【ITニュース解説】ALSI、外部公開IT資産のリスクを可視化するクラウド型ASMサービス「InterSafe Cybersecurity Rating」

アルプス システム インテグレーション株式会社（ALSI）は、新しいクラウド型ASM（Attack Surface Management）サービス「InterSafe Cybersecurity Rating」を11月2日から提供開始すると発表した。このサービスは、企業の外部に公開されているIT資産が抱えるセキュリティリスクを明らかにし、管理する手助けをするものだ。

ここで言う「外部公開IT資産」とは、企業がインターネットを通じて外部に公開しているあらゆる情報技術（IT）関連の資産を指す。具体的には、自社のウェブサイトやウェブアプリケーション、メールサーバー、VPNなどのリモートアクセス用ゲートウェイ、顧客情報などを扱うデータベース、あるいはクラウドサービス上に構築されたシステムなどがこれに該当する。現代の企業活動において、これらのIT資産は不可欠であり、日々その数は増え続けている。しかし、これらの外部に公開されたIT資産は、インターネットに接続されているがゆえに、常に悪意ある第三者からの攻撃の対象となる。不正アクセスや情報漏洩、サービス停止などの被害を防ぐためには、自社がどのようなIT資産を公開しているのかを正確に把握し、それらがどのようなセキュリティ上の弱点（脆弱性）を抱えているかを常に監視・管理する必要がある。これを怠ると、思わぬところから攻撃を受け、企業の信頼失墜や事業継続の危機に繋がりかねない。

「ASM」とは、「Attack Surface Management」の略で、日本語では「攻撃対象領域管理」と訳される。これは、まさに前述した外部公開IT資産を、攻撃者の視点から徹底的に洗い出し、発見し、管理する一連の活動を指す。企業が自覚しているIT資産だけでなく、社員が意図せず公開してしまったシステム（シャドーIT）や、古いバージョンのままで放置されているウェブサーバー、設定ミスによって誰でもアクセス可能な状態になっているクラウドストレージなど、攻撃者が狙いそうなすべてのポイントを網羅的に特定することがASMの目的だ。このサービスは、そうした攻撃対象領域を自動的に検出・評価し、企業に現在のリスク状況を「可視化」して提示する。

リスクを「可視化する」とは、単にリストアップするだけでなく、それぞれの資産が持つ脆弱性の深刻度や、設定の不備、パッチ適用状況などを総合的に評価し、そのセキュリティレベルを数値や分かりやすい指標で示すことを意味する。これにより、情報システム担当者は、膨大なIT資産の中から、どこに優先的に対処すべきセキュリティ上の問題があるのかを迅速に把握し、効率的に対策を講じることが可能となる。例えば、「このサーバーには既知の深刻な脆弱性があり、今すぐパッチを適用すべき」といった具体的な指示や、全体のセキュリティスコアを提示することで、自社のセキュリティレベルが業界標準と比較してどの位置にあるのかを客観的に評価できるようになる。

本サービスが「クラウド型」で提供される点も注目すべきだ。クラウド型サービスは、企業が自社で専用のハードウェアやソフトウェアを購入・導入する必要がなく、インターネットを通じてサービスを利用できる形態を指す。これにより、初期投資を大幅に抑えられるだけでなく、システムの運用やメンテナンスの手間もALSI側が担当するため、企業の情報システム部門は本来の業務に集中できるという大きなメリットがある。特にセキュリティ対策は継続的な監視と最新情報への追従が不可欠だが、クラウド型であれば常に最新の脅威情報に基づいた評価が提供されるため、自社で専門知識を持つ人材を抱える必要性が低くなる。

ALSIがこのサービスの主な対象として挙げているのは、「セキュリティリスク管理のリソース不足に課題がある中堅・中小企業の情報システム部門」だ。多くの中堅・中小企業では、セキュリティ専門の担当者を配置する余裕がなく、情報システム部門の限られた人数で日常業務と並行してセキュリティ対策も担当しているケースが少なくない。このような状況では、自社のIT資産全体を把握し、常に最新の脆弱性情報を追いかけ、適切な対策を講じ続けることは非常に困難だ。結果として、セキュリティ対策が後手に回り、重大なインシデントに繋がるリスクが高まる。

「InterSafe Cybersecurity Rating」は、まさにこのような課題を抱える企業のために設計されている。専門的な知識や多くの人員を必要とせず、月額4万円（税別）という比較的導入しやすい価格から利用できるため、中堅・中小企業でも効果的なASMを実現できる。このサービスを利用することで、企業は自社の攻撃対象領域全体を把握し、潜在的な脆弱性や設定ミスを早期に発見できるようになる。これにより、サイバー攻撃を受けるリスクを未然に低減し、万が一攻撃を受けた場合でも、その影響を最小限に抑えるための迅速な対応が可能となる。

現代のデジタル化された社会において、企業のセキュリティ対策はもはや大企業だけのものではない。あらゆる規模の企業が、外部公開IT資産のセキュリティリスクに真剣に向き合う必要がある。ALSIが提供する「InterSafe Cybersecurity Rating」は、特にリソースが限られる中堅・中小企業の情報システム部門にとって、自社のセキュリティレベルを向上させ、サイバー攻撃から重要な資産を守るための強力な味方となることが期待される。このサービスは、企業のセキュリティ体制を強化し、安心して事業活動を継続するための基盤を築く一助となるだろう。