.jpg)
セキュリティチームが利用できるエクスポージャー管理ツールは数多く存在します。資産インベントリ、脆弱性スキャナー、EDR、クラウドセキュリティプラットフォーム、ID管理システム、攻撃対象領域管理（ASM）プラットフォーム、SIEMなどが挙げられます。それぞれが、環境に関する特定の洞察を提供します。
それでもなお、私たちは同じ問いを繰り返し投げかけている。「今、私たちは一体どこで危険にさらされているのか？」
では、何が問題なのでしょうか？これだけのツールがあるなら、何が再設定されるべきか、あるいはどこへのアクセス権を削除すべきかがわかるはずではないでしょうか？答えは、データが不足しているからではありません。そのデータが明確でないからです。
問題は可視性ではなく、断片化にある
ほとんどのセキュリティプログラムは、独立して動作するように設計されたシステムに基づいて構築されています。各ツールは、それぞれ異なる課題に対応しています。CAASMツールは資産を追跡し、脆弱性スキャナーは脆弱性を特定し、別のツールはアクティビティを記録し、また別のツールはポリシーを適用します。これらはいずれも有用ですが、実際の運用環境を正確に反映し、組織のセキュリティ態勢に直接的な影響を与えるものはありません。
CISOやセキュリティ責任者が次のような質問をされたとき：
- 今、私たちは危険にさらされているのでしょうか？
- 本当に重要なリスクとは何か？
- これはビジネスにどのような影響を与えるでしょうか？
答えはすぐには得られません。情報を集約する必要があり、多くの場合、時間的制約の中で複数のシステムにまたがり、手作業で行わなければなりません。そのため、CISOや経営陣は、信頼できる根拠がないまま、重大な決断を下さざるを得ない状況に追い込まれます。
現代の環境は、従来のモデルを覆した
課題はツールそのものではなく、環境そのものが変化したという点にある。
今日の企業は、その性質上、常に変化し続けています。システムは絶えず起動や停止を繰り返しています。アクセス権限はプログラムによって付与されます。データは、明確な境界線なく、マルチクラウド、SaaS、およびID管理システム間を移動します。同時に、非人間ID（NHI）も急増しています。サービスアカウント、API、ワークロード、そしてAI駆動のプロセスが環境全体で動作しており、その数は多くの場合、人間の数を大幅に上回っています。
攻撃者はこうした現実に対応しています。彼らは、単一の脆弱性を悪用したり、境界線を突破したりすることだけに頼っているわけではありません。環境内を移動し、正当なアクセス権や権限昇格を利用して攻撃経路を構築し、通常の動作に溶け込み、システム間の隙間を突いて攻撃を行います。
その結果、エクスポージャーはもはや静的なものではなくなりました。それは、システムの挙動や相互作用を通じて絶えず生み出されるものなのです。
アイデンティティセキュリティやクラウドセキュリティといった、従来のリスク管理アプローチでは、こうした変化に対応できていません。これらは環境の一部しか把握していないため、特に管理対象外の資産、アイデンティティ、クラウド上の活動において、死角が残り続けています。また、リスクを文脈の中で存在するものではなく、単なる問題点のリストとして扱っています。さらに、現代の攻撃がシステム全体でどのように展開されるかを反映しているケースはほとんどありません。
何を変える必要があるか
静的な測定から、継続的な理解へと移行する必要があります。そのためには、まず「エクスポージャー」を異なる視点から捉え直すことから始めなければなりません。文書上の情報を見るのではなく、実際に稼働している状況に注目するのです。誰がアクセス権を持っているかだけでなく、そのアクセス権がどのように利用されているかを見極める必要があります。脆弱性がどこにあるかだけでなく、実際の活動の中でそれが悪用される可能性があるかどうかも確認しなければなりません。さらに、エクスポージャーの検証を徹底する必要があります。
これは技術の変革であると同時に、視点の転換でもある。
つまり、次のように移動させるということです：
- 資産リストから運用環境へ
- 孤立した所見から関連するリスクへ
- 仮定から証拠へ
被ばくデータを被ばくの実態へと変換する
現代のリスクに対応するためには、セキュリティチームは、攻撃対象領域全体で実際に何が起きているのかを的確に把握する手段を必要としています。そのためには、証拠となるデータ層、すなわちシステム間の実際の通信、実際の動作、そして実際の相互作用を反映した何かが必要となります。
その視点からリスクの状況を捉えると、全体像がより明確になります。チームは、何が稼働中か、何が管理対象外か、システムがどのように接続されているか、そしてどこにリスクが生じているかを、重要な観点から把握できるようになります。単に情報を寄せ集めるのではなく、リスクの状況が変化していく様子を、一貫した視点で把握することができるのです。
実際にはどのような形になるのでしょうか？
リスク管理が現実を反映しているとき、その結果は有意義な形で変化する。
セキュリティ責任者は、推測に頼るのではなく、確信を持って重要な質問に答えることができるようになります。チームはデータの相関分析に費やす時間を減らし、重要な課題への対応により多くの時間を割けるようになります。また、組織は、サイバーリスクが時間とともに低減していることを、具体的な証拠をもって示し始めることができます。これは、監査の場以外でも、セキュリティ対策が有効であり、セキュリティ態勢が継続的に改善されていることを証明しなければならないという、今日のCISOが直面しているプレッシャーを考えると、特に重要なことです。
要約：リスクへの向き合い方を変えてみましょう
エクスポージャー管理が機能していないのは、セキュリティチームが努力や投資を怠っているからではありません。現代の環境や攻撃の手口の変化に、そのモデルが追いついていないからです。
この問題を解決するには、断片的な可視化の枠を超えて、曝露に関する統一された、証拠に基づいた理解へと進む必要があります。