セキュリティアセスメントの企業における重要な意味・目的とは？

セキュリティアセスメントとは「企業や組織が保有するIT資産にどのようなリスクがあるのかを調査し、客観的な分析・評価する施策」です。外部提供のSaaS・プラットフォームの利用拡大によるIT資産の分散や、未管理資産（シャドーITなど）の増加など、IT資産の管理状態の課題解消に役立ちます。

また、自社の社会的な信頼維持にも活用できます。情報漏えいによる社会的信頼の失墜を防止するために、定期的な調査によってIT資産を適切に把握します。ISMS（Information Security Management System）などの国際規格の取得にも有効であり、自社の安全性を社会にアピールするためにも役立ちます。

独自モデルに分類してセキュリティアセスメントの違いや役割を解説

「セキュリティアセスメント」にはいくつかの種類があり、実施目的や対象範囲などで使い分けられるのが一般的です。グローバル企業の中には複数のアセスメントを併用することで、セキュリティ対策を効率的に進める場合もあります。下記は編集部が独自に整理した代表的なセキュリティアセスメントの一覧です。

アセスメントの種類	調査手法	実施タイミングの一例
セキュリティレーティング	自社やサプライヤーの公開情報全般を自動ツールで評価しスコア化	脆弱性の有無を調査する時、もしくは年に数回の頻度で定期実施
ASM（Attack Surface Management）	自社の公開情報全般評価を定期に調査し、場合によってはアクティブスキャン	脆弱性の有無を調査する時、もしくは年に数回など定期実施
脆弱性診断	特定のネットワーク・システムに潜む脆弱性を網羅的に洗い出し	セキュリティレーティング・ASMによる脆弱性の特定後、もしくはシステム更新後
コードレビュー	コードレベルの課題を防ぐために自動及び手動で実施	脆弱性診断とほぼ同じタイミング
ペネトレーションテスト	攻撃者視点でアプリ単位に架空の攻撃を仕掛けて安全性を確認	ASM・脆弱性診断の後、もしくはアプリのアップデート後
リスクアセスメント	脆弱性の解決優先度（組織における重要度）を自動・手動で評価	脆弱性を明らかにした後に情報整理・改善を目的に実施
セキュリティギャップ分析	対策が不足している脆弱性を主に手動で評価	運用ポリシーと技術面のギャップを確認したいとき
コンプライアンスアセスメント	担当者インタビューや内部監査	組織改編や人事異動などの時期
オンサイトサーベイ（現地調査）	システムやポリシーなどを包括的に現地調査	拠点増加・事業拡大などに際して現状調査や整理のために実施

ここからはアセスメント群を4つのモデルに分類して解説します。なお、このモデルはIIJ編集部で独自に整理しているため、あくまでも参考の一つとしてもらえますと幸いです。

モデル1：セキュリティレーティング・ASMなどの「広域アセスメント」

セキュリティ対策のための情報整理を行うのが「広域アセスメント」です。上記の表においてセキュリティレーティング及びASM（Attack Surface Management）が該当し、主に以下のような場面で活用されます。

「セキュリティ対策の第一歩」としての役割を担い、外部公開済みのIT資産の中で攻撃の起点となり得る領域がないか調査します。また、セキュリティアセスメントの中では短期間で広範囲を調査できるため、セキュリティ意識の高い企業では“定期健診”のように毎月実施することも少なくありません。

モデル2：脆弱性診断・ペネトレーションテストなどの「技術アセスメント」

「技術アセスメント」は、自社の内部システムやネットワークを主な対象として、詳細なセキュリティ評価を行います。以下の目的から脆弱性診断やペネトレーションテスト、コードレビューといった調査手法で実施されます。

特に脆弱性診断は技術アセスメントを代表するソリューションであり、多くのITベンダーが様々な診断手法で提供しています。

1. Webアプリケーション診断：ECサイト・会員サービス・業務アプリなどを調査
2. プラットフォーム診断：ネットワーク機器・サーバー・OSなどの基盤調査
3. クラウド環境診断：AWS・Azureといったクラウド環境の設定ミスなどを調査
4. スマートフォンアプリ診断：iOS・Android内のアプリにある脆弱性の調査
5. 海外拠点のIT資産診断：本社が把握していない未管理資産を含む包括調査

モデル3：リスクアセスメント・ギャップ分析などの「組織アセスメント」

「発見されたリスクの中で、どれを優先して対応すべきかを整理する」のが「組織アセスメント」であり、主にコンサルティングファームのサイバーセキュリティ部門などが組織改善のためのサービスを展開しています。

例えば、リスクアセスメントは技術アセスメントなどで明らかになった複数の脆弱性に優先度を付け、ギャップ分析は主に脆弱性のあった環境が運用ポリシーなどの規定とどれほど乖離しているのかを整理する目的で活用します。

モデル4：現地調査（オンサイトサーベイ）などの「総合アセスメント」

「総合アセスメント」では、技術・組織の両面から企業全体のセキュリティ状況を立体的に把握します。技術的な観点だけでなく、運用プロセスやガバナンス、物理的な管理状況など、複数の視点を組み合わせて総合的にリスクを判断できる点が特徴です。

例えば現地調査（オンサイトサーベイ）では、外部調査員が直接現地に赴き、物理的な入退室管理やネットワーク機器の設置状況などのIT環境を調査して、セキュリティリスクを評価します。また、ITガバナンスを目的とした調査では公認情報システム監査人（CISA）の資格を持つ専門家が、現地に赴き調査する場合もあります。下記記事では現地調査とASM・脆弱性診断などを比較し、セキュリティにおける役割やユースケースを徹底的に解説していますので併せてご確認ください。

セキュリティアセスメントの実践的な選び方

ここからは比較検討段階で迷いがちな広域アセスメント・技術アセスメント・総合アセスメントについて深掘りします。まずは「自社のIT資産に関する何を知りたいのか」という視点で下記項目から該当するものを選択してください。

外部公開しているIT資産全体を把握したい

ネットワークやDNSの設定など外部公開しているIT資産を把握したい場合は、広域アセスメント（セキュリティレーティング・ASM）の活用が有効です。広域アセスメントの主な調査対象は以下の通りです。

広域アセスメントでは上記のIT資産の状態を一括で調査・評価するため、一度の調査で「グループ全体を俯瞰し、リスクが疑われる対象を効率的に洗い出すこと」が可能です。調査結果を判断材料にして、セキュリティ対策の優先度を決定するのにも役立ちます。一度の調査で全体を俯瞰して効率的に調査できるのは、脆弱性診断や現地調査にはない特徴といえます。

特定のシステム・ネットワークを詳細に調査したい

内部のWebアプリやネットワーク機器など、対象を絞って調査したい場合は技術アセスメントが向いています。前述している通り、技術アセスメントは、業界業種・事業規模問わずニーズが拡大しているモデルであり、セキュリティベンダーから多種多様なソリューションが展開中です。

特にニーズの高い脆弱性診断については、各ITベンダーが独自の診断ソリューションを開発・提供しており、Webアプリケーションやネットワーク、クラウドセキュリティなどソリューションごとに特色があります。なかにはコードレビューを脆弱性診断の一つと類別するケースもあり、診断対象やアプローチによって様々な調査が実施されます。

海外拠点など遠隔地のIT環境の実態を確認したい

現地調査のような総合アセスメントは、国内外の拠点が抱えるIT資産の脆弱性や組織的課題の調査・分析に活用できます。技術アセスメントよりもさらに深く、各システムとその運用主体である組織体制も含めて調査できるモデルです。

例えば、リスクが疑われる拠点に対して、

1. オンライン上で特定のシステムに焦点を絞って深く調査するのであれば脆弱性診断
2. オフラインでIT環境及び運用保守状況の実態を包括調査するのであれば現地調査

といった使い分けができます。また、現地調査の中には調査員と本社の担当者が一緒に現地に赴き、技術的な知識や言語面のフォローがあったうえで拠点の実態を直接確認・理解できるものも存在します。オンライン上の調査では「システムの運用保守の実態」まで調べることは難しいため、システムとその運用実態の両面から確認したい場合は現地調査が最適でしょう。

セキュリティアセスメントを"実施して終わり"ではない

今回はセキュリティアセスメントの基本的な役割などを紹介しました。セキュリティアセスメントを実施する際は、目的（何を調べたいか）に応じて最適な手法を選択し、判明したリスクを評価して具体的な改善策へとつなげることが重要です。 以下のセキュリティ対策の流れをご確認ください。

1. IT資産の把握と棚卸を実施する
   対象となるIT資産を整理し、調査対象を明確にする
2. IT資産のリスクの有無をASM・脆弱性診断などで調べる
   目的に応じて広域・技術・総合アセスメントを選択し、リスクを把握する
3. セキュリティリスクに対応する
   判明したリスクの優先度を整理し、必要な対策を講じる
4. 定期的なセキュリティアセスメントで再評価する
   最新の脅威やシステム環境の変化に合わせて 継続的にアセスメントと改善を繰り返す

セキュリティ対策の流れを確認すると、セキュリティアセスメント（ステップ2）は具体的なセキュリティ施策（ステップ3）を効果的に実施するための重要な役割を担っているといえます。また、ステップ4にある通り、セキュリティアセスメントは一度実施して終わりではなく、定期的な見直しを実施して常に自社のIT環境を最適な状態にしておくことが重要です。

最後にここまでの内容を踏まえて、自社の課題に近いものから詳細を確認してみてください。

広域アセスメントでIT資産全体を把握したい	IIJ Safous Security Assessment アタックサーフェス診断
技術アセスメントで特定システムを詳しく調査したい	IIJ Safous Security Assessment 海外脆弱性診断
総合アセスメントで海外拠点の実態を包括的に確認したい	IIJグローバルオンサイトサーベイソリューション

セキュリティアセスメントは、目的や自社の状況に合わせて適切に選ぶことで最大の効果を発揮します。もし判断に迷われた場合は、専門家がお客様の環境やリスクに応じた最適なプランをご提案いたしますので、以下のフォームよりお気軽にご相談ください。