公開した覚えのない情報資産が、企業のWebセキュリティリスクになる時代です。
今回は、ASMの基本から、Webセキュリティに関する内容をお伝えします。
なぜ今、「見えていない公開資産」が問題になるのか
企業のWebセキュリティというと、本番サイトの基本的なセキュリティ対策やログイン画面を守ればよい、と考えがちです。
ですが実際には、古い検証環境、閉じたつもりの管理画面、更新されていない外部公開機器など、担当者が把握しきれていない資産が攻撃の入口になることがあります。
IPAも2026年春の注意喚起（※1）で、長期休暇中は管理者不在によって対応が遅れやすく、外部公開機器の脆弱性や設定不備が被害拡大につながると案内しています。
さらにIPAは、侵害された機器がORB（Operational Relay Box：不正通信の中継点）となり、意図せず他組織への攻撃に加担するリスクにも触れています。情報漏えいだけでなく、サービス停止や踏み台化まで視野に入れて公開資産を見直すことが、いまの企業Web担当者には欠かせません。
（※1） https://www.ipa.go.jp/security/anshin/heads-up/alert20260420.html
ASMは、外から見える自社を把握する考え方
そこで重要になるのが、ASM（Attack Surface Management：攻撃対象領域管理）です。
難しそうに聞こえますが、最初の一歩はシンプルです。自社のドメイン、サブドメイン、公開中のサーバー、API、検証環境などを洗い出し、外部から何が見えているのかを把握することです。ASMは高価な製品の話というより、まず「自社がどこまで外に見えているか」を確認する考え方だと捉えると分かりやすいです。
ここで大切なのは、資産を見つけるだけでは終わらないことです。
徳丸先生も5月のQiita記事で、生成AIが提案したパスワード保護実装に脆弱性が混入していた事例を検証し、見た目には問題なさそうな実装でも、基礎知識がなければ危険を見抜けないことを示しています（※2）。ASMでも同じで、「見つけた資産が安全かどうか」を判断する目が必要です。
（※2） https://qiita.com/ockeghem/items/804a69dcd3c6930b7676
ASMを理解するには、Webセキュリティの基礎が不可欠
では、その「判断する目」はどこで身につくのでしょうか。
答えは、Webセキュリティの基礎です。例えば、どこから攻撃されるのかを知るには攻撃経路の理解が必要ですし、公開資産の状態を確かめるには、ポートスキャンや脆弱性診断の考え方を知っておく必要があります。ここを飛ばしてしまうと、資産を洗い出しても優先順位がつけられません。
徳丸基礎試験（※3）の範囲には、HTTPやセッション管理といった基礎に加えて、Webサーバーへの攻撃経路、Nmapによるポートスキャン、OpenVASによる診断、OWASP ZAPによる自動スキャンなどが含まれています。
実務試験（※4）ではさらに、診断やAPIまわりを含む、より実務寄りの理解へ進めます。つまりASMは、まったく新しい別分野ではなく、基礎学習の延長線上で理解しやすくなるテーマだといえます。
（※3） https://www.phpexam.jp/tokumarubasic
（※4） https://www.phpexam.jp/tokumarukaiden
学び直しの入口として、徳丸試験を活かす
ASMが気になる企業ほど、実は必要なのは「ASMという言葉の暗記」ではなく、公開情報資産を正しく見極めるための土台です。
最新情報を追うだけでなく、基礎をアップデートする姿勢が、これからのWebセキュリティではますます重要です。
これから学ぶなら、まずはウェブ・セキュリティ基礎試験（徳丸基礎試験）で土台を固め、さらに実務で生かしたい場合はウェブ・セキュリティ実務知識試験（徳丸実務試験）へ進む流れが自然です。公開資産の見える化を「やって終わり」にしないためにも、診断・攻撃経路・脆弱性の見方を体系的に学んでおく価値は大きいです。
ぜひご興味あれば、徳丸本や徳丸試験のページもご覧ください。
【徳丸本】
体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生まれる原理と対策の実践
徳丸浩のWebセキュリティ教室
