【解説】「能動的サイバー防御」時代へ。
EASMとは？放置されたIT資産のリスクと次世代の対策
＜サマリー＞
✓ 従来の「待ち受ける」境界防御は限界を迎え、脅威を先回りして排除する「能動的サイバー防御」への転換が社会的に急務となっている
✓ 能動的な対策の第一歩は「自社の守るべき対象」を知ること。そこで、攻撃者視点でインターネット上の自社資産を洗い出す「EASM（外部公開資産管理）」が不可欠
✓ 把握から漏れたテストサーバーや古いVPNなどの「EASMリスク」を防ぐため、Excel管理を脱却し、自動でIT資産検出を行う仕組みについて解説
＜目次＞
企業のサイバーセキュリティ対策は今、大きな転換点を迎えています。巧妙化する脅威に対し、政府レベルでも先回りしてリスクを排除する「能動的サイバー防御」の議論が本格化。従来の「待ち受ける」防御はすでに限界に達しています。
しかし、能動的に動くための大前提として「自社の守るべきIT資産を100%把握できているか？」という根源的な壁があります。DX推進で複雑化した環境下で、管理から漏れた「見えないIT資産」は攻撃者の格好の侵入口です。
本コラムでは、この課題を解決し、能動的防衛の第一歩となる「EASM」の重要性と、企業が直面する「EASMリスク」の実態を分かりやすく解説します。
受け身の防御は限界へ。今求められる「能動的サイバー防御」とは
これまでのコラムでも触れてきた通り、どんなに最新のセキュリティツールを導入しても、運用フェーズにおける「人」の隙や、ゼロデイ脆弱性を突く攻撃を完全に防ぐことは困難です。現代のサイバーセキュリティは「侵入されることを前提」とした検知と対応のスピード※が命運を分けます。
さらに近年、この「侵入前提」の考え方から一歩踏み込み、攻撃者からの脅威が顕在化する前に、自らリスク要因を探索して無害化する「能動的サイバー防御」が重要視されています。
攻撃者は、私たちが想像する以上に緻密な偵察活動を行っています。企業が「自社への攻撃が始まった」と気づくずっと前から、インターネット上に公開されている企業のシステムの弱点を探し回っているのです。この偵察活動に対して受け身でいる限り、企業は常に後手に回ることになります。
能動的防御の第一歩「EASM」とは何か？
「EASMとは何か？」という疑問を持つ方も多いでしょう。EASM（External Attack Surface Management：外部アタックサーフェス管理）とは、インターネットに公開されている自社のIT資産（サーバー、ドメイン、クラウドサービスなど）を攻撃者と同じ視点で網羅的に発見し、そこに潜む脆弱性やリスクを継続的に評価・管理するプロセスです。
ASM（アタックサーフェス管理）とEASMの違い
似た言葉にASM（アタックサーフェス管理）がありますが、ASMが社内ネットワークを含む「すべての攻撃対象領域」を指すのに対し、EASMは「インターネットからアクセス可能な外部公開資産」に特化しています。
攻撃者の9割以上は、インターネットを介して外部から侵入を試みます。つまり、能動的サイバー防御を始めるにあたり、「外から自社がどう見えているか（＝どこに侵入可能な隙があるか）」を把握するEASMこそが、最も優先すべき対策となるのです。
攻撃者が狙う「見えないIT資産」の正体
EASMを適切に行わなかった場合、企業はどのような危険に晒されるのでしょうか。最大の要因は、情報システム部門の管理下から外れた「見えないIT資産」の存在にあります。
EASMで可視化すべき「見えないIT資産」とは、単に部署が勝手に導入した「シャドーIT※」が代表的ですが、それだけではありません。情シス部門の管理から漏れ、攻撃者の格好の標的（アタックサーフェス）となっている資産には、具体的には以下のようなものがあります。
- 開発部門がテスト用に立ち上げ、そのまま忘れ去られたクラウドサーバー
- リプレイスされずに放置され、脆弱性パッチが当たっていない古いVPN機器やルーター
- 事業部門が情シスを通さずに独自契約し、退職者のアカウントが残ったままのSaaS
- M＆Aで新たにグループ入りした子会社や海外拠点が運用する、本社未把握のWebサイト
これらはすべて、企業にとっての「忘れ去られた裏口」です。本社側がエンドポイントセキュリティ（EDRなど）をどれだけ強固にしても、こうした隙が一つでもあれば、攻撃者はそこから容易に侵入し、社内ネットワーク全体を掌握してしまいます。
手作業でのIT資産検出は不可能。次世代の解決策とは
「見えないIT資産」をなくすためには、定期的なIT資産検出が欠かせません。しかし、多くの企業ではいまだにExcelの台帳を用いた年に数回の棚卸しや、各部署へのアンケートといった手作業に依存しています。
クラウド環境では、開発部門がわずか数分で新しいサーバーを立ち上げることができます。日々目まぐるしく変化するIT環境において、年に数回の手動チェックでは到底追いつきません。また、そもそも存在を把握していないシステムに、管理用のエージェントソフトをインストールすることは不可能です。
今求められているのは、システムに負荷をかけることなく、インターネット側から自動的かつ継続的に自社のIT資産を検出し続ける仕組みです。
攻撃者視点を「自動化」するEASMツールの活用
手動管理の限界を打ち破り、真の能動的サイバー防御を実現するためには、テクノロジーの力が不可欠です。そこで有効になるのが、自社のドメイン名などの初期情報から、OSINT（公開情報収集）技術を用いてインターネット上の資産を芋づる式に発見する専門ツールの活用です。
こうしたツール導入の最大のメリットは、「エージェントレス」で即座に状況を把握できる点にあります。そもそも情シスが把握していない野良サーバーや、子会社が独自に立ち上げたWebサイトに対して、管理用のエージェントソフトをインストールすることはできません。
そのため、外部から攻撃者と全く同じ視点でスキャンを実行し、発見した資産の脆弱性スコアリングや継続的な監視までを自動化してくれるEASMソリューションが、現代のセキュリティ運用において非常に強力な武器となります。
まとめ：自社の「本当の姿」を知ることが、次世代セキュリティの第一歩
これからのサイバーセキュリティ対策は、被害に遭ってから対処する「事後対応」や境界での「待ち受け」から、攻撃の糸口を先回りして塞ぐ「能動的サイバー防御」へとシフトしていくことは間違いありません。その強力な土台となるのが、自社のIT資産を網羅的に把握し、リスクを可視化するEASMの取り組みです。
「自社のドメインに紐づく、見知らぬサーバーが公開されていないか？」
「関連会社や海外拠点のIT資産に、重大な脆弱性が放置されていないか？」
Excel等での手動管理に限界を感じているのであれば、まずは自社が直面している「見えないリスク」の全体像を正確に把握することが重要です。攻撃者と同じ視点で自社のIT環境を可視化し、次世代の防衛体制を築くための第一歩として、専門的なEASMツールの導入を検討してみてはいかがでしょうか。
▼ 自社の見えないリスクを自動検出する「XCockpit EASM」の詳細はこちら
＜この記事の監修者＞
株式会社アイティフォー 通信システム事業部 セキュリティソリューション担当
通信キャリア、コンタクトセンター、ネットワーク、セキュリティ基盤などの領域において、企業・自治体・地域金融機関向けのシステム提案・導入支援を行っています。
公開日：2026年9月dd日
最終更新日：2026年9月dd日