NISCの横断的アタックサーフェスマネジメント（ASM）事業では、以下の具体的な活動が行われます：
- IT資産の情報収集と分析：
NISCは、各府省庁、独立行政法人、指定法人の情報システムを対象に、組織の外部（インターネット）に公開されているサーバやネットワーク機器などのIT資産の情報を収集し分析します[3][5]。 - リスクの継続的な検出と評価：
収集された情報を基に、これらのIT資産に存在する脆弱性などのリスクを継続的に検出し、評価を行います[3][5]。 - 脅威対策の実施：
検出されたリスクに基づいて、適切な脅威対策を実施します[5]。 - システムの脆弱性の是正：
発見された脆弱性に対して、随時是正措置を講じます[5]。 - 継続的なモニタリング：
時間の経過とともに変化するアタックサーフェスを継続的に監視し、セキュリティ強化に努めます[4]。
この横断的ASM事業は、2022年12月に策定された国家安全保障戦略に基づいて実施されており、サイバー安全保障分野での対応能力向上を目的としています[5]。政府機関のシステムを常時評価し、脅威対策やシステムの脆弱性を随時是正するための仕組みを構築することが主な目的です。
この取り組みは、経済産業省が公開した「ASM導入ガイダンス」の考え方とも一致しており、組織の外部からアクセス可能なIT資産を発見し、それらに存在するリスクを継続的に検出・評価するプロセスを実践しています[1][2]。
NISCの横断的ASM事業は、政府機関全体のサイバーセキュリティ態勢を強化し、潜在的な脆弱性や攻撃経路を特定・管理することで、サイバー攻撃からの防御能力を向上させることを目指しています。
Citations:
[1] https://www.meti.go.jp/press/2023/05/20230529001/20230529001-a.pdf
[2] https://bs-square.jp/blog/index.php/2024/01/29/meti_asm/
[3] https://www.nisc.go.jp/pdf/press/20240719NISC_press.pdf
[4] https://www.trendmicro.com/ja_jp/what-is/asm.html
[5] https://internet.watch.impress.co.jp/docs/news/1610260.html