内閣の情報機関NISCで「データ漏洩」の可能性...自身の「脆弱性」を認識できていないことの恐ろしさ

アタックサーフェス・マネジメントは、脅威インテリジェンスを補完する組織のセキュリティ戦略の一部として組み込まれる。どういうことかと言うと、企業や組織にある潜在的な脆弱性（セキュリティ上の穴）を特定し、サイバー犯罪者に悪用される前にそれらを軽減するための対策を実装するのである。

それを実現するには、まず企業や組織の資産（ネットワークに繋がったシステムやサーバ、データなど）をすべて包括的に評価して、脆弱性だけでなく設定ミスなどの内部のリスク要因を洗い出す。

アタックサーフェス・マネジメントに不可欠なもの

「エクスターナル・アタックサーフェス・マネジメント（外部攻撃対象領域管理）」も必要だ。Webアプリケーション、API、クラウド環境などすべての外部向けシステムと資産の分析である。その後、脆弱性を特定する攻撃対象領域の分析が行われる。

それによって問題を発見すると、ここからは少し専門的になるが、導入しているソフトウェアやシステムなどにある脆弱性へのパッチ（修正プログラム）を適用し、アクセス制御ポリシーを実施（ユーザーからのアクセスをコントロールする）するなど措置を行う。不正アクセスをテストで試行して監視することもある。

このアタックサーフェス・マネジメントのために脅威インテリジェンスは不可欠であり、そのコンビネーションが、サイバー攻撃者たちが不正アクセスなどを成功させるリスクを軽減する。ぜひこのアタックサーフェス（攻撃対象領域）・マネジメント（管理）は覚えていてほしい。

こうした対策が、政府系サイバー攻撃グループやサイバー犯罪者たちの脅威から、企業や組織、ひいては国家や国民の生命財産を守ることにつながるのだ。脅威がかつてなく複雑化・高度化している今、アタックサーフェス・マネジメントが注目されるのは必然だと考えられる。サイバー攻撃への対策も、攻撃者らの進化に伴って、レベルを上げていくことが不可欠だ。