台帳だけでは把握しきれない公開資産を可視化。グループ各社と継続的に管理する体制へ

今回は、対象となるグループ各社・部署のインターネット公開資産を継続的に把握する基盤として「Securify ASM」を導入した経緯と運用について、担当者に聞きました。

課題と効果

【 課題 】

• グループ各社・各部署が管理する公開資産を台帳ベースで一元管理していたが、継続的な把握に限界を感じていた
  • 情報の最新化や担当者の特定に手間がかかっていた
  • グループ各社では、事業や体制に応じて管理の形が異なっていた

【 効果 】

• 台帳ベースの手動管理から、システム利用による継続監視へ
  • 従来の台帳では把握しきれなかった資産を含め、100以上のドメインと数百規模のインターネット上の公開資産を継続的に監視
  • 会社によっては担当者や委託先に分散していた管理を、DX推進本部と各社窓口担当者が分担する運用体制へ整理。対象となる担当部署およびグループ会社への展開を進め、各担当者がそれぞれの管理範囲を確認できる状態に
  • 外部公開資産の管理台帳としても活用。注意が必要なミドルウェアが公表された際には、該当する可能性のある公開資産と担当部署を抽出し、影響の有無の調査や注意喚起に活用

手動の台帳管理から、継続的な把握へ

――はじめに、導入の検討から運用が定着するまで、どのような流れだったのか教えてください。

導入にあたっては、市場調査から他製品との比較検証まで、数か月をかけて検討しました。

導入後、運用が安定するまでに約6か月かかりました。最初の2か月は、製品への理解を深めながら各社の資産を登録し、管理対象となる公開資産が適切に把握できているかを精査する期間でした。これを経て、次の2か月で説明会を実施し、先行して導入できる会社から展開。最後の2か月で、その他の部署やグループ会社へと広げていきました。

――グループ全体のホームページ・ドメインについて、導入前はどのように把握されていましたか？

導入前は、グループ各社や新聞社内の各部署が管理するホームページやサーバーの情報を資産管理用のクラウドサービスに登録し、一元管理していました。

しかし、次のような課題がありました。

• 情報が最新化できていない
• 各ホームページ・公開資産の担当者が不明確
• 登録内容の粒度が担当者によって異なっていた

グループ会社によって管理体制は異なり、担当者や委託先に管理が分散しているケースもありました。そのため、保有しているドメインや公開資産の最新状況を継続的に把握することに限界を感じていました。

――インターネットに公開している資産について、どのようなリスクを感じていましたか？

近年は脆弱性を悪用した攻撃やサプライチェーン攻撃が増加しており、自組織だけでなくグループ会社も含めた公開資産が攻撃対象になることに危機感を持っていました。

各ホームページやサーバーの構築・運用は一定のルールの下で実施していますが、構築後の脆弱性管理や更新対応については、各社の体制や事業特性に応じた進め方になっており、全体を同じ基準で把握できる仕組みがあるとよいと考えていました。

一般に、次のような点は攻撃の入口になり得ます。

• 古いソフトウェアの利用
• 検証環境など十分なメンテナンスやセキュリティー設定が行われていない可能性があるサーバー
• 用途が明確でないまま残っている設定

そこで、インターネット側から確認できる外部公開資産を継続的に把握する仕組みが必要だと考えました。

ASM（アタックサーフェスマネジメント）を導入し、グループ全体のインターネット公開資産の見える化と、脆弱性管理の標準化を進めることにしたのは、こうした背景からです。

グループ規模での運用に耐えられるかが、選定の軸

――他のツールもご検討されたなかで、決め手になった点はどこでしたか？

複数製品を当社の利用環境で比較検証しましたが、主に次の点を評価しました。

• 当社が想定する数のグループ会社・担当者で運用できること
• 各社担当者へ権限を委譲しやすいこと
• 資産の棚卸しや可視化機能が優れていること
• 操作が分かりやすいこと
• コストと機能のバランスが良いこと
• 当社の担当者が主体となって継続運用できること

特に読売新聞グループでは、本社だけでなく多数のグループ会社への展開が前提でした。

そのため、資産管理から脆弱性管理までを各社の担当者と分担しながら運用できることに加え、当社の運用要件に合わせた機能改善へ柔軟に対応いただけたことが大きな決め手となりました。

具体的には、当社から要望していた「サブドメイン単位での管理」や「担当部署ごとの権限分離」について、対応方針や機能リリース予定を明確に示していただけたことが挙げられます。

想定以上の可視化と、「管理台帳」としての活用

――実際にお使いになって、想定と違った点・意外だった点はありましたか？

従来の台帳管理では確認できていなかった資産や対応すべき課題を把握できたことが印象的でした。

試用段階では、ドメインを登録するだけで関連する資産が検出され、そのまま脆弱性診断が実施されました。検出された内容は試用中から担当者に対応を依頼し、修正後に検出されなくなったことも確認できています。

現在は数百規模のホームページを継続的に監視しています。各社はそれぞれの管理範囲を、グループ本社は対象の全体像について、公開資産の状況を把握できるようになりました。また、従来の台帳ベースの管理では把握しきれなかった資産も確認できるようになりました。

――印象的な活用事例があれば教えてください。

ASMは定期的なスキャンによって資産の情報が更新されるため、台帳を手作業で更新する場合に比べ、資産の変化を継続的に把握しやすくなりました。

ASMには、自動での情報収集と手動での登録を組み合わせることで、どのドメインで、どのソフトウェアが動いていて、どの組織が管理しているのかという情報が蓄積されています。そのため、脆弱性の検出だけでなく、特定のソフトウェアを使っている資産を抽出する用途にも活用できます。

例えば、注意が必要なミドルウェアが公表された際には、該当する可能性のある公開資産と担当部署を抽出し、影響の有無の調査や注意喚起に活用しています。外部公開資産の管理台帳として使えることは、運用面で大きな助けになっています。

ASMは資産と脆弱性を継続的に把握する仕組みです。検出結果をどのように活用し、対処につなげるかという運用体制が重要になるため、その点については担当者へ周知を続けています。

――社内での運用は、どのような形でしょうか？

Securify ASMについては、DX推進本部が全体の管理を担い、各社・各部署の担当者と分担して運用しています。

Securifyのチーム機能を活用し、各エンドポイントと担当部署・担当者を紐付けています。担当者は自分が管理するシステムのASMの検出結果を毎日メールで確認し、検出した脆弱性の数が上昇するなど、必要に応じてSecurifyにログインして詳細を確かめた上で対応します。

この「チーム機能」や「サブドメイン単位での管理機能」については、当社の要望を受けて改善を進めていただきました。また最近も、管理対象の識別性向上を目的として要望していたメモ機能追加についても対応いただき、運用のしやすさが着実に向上しています。

これも当社の要望で実現したのですが、「脆弱性が0件の場合でも通知メールが送信される」ため、担当者がASMの存在を忘れず、継続的にセキュリティーを意識するきっかけにもなっています。

グループ展開で生まれた、現場の変化

――多数のグループ会社に展開するにあたり、各社担当者の反応はいかがでしたか？

現場からは、可視化できてよかったという声や、これまで把握していなかった資産が見つかったといった気づきがありました。必要性は感じていたものの、各社がそれぞれ仕組みを整えるよりも、共通の基盤があるほうが進めやすい状況でした。そうした中でDX推進本部がASMの環境を用意したことが、ありがたかったという声もありました。

また、議論の土台ができたことも大きかったと思います。これまではゼロベースで話していた対応の相談を、本社とグループ会社が同じ検出結果を見ながら進められるようになりました。

展開にあたっては、開発元のスリーシェイクに説明会を実施していただいたことも後押しになりました。

グループ全体への拡大と、運用の定着へ

――グループ各社への展開について、現時点でお考えのことをお聞かせください。

目標としていたグループ会社への展開は完了しています。

今後は、検出された脆弱性について、必要性と優先度を判断し、継続的に対応できる運用を定着させたいと考えています。また、新たな脆弱性が公表された際の対応の流れも、継続的に見直していきます。

ASMを脆弱性の確認だけに用いるのではなく、インターネット上の資産を継続的に把握し、適切な管理と対応につなげるための運用基盤として活用しています。

次のテーマは「ベースラインの設定」

――体制づくりを進めるうえで、課題に感じていることはありますか？

ベースラインの設定です。

グループ各社は業種や業態、規模も多様なため、求められる水準も一律ではありません。これまでも一定のレベルは求めてきましたが、各社の実情に合った基準をどう設計していくかは、引き続き取り組んでいきたいテーマです。

――最後に、同じようにグループ会社や委託先に資産管理が分散している組織へのアドバイスと、Securifyに期待することをお聞かせください。

公開資産を継続的に把握することに課題がある組織では、ASMの活用は検討できる選択肢の一つだと思います。ただし、検出結果を担当者の確認や対応につなげる運用体制も合わせて整える必要があります。

Securifyに期待するのは、新たに公表された脆弱性情報が、検出や確認に利用できるようになるまでの時間がさらに短くなることです。

少し長い時間軸の話をすると、AIをはじめとする技術が急速に進展するなか、ASMに求められる機能や役割も今後変化していくと考えます。次の世代のASMのあり方を一緒に考え、その変化に対応していくことを期待しています。

――引き続きSecurifyがお役に立てるよう、サービス向上に努めてまいります。本日はありがとうございました。

※本記事は2026年9月に取材した内容をもとに構成しています。記事内のデータ、組織名などは取材時のものです。