Vectra AIプラットフォーム
リスクを低減し、攻撃を阻止し、セキュリティ態勢を強化するAI駆動型プラットフォーム
Vectra AI vs その他のすべて
比較ガイド
セキュリティ運用のユースケース
最新のアタックハブ
産業
セキュリティ運用のユースケース
すべてのユースケースを見る
アタックサーフェス監視とは、既知のアセットを継続的に監視し、リスクに関連する異常な変化を検知する仕組みです。これは、24時間体制で稼働するセキュリティ対策プログラムの一環であり、新たに開かれたポート、有効期限が切れた証明書、あるいは一夜にして公開されてしまったストレージバケットなどを即座に検知します。しかし、この用語は「資産の可視化」「管理」「脆弱性スキャン」といった概念と混同されがちであり、多くのチームが、そもそも専用の機能が必要なのかどうか判断に迷っているのが現状です。
本ガイドでは、そうした混乱を解消します。モニタリングを正確に定義し、モニタリング・ループの仕組みを詳しく解説するとともに、アタックサーフェス管理や 継続的脅威露出管理（CTEM）との違いを明確にします。さらに、何をどのくらいの頻度で監視すべきか、その有効性をどのように測定するか、そしてなぜAIやエージェント層が監視が最も困難な領域になりつつあるのかについても解説します。 監視プログラムの範囲を策定するSOCリーダーであれ、取締役会に提示できる指標を必要とするCISOであれ、本書は基礎となる必携の参考資料です。
アタックサーフェスの監視とは、組織の既知のインターネットに公開されている資産や内部資産を継続的に監視し、新たな開放ポート、有効期限切れの証明書、外部にさらされたサービス、設定の逸脱など、リスクをもたらす変化がないかを確認する取り組みです。これは継続的に実行されるため、特定の時点での検出や定期的な脆弱性スキャンとは異なります。
この区別が重要なのは、3つの関連する概念が日常的に混同されているためです。ディスカバリーとは、資産を発見する行為、つまりサブドメインの列挙、IP範囲のスキャン、そして誰も覚えていなかった忘れ去られたステージングサーバーの発見などを指します。モニタリングとは、すでに把握している資産を監視し、変化があった際にそれを検知する行為です。管理とは、ディスカバリー、インベントリ、モニタリング、優先順位付け、是正措置をすべて含んだライフサイクル全体を指します。モニタリングはアタックサーフェス管理の一機能であり、その同義語ではありません。
ここで重要なのは「継続的」という言葉です。攻撃対象領域は静的なものではありません。クラウドリソースは数分で起動・終了を繰り返します。証明書は独自のスケジュールに従って失効します。開発者が設定フラグを切り替えるだけで、プライベートなバケットがパブリックになってしまうこともあります。実際に被害をもたらす脆弱性は、四半期ごとの評価で捕捉されたものとはほとんど一致せず、その翌日に現れたものなのです。モニタリングの存在意義は、カレンダーに基づいた定期的なチェックではなく、変化が発生したその瞬間に検知することで、そのギャップを埋めることにあります。
ここで重要な概念となるのが「構成のドリフト」です。これは、システムの稼働状態が、正常と確認された基準状態から、徐々に、そして多くの場合意図せず乖離していく現象を指します。ドリフトによって、本来堅牢な資産が知らぬ間に脆弱な標的へと変貌してしまうのです。トラブルシューティングのために一時的に緩和されたまま元に戻されなかったファイアウォールルール、リリース後も有効なまま放置されたデバッグ用エンドポイント、あるいはアクセス権限の変更によってアクセス範囲が拡大してしまったケース――これらはすべてドリフトの一例であり、まさにモニタリングが検知するために設計された対象そのものです。
モニタリングが重要である理由はここにあります。未知の資産や管理されていない資産は、セキュリティ侵害の主な原因となっており、この問題は深刻化の一途をたどっています。2022年頃の調査では、約69％の組織が攻撃対象領域の拡大を報告していましたが、2025年の調査（CSO Online）では、インシデントの原因を管理されていない、あるいは未知のインターネットに公開された資産に帰する組織が73～74％にまで増加しました。 攻撃対象領域が拡大するにつれ、変更の量も増加し、手動による定期的なレビューでは対応できなくなります。人間の追跡能力を超える速度で変化する攻撃対象領域に対処するには、継続的な監視が不可欠です。
モニタリングは継続的なループとして実行されます。まず既知のアセットのベースラインを確立し、そのベースラインに対する変更を検知します。次に、各変更にコンテキスト情報を付加し、リスクに関連する所見についてアラートを発行します。その後、是正措置のために処理を引き継ぎ、新しい状態が参照点となるようベースラインを再設定します。このサイクルは決して止まることがありません。
このループは6つのステップで実行されます：
ベースライン。このループは、各アセットの正常な状態が確認済みのスナップショット（開いているポート、実行中のサービス、証明書の詳細、DNSレコード、および設定状態）から始まります。このベースラインは、その後のすべての変更を評価するための基準となります。正確なベースラインがなければ、「変更」という概念には意味がありません。
検知。モニタリングでは、現在の状態を常にベースラインと比較します。検知には、主に2つの手法が用いられます。パッシブモニタリングは、DNSレコード、証明書透明性ログ、ネットワークメタデータ、クラウド制御プレーンログといった既存のテレメトリ情報を、対象資産に干渉することなく監視します。一方、アクティブモニタリングは、攻撃者が偵察を行うのと同様に、ポートやサービスに対して意図的にクエリを送信し、資産を調査します。成熟したプログラムでは、これら両方を組み合わせています。パッシブモニタリングで広範囲な監視と低フットプリントを実現し、アクティブモニタリングで詳細な分析と確認を行うのです。
エンリッチメント。単なる変更情報――「ポート8080が開かれた」――だけでは、まだ具体的な対応にはつながりません。エンリッチメントによって、どの資産か、どのような業務機能か、そのサービスに既知の脆弱性があるか、資産がインターネットに公開されているか、そして所有者は誰かといった文脈が追加されます。このエンリッチメントによって、変更のストリームが優先順位付けされたリスク情報へと変換されるのです。
スコアリングとフィルタリング。すべての変更が重要というわけではありません。ロードバランサーによるIPアドレスのローテーションは想定内ですが、データベースのポートがインターネットに公開されることは想定外です。スコアリングとフィルタリングにより、無害な変動を排除することで、アナリストはノイズではなくシグナルを把握できるようになります。このステップこそが、多くのプログラムの成否を分ける鍵となります。フィルタリングが不十分だとチームはアラートに埋もれてしまい、過剰だと真のリスクが見えなくなってしまいます。ここでビジネスコンテキストとリスクスコアリングを取り入れることが、誤検知を抑える最も効果的な方法です。
アラートとハンドオフ。リスクに関連する優先度の高い変更については、適切な担当者にルーティングされるアラートが生成されます。理想的には、別途調査を行わなくても対応できるだけの十分な背景情報が含まれています。ハンドオフ機能により、監視と是正措置のワークフローが連携され、検出結果がITSM、チケット管理、またはSOARシステムに統合されます。これにより、変更は単なる未読のアラートではなく、チケット、ランブック、または自動ロールバックといった追跡可能なアクションとして扱われるようになります。
ベースラインの再設定。変更がレビューされ、解決（または承認）されると、ベースラインが更新され、新しい状態が基準となります。ベースラインを再設定することで、同じ予期された変更に対してアラートが永久に発生し続けることを防ぎます。この一連のプロセスは自動化によって支えられています。権威あるガイダンスでは、少なくとも1日1回の更新を伴う継続的な外部環境の検出が推奨されており、現代の攻撃対象領域における変更の量と速度を考えると、自動化されたデータ収集はもはや「贅沢」ではなく「必須」となっています（NCSC）。
最もよくある誤解は、モニタリングと脆弱性スキャンとの違いです。どちらも資産を検査し、リスクを可視化しますが、それぞれが解き明かそうとする問いは異なります。脆弱性スキャンは、「この資産に現在、どのような既知の弱点が存在するか？」という問いを投げかけます。これは、通常は定期的なスケジュールに従って、ソフトウェアのバージョンや設定を既知の脆弱性のデータベースと照合するものです。一方、攻撃対象領域のモニタリングは、「攻撃対象領域にどのような変化が生じ、新たなリスクをもたらしているか？」という問いを投げかけます。これは、設定のずれ、新たな脆弱性の発生、状態の変化を継続的に監視するものです。
スキャンは「深さ優先」かつ「特定時点」での処理ですが、モニタリングは「変更優先」かつ「継続的」な処理です。月曜日に実行されたスキャンでは、水曜日に開かれたポートに関する情報は得られません。 モニタリングは水曜日の変更を捕捉しますが、それだけでは、すべての既知の脆弱性についてすべての資産を徹底的にテストするわけではありません。この2つは相互に補完的な関係にあります。モニタリングは資産に変更があったことを検出し、脆弱性管理は変更された資産が現在悪用可能かどうかを評価します。どちらも互いに代替するものではなく、下流での検知は両方に依存しています。脆弱性の暴露に続く攻撃者の活動については、ネットワーク検知・対応（NDR）が、スキャンやモニタリングでは得られないネットワーク内のシグナルを提供します。
これら3つの用語は、互いに競合する選択肢ではなく、入れ子になった範囲を表しています。モニタリングは継続的な機能です。ASMは、それを包含する体系です。CTEMは、その両方を運用化する戦略的プログラムです。これらがどのように入れ子になっているかを理解すれば、ベンダー主導の用語による混乱の大部分は解消されます。
表：攻撃対象領域の監視（ASM）とCTEMの、範囲、主な成果物、実施頻度、および責任者における違い
アタックサーフェス管理は、より広範な分野です。これには、資産の発見、インベントリの管理、変更の監視、そしてその結果として生じるリスクの優先順位付けが含まれます。監視はこれら4つの活動のうちの1つであり、つまり「監視」を行う部分です。外部アタックサーフェスの監視とは、単にインターネットに公開されている資産、つまり外部の攻撃者が視認できる範囲に焦点を当てたASM監視に過ぎず、独立した分野ではなく、同じ分野の一部として位置づけられます。
継続的脅威エクスポージャー管理（CTEM）は、ASMの上位に位置付けられます。CTEMは、「スコープ設定、発見、優先順位付け、検証、対応」という5つの段階からなるプログラムとして定義されており、ビジネスにとって重要なエクスポージャーを特定し、その解決を推進する戦略的な層です（ガートナー）。ASMはCTEMに「発見」と「インベントリ」を提供し、モニタリングはインベントリを最新の状態に保つための継続的な変更シグナルを提供します。
では、それぞれの用語はどのような場合に適用されるのでしょうか？「モニタリング」は、変化の継続的な検知を指す場合に使用します。「ASM」は、リスクの特定と管理という包括的な取り組みを指す場合に使用します。 リスクの低減をビジネスの優先事項と結びつける組織全体のプログラムを指す場合は、CTEMを使用します。これらの機能に対する市場は、その曖昧さを反映しています。攻撃対象領域管理（ASM）セグメントの2026年の市場規模は、アナリストが境界線をどのように定義するかによって、およそ12億5,000万米ドルから23億5,000万米ドルと幅があります。重要なポイントは構造的な関係にあります：モニタリング ⊂ ASM ⊂ CTEM。
完全なプログラムでは、4つの面をカバーします。それぞれに独自の変化パターンがあり、4つ目の面は、多くのチームがまだカバーできていないものです。
対外向け資産。 外部の攻撃者が最初に目にするインターネットに公開された層です。ドメインおよびサブドメイン、パブリックIPアドレス範囲、TLS証明書とその有効期限、開いているポート、公開されているログインポータルやサービスを監視します。攻撃者の偵察活動はここから始まり、アクティブスキャンを通じて公開インフラストラクチャのマッピングが行われます（T1595) および被害者のネットワーク情報の収集（T1590) 侵入が発生する前。この表面における変化――新たに開かれたポート、新たに公開された管理パネル、未処理のDNSレコードなど――は、誰の目にも明らかであるため、最優先で注意すべき兆候となります。
内部リソース。境界線の内側。サーバーやネットワーク機器の設定のずれ、新たに立ち上がった内部サービス、および横方向の移動経路の変更を監視する。内部の変化は外部の変化よりも目立ちにくいが、その重要性は決して劣らない。なぜなら、すでに内部に侵入している攻撃者が、さらに奥深くへ進む経路を見つける手段となるからだ。
クラウド資産。最も変動の激しい領域です。ストレージバケットとそのアクセスポリシー、IDや権限の設定ミス、API、そして数分間しか存在しない一時的なリソースを監視します。 廃止されずに放置された、あるいは一時的なクラウド資産は、繰り返し発生するパターンです。継続的な検出と変更検知により、資産が作成された時点とセキュリティがそれを認識する時点との間のギャップを埋めることができます。クラウドのスピードこそが、継続的な監視を不可欠なものにしている要因であり、この攻撃対象領域はクラウドセキュリティと密接に関連しています。
AIとエージェントの領域。新たなフロンティアであり、ほとんどの監視プログラムが見落としている領域です。このレイヤーには、シャドーAI（従業員が承認なしに採用した未承認のAIツール）に加え、自律型エージェントが保持するIDや認証情報、ベクトルデータベース、MCPサーバー（Model Context Protocolサーバー、AIエージェントをツールやデータに接続する統合エンドポイント）が含まれます。これらは、従来のCMDBや脆弱性スキャナーでは完全に見落とされがちな、インターネットに接続可能な、多くの場合非常に高い権限を持つ新しいエンドポイントです。 それぞれが独自のドリフト（変化）を持つ新たな資産クラスです。エージェントの権限が拡大したり、コネクタがデータを公開したり、モデルエンドポイントが一般公開されたりします。2026年の調査では、セキュリティ専門家の92%がAIエージェントのセキュリティへの影響について懸念を表明しています（Cloud Security Alliance）。インベントリで見落とされたシャドーITやシャドーAIの検出を含め、この領域を監視することは、新興のエージェンティックAIセキュリティプラクティスの核心的な部分です。
監視の頻度はリスクに見合うものでなければなりません。すべてを継続的に監視するのはコストがかかり、ノイズも多くなります。一方で、監視間隔を長くしすぎると、急速に変化するリスクを見逃してしまいます。解決策は、資産をリスクに応じて階層化し、それに応じて監視頻度を設定した上で、その上にイベント駆動型のトリガーを重ねることです。権威あるガイドラインでは、毎日更新される継続的な外部検出を「上限」ではなく「基準」として位置付けています（NCSC）。
資産のリスクレベル 推奨される監視頻度 対象資産 重要（外部およびクラウド） 継続的 インターネットに公開されているアプリ、パブリックAPI、外部に公開されているクラウドストレージ 高（内部） ほぼリアルタイムまたは1時間ごと ドメインコントローラー、特権ホスト、機密データストア 標準 毎日～毎週 本番環境の内部サービス、機密性の低いワークロード 低 毎週～毎月 隔離された資産、または影響の少ない資産
表：資産のリスク階層に応じたケイデンスのモニタリング
重要な外部資産やクラウド資産は、インターネット全体に公開されており、頻繁に変更されるため、継続的な監視が必要です。こうした資産においては、数分単位の対応が求められます。一方、安定した内部資産については、リスクを実質的に増大させることなく、より長期的な監視スケジュールで運用することが可能です。
イベント駆動型のトリガーは、定期的なスキャンを補完するものです。次のスキャン間隔を待つのではなく、特定のイベントが発生した際にモニタリングが実行されます。具体的には、新しいデプロイ、設定の変更、新たに発見されたアセット、DNSや証明書の変更、合併や買収、あるいはスタックに影響を与える新たな脆弱性などが挙げられます。 実用的なルールとして、新たに公開された悪用可能な脆弱性すべてにイベントトリガーを紐付けることが挙げられます。つまり、CISAの「既知の悪用済み脆弱性カタログ」に脆弱性が掲載され、それが運用中のエッジアプライアンスに影響を与える場合、スケジュールを待つのではなく、直ちに再スキャンを実行すべきです。 イベントトリガーは、ドリフトが発生した正確な瞬間を捉えることで、変更と検出の間のタイムラグを短縮します。全体を通じた目標はバランスです。つまり、実際のリスクを捕捉するのに十分なカバレッジを確保しつつ、チームが監視を完全に無視してしまうようなアラート疲労を避けるための適切なフィルタリングを行うことです。
モニタリングの効果は、何が検出されるか、そしてそれがいかに明確に可視化されるかによって決まります。4つのKPIを用いることで、チームを指標の洪水に溺れさせることなく、その有効性を把握することができます（SOC指標の参照）。
表：コア攻撃対象領域の監視に関するKPI（定義、目標範囲、測定方法を含む）
各KPIは、効果性に直結しています。MTTDが短いということは、侵害が迅速に検知され、攻撃者が利用できる時間が短縮されることを意味し、MTTRが短いということは、侵害が発見され次第、速やかに封じ込められることを意味します。 資産のカバー率が高いということは、死角が少ないことを意味します。監視されていない資産こそが、予期せぬ脆弱性が潜む場所であるため、重要資産の100%カバーは絶対的な目標です。誤検知率が低いことでアナリストの関与を維持できます。ノイズの多いプログラムは、人々を無視するように訓練してしまうため、プログラムがないよりも悪影響を及ぼします。内部目標を設定する前に、各指標について数サイクルにわたってベースラインを確立し、単一の測定値ではなく傾向を追跡してください。
実際の事例は、監視されていない変更がどのような代償を伴うかを示しています。そのパターンは繰り返されます。資産が「正常な状態」から逸脱し、その領域を監視する者がいないため、最終的にセキュリティ侵害へと発展してしまうのです。
表：最近のインシデント、その背景にある監視対象外の資産、およびそれぞれが示す監視上の教訓。
オプタスの情報漏洩は、公開されていたサブドメインと、インターネットからアクセス可能な脆弱なAPIに起因するもので、約950万人が影響を受けた（セキュリティスコアカード). Cerner / Oracle Healthに関連するこの情報漏洩事件は、ドリフトを監視する者がいない場合、従来の「データ移行」サーバーがオンプレミス環境における見落とされがちな侵入経路となり得ることを示した（サプタン・ラボ). 2026年、Tabiq事件では、認証不要の公開クラウドストレージバケットを通じて約100万件のレコードが流出しました。これはまさに、変更検知ルールが検知するように設計された、新たに公開されたバケットそのものでした（プライバシーガイド）。同時期には、ある請負業者が連邦政府のパスワードやクラウドの鍵を公開コードリポジトリに公開する事件が発生した。これは、CISAが指摘した典型的な監視されていないインターネットに公開された資産である（TechCrunch）。これらの事例は米国、オーストラリア、そして日本に及ぶが、共通する要因は一つ――監視が行き届いていない変更だ。いずれのケースでも、影響を受ける領域を継続的に監視していれば、問題がまだ「発見」の段階にあり、「大ニュース」になる前に、その逸脱に気づくことができただろう。発見された秘密を隠蔽し、 <REDACTED> また、調査結果を社内で文書化する際は、example.com のようなサンプルドメインを安全な慣例として扱うこと。
継続的な監視は、主要なセキュリティフレームワークと明確に整合し、年次ではなく継続的な可視性を前提とする傾向が強まっている管理要件を満たします。
表：継続的な攻撃対象領域の監視と、NIST CSF、CIS Controls v8、MITRE ATT&CK との対応関係
継続的な監視は、の「特定」および「検知」機能を直接的に支援します。 NISTサイバーセキュリティフレームワーク — 特に資産管理（ID.AM） — であり、CISコントロール1、2、および7を満たしています。また、これに対抗する MITRE ATT&CK 偵察戦術（0043）同じ表面攻撃者が試行する様子を観察することで。SOC 2、ISO 27001、PCI DSS といったコンプライアンス基準は、いずれも正確な資産台帳と継続的な脆弱性管理を前提としています。モニタリングを「定期的」ではなく「継続的」なものとして扱うことで、これらは単なる形式的なチェック項目から、真の統制へと変わるのです。
現代の監視は、インベントリ中心からシグナル中心へと移行しつつあります。現在、プラットフォームは、個別のツールを寄せ集めるのではなく、継続的な検出、変更検知、リスクコンテキストを一元化しており、最先端の技術ではその対象範囲をAIやエージェントの活動領域にまで拡大しています。重要な問いはもはや「どのような資産があるか」ではなく、「どの変更が攻撃者の真の関心を引くか」へと変わっています。特に、攻撃者が侵入するのではなく、有効な認証情報を使ってログインするケースが増えている現在においてはなおさらです。 機能チェックリストではなく、こうしたシグナル中心の基準に照らして攻撃対象領域監視ツールを評価する方が、より有用な枠組みとなります。
Vectra AIは、現代のネットワークこそが攻撃対象領域であり、オンプレミス、クラウド、ID、AIインフラストラクチャにまたがっているというシンプルな前提から始まります。 レジリエンスは、統合された可観測性、明確な攻撃シグナル、そして情報に基づいたアクションから生まれます。したがって、その攻撃対象領域全体にわたる変化を監視することは、オプションではなく、基盤となるものです。Attack Signal Intelligence 、攻撃者の実際の行動パターンに合致する変化や脆弱性をAttack Signal Intelligence 、ネットワークの脆弱性管理とネットワーク検知・対応を組み合わせることで、そのシグナル中心の視点を攻撃対象領域の外側から内部へと拡張します。その結果、監視は単なる資産リストの延長ではなく、新たなAIセキュリティ領域を含め、優先順位付けされたシグナルの源泉となるのです。
攻撃対象領域の監視とは、継続的な変更検知を行う層であり、セキュリティ対策プログラム全体の信頼性を維持する役割を担います。資産の特定は資産を洗い出し、管理は作業を整理しますが、監視こそが、本来安全であるはずの資産がリスク要因へと変貌する瞬間――新たに開かれたポート、公開されたバケット、権限が過剰なエージェントなど――を察知するものです。その最大の特徴は、攻撃対象領域が絶えず変化し続けるため、監視も決して止まることがないという点にあります。
今後の道筋は実用的なものです。まず資産の現状を把握し、リスクに応じて階層分けを行い、重要な外部およびクラウドの接点を継続的に監視します。さらに、イベント駆動型のトリガーを多層的に配置し、プログラムの適正性を確保するためのKPIを用いて評価を行います。そして、AIやエージェント層が攻撃者にとって最初の標的となる「死角」となる前に、その対象範囲を拡大していく必要があります。
関連分野についてさらに詳しく知りたい場合は、アタックサーフェス管理、継続的脅威露出管理（CTEM）、およびネットワーク検知・対応について学んでみてください。
アタックサーフェスとは、攻撃者がシステムへのアクセス権を取得する可能性のあるすべてのポイントを指します。具体的には、開いているすべてのポート、公開されているAPI、ユーザーの認証情報、および物理的なアクセスポイントなどが含まれます。脅威対象領域は、アタックサーフェスに外部の状況を重ね合わせた、より広範な概念です。これには、アタックサーフェスそのものに加え、活動中の脅威アクターの状況、現在野に流通しているエクスプロイト、特定のセクターや地域に対するリスクを高める可能性のある地政学的状況といった、外部の脅威要因が含まれます。
セキュリティチームにとって、この実用的な区別は優先順位付けにおいて重要です。2つの組織のアタックサーフェスが同一であっても、標的型攻撃が頻発する業界（防衛や重要インフラなど）で事業を展開している組織は、より多くの攻撃者がその侵入経路を積極的に狙っているため、脅威対象領域がより広くなります。アタックサーフェスの管理は、自組織が管理できる範囲、つまり資産とリスクの露出に焦点を当てます。一方、アタックサーフェスの把握は、誰がどのような方法で自組織を標的にする可能性が高いかという情報を補完するものです。
アタックサーフェス管理は、脆弱性管理の包括的な概念です。脆弱性管理は、既知の資産と既知の欠陥に焦点を当てており、管理対象のシステムをスキャンしてCVEを特定し、パッチ適用の優先順位を決定します。一方、ASMはプロセスのより早い段階から開始され、存在すら知られていなかった資産（シャドーIT、忘れ去られたクラウドインスタンス、管理されていないサードパーティ接続など）を特定し、その後、全アタックサーフェスにおける変化を継続的に監視します。
重要な違いは対象範囲です。脆弱性管理は「既知のシステムにどのような欠陥が存在するか」を問うのに対し、ASMは「どのようなシステムがあり、そのうちどれが外部にさらされているか」を問います。脆弱性管理のみに依存している組織は、そもそも資産台帳に登録されていない資産を見落とすリスクがあります。
継続的に。業界は、四半期ごとや年次ごとの定期的な評価から、継続的な自動監視へと断固として移行しています。クラウドのアタックサーフェスはオンプレミス環境よりも急速に変化しており、ワークロード、コンテナ、サーバーレス関数が数分で起動・停止を繰り返しています。Unit 42の「2026年グローバルインシデント対応レポート」によると、インシデントの90％は、いつでも発生し得る設定ミスが原因となっています。CISA BOD 26-02は、この変化を反映し、1回限りの監査ではなく、継続的なエッジデバイスのインベントリ作成を義務付けています。依然として定期的なスキャンに依存している組織は、自社のリスク状況を正確に把握できていない状態で運用していることになります。
CAASMは、ガートナーが定義したカテゴリーであり、CMDB、エンドポイントエージェント、クラウドプロバイダーのAPI、脆弱性スキャナー、ID管理プラットフォームなど、複数のソースから資産データを集約し、すべてのサイバー資産に関する包括的で重複排除されたインベントリを作成することに重点を置いています。EASMが外部の攻撃者から見えるインターネットに面した資産を外部に向けて監視するのに対し、CAASMは内部に向けて、内部資産の可視性を統合します。これら2つの分野は相互に補完し合います。EASMは、攻撃者が境界の外側から何を見ることができるかを特定します。CAASMは、内部チームが境界の内側にあるすべての資産について、統一された正確なビューを確保できるようにします。これらを組み合わせることで、ASMに必要な完全なインベントリが提供されます。
2026年に向けて、エッジデバイスの悪用とIDの侵害は、アタックサーフェスにおける2大リスクとなっています。2025年版Verizon DBIRによると、悪用による侵害の22％が、ファイアウォール、VPN、ルーター、リモートアクセスゲートウェイといったエッジデバイスを標的としており、これは前年比で8倍の増加となっています。一方、Flashpointの「2026年グローバル脅威インテリジェンスレポート」によると、33億件の侵害された認証情報が流通しています。これに対し、CISAはBOD 26-02を発行し、エッジデバイスのインベントリ管理およびサポート終了機器の廃棄を義務付けました。これらの2つのリスク、すなわち「露出しているエッジデバイス」と「侵害されたID」が融合することで、従来の境界防御では対処できない複合的な攻撃経路が生み出されています。
ゼロトラストとは、ユーザー、デバイス、接続のいずれに対しても暗黙の信頼を排除するセキュリティフレームワークです。最小権限アクセスとマイクロセグメンテーションを徹底することで、アタックサーフェスを直接的に縮小し、攻撃者が初期アクセスに成功した後でも到達できる範囲を制限します。ASMは、ゼロトラストに必要な可視性の基盤を提供します。存在すら把握していない資産に対して、最小権限のアクセス制御を適用することはできません。ASMは、すべての資産、ID、および接続を継続的に検知・カタログ化することで、ゼロトラストアーキテクチャに対し、アクセスポリシーを効果的に定義・適用するために必要な完全なインベントリを提供します。
世界のASM市場は、2025年に約10億ドル規模と評価され、年平均成長率（CAGR）21％で推移し、2034年までに50億ドル以上に達すると予測されています。2025年後半にServiceNowがArmisを77億5,000万ドルで買収した件は、市場の成長軌道をさらに裏付けるものであり、ASMが単体のツールから統合されたエンタープライズプラットフォーム機能へと移行しつつあることを示唆しています。市場規模の推計値は調査会社によって異なりますが、その方向性は一貫しています。すなわち、デジタル環境がますます複雑化する中、組織はアタックサーフェスの可視化に多額の投資を行っているのです。