証、優先度付け	プロセス3「攻撃面のリスク評価」	脆弱性検出・悪用検証・優先度（計40点）
E. リスク対応への引き渡し 通知、チケット連携、SIEM/SOAR連携、レポート	「リスク対応」はプロセス外 → 既存プロセスへの受け渡しが必要	運用連携（10点）
F. 継続運用の現実性 日本語UI・国内サポート・マネージド提供の有無	留意点「継続性」「体制」「ツールとサービスの選択」	国内適合（10点）

4. 対応表：9製品×選定観点

各社の公開資料（公式ドキュメント、製品ページ、国内代理店の資料）で確認できた範囲での対応状況です。記号は「公開情報で確認できたか」であり、機能の優劣ではありません。分類の異なる製品を横断して優劣を比べることはできない前提で読んでください。点数付きの詳細比較はトップページの製品マトリクスにあります。

「─」は各社の公開資料に記載が見当たらなかったことを示し、機能が存在しないことを意味しません。ベンダー・代理店からの一次情報提供があれば確認のうえ更新します（更新履歴は本ページ末尾）。

対応表の読み方：どのタイプがガイダンスの「素直な実装」か

• Type A（Pure EASM）は3プロセスをそのまま製品化したもので、ガイダンスの記述と最も対応が取りやすい。反面、評価結果の引き渡し先（脆弱性管理、チケット）を自社で用意する必要がある。
• Type B（国内ASM）は継続運用（F）で優位。ガイダンスが最も重視する「継続」を、日本語のサポートと分かりやすい価格で現実にしやすい。評価の深さ（D）は製品ごとの差が大きい。
• Type C（Web ASM）はガイダンスでいう「脆弱性診断」寄りの性格が強く、発見（A）を主目的にすると期待とずれる。Web資産が攻撃面の大半を占める組織には合理的。
• Type D（Exposure Management）は「リスク対応」をプロセス外とするガイダンスの整理を製品側で埋めにいく設計。すでに同一ベンダーの脆弱性管理や EDR を使っている組織では、引き渡し（E）の設計が不要になる。

5. ガイダンスを読んだ上で、それでも起きる失敗

「ASM＝ツール導入」と読んでしまう

ガイダンスの前半は明確にプロセスの話をしていますが、後半にツールの機能説明があるため、読み手側で「ツール要件書」に変換されがちです。ツール選定を先に始めると、発見された資産の所有部門を誰が特定するか、対応依頼をどう出すかが決まらないまま契約が進みます。先に決めるべきは「発見された資産の連絡先を、何営業日以内に、誰が確定させるか」です。

誤検知の扱いを決めずに運用に入る

留意点として書かれている誤検知と他組織資産の混入は、導入後に必ず起きます。最初の数週間で「これは自社ではない」「これは既に廃止済み」という判定作業が集中するため、ここで担当者の手が止まると運用が形骸化します。帰属判定の調整機能（観点B）は、機能表では地味ですが継続運用の可否を左右します。

脆弱性診断を止めてしまう

ガイダンスはASMと脆弱性診断を使い分け・併用するものと位置づけています。ASMは「知らなかった資産」を見つける道具で、既知の重要システムを深く検査する役割は代替しません。予算の付け替え先としてASMを見るなら、削るのは「毎年同じ既知資産に同じ診断を掛けている部分」であって、診断そのものではありません。

6. ガイダンスに沿った導入ステップ

1. 目的と範囲を一文で決める

   例：「グループ会社を含む、インターネットから到達可能な全資産の把握」。範囲に子会社・海外拠点・クラウドを含めるかで、必要な発見能力（観点A）が変わります。

2. 現在の資産台帳を出せる状態にする

   ASMの価値は「台帳との差分」に出ます。台帳がなければ、ドメイン一覧・グローバルIP割当・クラウドアカウント一覧の3点だけでも先に集めます。

3. リスク対応の受け皿を決める

   評価結果を受け取るチケットシステムまたは会議体、対応期限の目安（例：緊急7日・高30日）、所有部門が不明な資産の扱いを決めます。ここが観点Eの要件になります。

4. ツール運用かマネージドかを選ぶ

   専任がいない場合はマネージド提供のある製品・サービスを優先します。ガイダンス自身が、自社のスキルとリソースに応じた選択を促しています。

5. 試行期間で「誤検知率」と「未把握資産の数」を測る

   導入判断の材料は、発見された資産のうち台帳になかった数と、自社資産でなかった数の2つです。この2数字が、その製品を継続する価値と運用負荷を同時に示します。

6. 継続の周期を先に決める

   週次で新規資産の確認、月次でリスク評価の棚卸し、年次で範囲の見直し。周期が決まっていない継続は続きません。