アタックサーフェスが広がる背景として、以下が挙げられる。

• クラウドサービス利用によるインターネット接続の増加
• OT（制御技術）デバイスやIoT（モノのインターネット）デバイスの普及
• SaaS（Software as a Service）を含めたアプリケーションの増加
• ネットワーク接続するエンドユーザー数の増加
• 機密データの増加

　現在、ASMツールを提供する主なベンダーはPalo Alto NetworksやCyCognito、Detectify、IONIXなどだ。ASMに取り組む際の6つのポイントは次の通りだ。

1．「ゼロトラスト」の実装

　ゼロトラストセキュリティでは、社内外のユーザーを問わず、全ての通信を「怪しい」と見なして、アクセスの際に必ず認証を求める。ASMにおいても、ゼロトラストセキュリティは重要な取り組みになる。既存のシステムへの影響を抑えながら移行するために、アプリケーションごと、ネットワークセグメントごと、ユーザーグループごとにゼロトラストを段階的に実装するのが一般的だ。

2．重要なシステムへのアクセス制御の強化

　全てのエンドユーザーに無制限のアクセスを許可する組織もあるが、近年はセキュリティやコンプライアンス（法令順守）の観点から、エンドユーザーごとにアクセスを制御する動きが広がっている。ASMでは特に重要なシステムに対してアクセスを厳格に管理し、誰からアクセス要求があったかを監視することが重要だ。こうしたプロセスを「IDガバナンス」と呼ぶことがある。

3．標準的な構成要件の策定

　組織が大規模になるほど、部門ごとに使用するハードウェアやソフトウェアは多様になり、システムの構成要件はばらばらになりがちだ。安全性を高めるにはシステムの構成要件を標準化することが大切だが、システムが複雑化するほど共通の基準は定めにくくなる。とはいえ、異なる基準は脆弱（ぜいじゃく）性が生まれるポイントになりかねない。システム全体に共通する基準を策定しつつ、ASMでアタックサーフェスを管理することが重要だ。

4．SBOMによるセキュリティ対策

　ソフトウェアの脆弱性を悪用した大規模な攻撃が発生している。例えば近年では、プログラミング言語・実行環境「Java」のログ出力ライブラリ（部品群）「Apache Log4j」や、ソフトウェアベンダーProgress Software（旧Ipswitch）のファイル転送ソフトウェア「MOVEit Transfer」を悪用した攻撃が注目を集めた。

　「ソフトウェア部品表」（SBOM）がある。SBOMを使ってソフトウェアのコンポーネントや依存関係を管理することは、脆弱性を特定して迅速に対策を講じることに役立つ。ソフトウェア開発者やセキュリティチームはASMの一環としてSBOMを活用することで、悪用される可能性のある脆弱性を特定し、アタックサーフェスを減らせるようになる。

5．不要なシステムの削除

　組織には、インターネットに接続しているものの十分に管理されていないシステムが存在する場合がある。放置された古いシステムは攻撃の入り口になりかねない。以下はその一例だ。

• 古いWebサーバ
• 過去のユーザーアカウント
• Amazon Web Services（AWS）のクラウドストレージ「Amazon S3」（Amazon Simple Storage Service）の公開されているバケット（データ保存領域）

　組織はこうした対象を探し出し、迅速に修正したり削除したりすれば、攻撃リスクを下げることができる。

6．アクセスポイントの削減

　ネットワーク機器などインターネットへのアクセスポイントもアタックサーフェスになり得る。インターネットへのアクセスポイントを削除したり統合したりすることで、その数を減らすことが重要だ。

　アタックサーフェスを削減するための万能な方法はない。本稿で紹介したASMの6つのポイントを軸に、全社で取り組むことが大切だ。