CTEM（継続的脅威エクスポージャー管理）とは
CTEMは、企業が抱えるサイバーリスクを体系的かつ継続的に管理するためのアプローチです。単なるセキュリティツールを指す言葉ではなく、組織全体で取り組むべき一連のプロセスを意味しています。従来の管理手法とどのように異なるのか、以下の表で全体像を整理します。
| 比較項目 | 従来の脆弱性管理 | CTEM |
| 評価の頻度 | 定期的なスキャンや診断 | 継続的かつ動的な監視と評価 |
| 対象範囲 | 既知の脆弱性や特定のIT資産 | クラウドや設定ミスを含む全てのIT資産とプロセス |
| 優先順位付け | 脆弱性の深刻度（CVSSスコアなど） | ビジネスへの影響度と攻撃者の視点 |
ガートナー社が提唱した新しいセキュリティフレームワーク
CTEMは、2022年に米国の調査会社であるガートナー社によって提唱されました。英語のContinuous Threat Exposure Managementの頭文字をとった言葉です。日本語では「継続的脅威エクスポージャー管理」と訳されます。エクスポージャーとは、脆弱性や設定ミスなど、組織がサイバー攻撃の危険に晒されている弱点の露出を指しています。
このフレームワークは、発見されたすべての脅威に対して個別に対応するのではなく、ビジネスへの影響を考慮して対策を講じることを重視しています。ガートナー社は、この手法を導入することでセキュリティ侵害を大幅に削減できると予測しました。そのため、多くの企業が次世代のセキュリティ戦略として導入の検討を進めています。
従来の脆弱性管理との違い
従来の脆弱性管理は、定期的なスキャンによって既知のシステム上の欠陥を発見し、修正パッチを適用する作業が中心でした。しかし、この方法ではシステムの構成ミスや、従業員の不適切な権限設定といった運用上の弱点を見落とす危険性があります。さらに、見つかった脆弱性の数が膨大になると、現場の運用負荷が高まりすぎて対応が追いつかなくなります。
一方でCTEMは、システムの欠陥だけでなく、組織全体に潜むあらゆる弱点を継続的に洗い出します。そして、それらの弱点が実際に攻撃者からどのように悪用されるかをシミュレーションします。自社の事業継続に深刻な影響を与えるリスクを特定し、的確な優先順位をつけて対処できる点が大きな特徴です。
CTEMがサイバーセキュリティで注目される理由
なぜ今、多くの企業が新しいセキュリティのアプローチを必要としているのでしょうか。その背景には、企業のIT環境が急速に変化し、それに伴って攻撃手法も多様化しているという現状があります。セキュリティ環境を取り巻く変化の要因を、以下の表にまとめました。
| 変化の要因 | セキュリティ環境への影響 |
| クラウドサービスの普及 | 社外にデータが分散し管理対象のIT資産が大幅に増加する |
| リモートワークの常態化 | 従業員の端末や自宅のネットワーク回線が攻撃の入り口になる |
アタックサーフェス（攻撃対象領域）の拡大
注目される最大の理由は、アタックサーフェスと呼ばれる攻撃対象領域が急激に拡大していることです。現代の企業活動において、クラウドサービスやリモートワークの活用は一般的なものとなりました。利便性が向上した一方で、社内ネットワークの境界線が曖昧になり、守るべき対象が広範囲に分散しています。
攻撃者は、この分散したIT資産の中から、管理が行き届いていない脆弱なポイントを狙って侵入を試みます。社外に公開されているサーバーの設定ミスや、使われなくなった古いアカウントなどが、格好の標的となります。このように広がった攻撃対象領域を漏れなく把握し、継続的に監視する仕組みが求められているといえます。
リスクの優先順位付けとビジネスへの影響評価の重要性
脅威の数が増加する中で、すべてのリスクに等しく対応することは現実的ではありません。セキュリティ担当者のリソースには限りがあるため、対応の遅れが致命的なインシデントに繋がる恐れがあります。
そこで、どのリスクを優先して処理すべきかを判断する基準が重要になります。単に技術的な深刻度が高いという理由だけで対応するのではなく、そのシステムが停止した場合に自社のビジネスへどれほどの損害が生じるかを評価することが重要です。ビジネスへの影響度を軸に対策の優先順位を決定することで、限られた予算と人員を最大限に活用できます。この合理的な判断基準を提供するのが、CTEMというフレームワークです。
CTEMを構成する5つのステップ
CTEMを実際の組織に導入する際は、定められた手順に沿って継続的な運用サイクルを回していくことが推奨されています。ガートナー社が定義した5つのステップとその概要を、以下の表で確認してください。
| ステップ名 | 概要と主な目的 |
| スコーピング | 守るべきIT資産とビジネスプロセスを明確に定義する |
| 発見 | 対象範囲に存在する資産と潜在的な脅威を洗い出す |
| 優先順位付け | ビジネスへの影響度に基づいて対応の順位を決定する |
| 検証 | シミュレーションなどを通じて実際の攻撃経路を確認する |
| 動員 | 関係部門と連携して対策を実行しプロセスを改善する |
スコーピング（評価範囲の定義）
最初のステップは、組織全体の中から評価の対象となる範囲を明確に定めることです。単に社内のサーバーやパソコンをリストアップするだけでは不十分だといえます。外部のクラウド環境やサプライチェーン、さらには企業のソーシャルメディアアカウントなども含めて検討します。自社のビジネスにおいて、どのシステムやデータが最も重要であるかを特定することが目的です。
この初期設定を正確に行うことで、後続のステップが無駄なく機能するようになります。事業部門とセキュリティ部門が連携し、守るべき対象の認識を合わせることが重要です。
発見（資産と脅威の特定）
定義した範囲内に存在するすべてのIT資産を検出し、潜在的なリスクを洗い出します。ソフトウェアの脆弱性だけでなく、クラウドの設定ミスや不要な公開ポート、漏洩した認証情報なども含めて調査します。ここでは、最新のツールや技術を活用して、攻撃者の視点から自社がどのように見えているかを把握することが求められます。
このプロセスを通じて、担当者がこれまで把握していなかった見えない資産の存在が明らかになることも少なくありません。発見された情報は一元管理され、次の優先順位付けに向けた基礎データとなります。継続的にスキャンを実施し、常に最新の状況を把握し続ける姿勢が大切です。
優先順位付け（リスク評価と対応順位の決定）
洗い出された多数の脅威に対して、対応すべき順番を決定する重要なステップです。ここでは、単一の脆弱性スコアに頼るのではなく、複数の要因を組み合わせて判断を下します。その脅威が実際に悪用される可能性や、対象となる資産の重要度、そしてビジネスへの影響度を総合的に評価します。緊急性の低い問題に時間を割くことを防ぎ、本当に危険なリスクへリソースを集中させることが可能になります。
高度な脅威インテリジェンスを活用して、現在進行形で攻撃者に狙われやすい弱点を特定する工夫も有効です。優先順位を明確にすることで、経営層に対しても対策の妥当性を論理的に説明しやすくなります。
検証（シミュレーションによる攻撃経路の確認）
優先順位の高い脅威が、実際の攻撃でどのように悪用されるかを検証します。ペネトレーションテストや、専用のシミュレーションツールを用いて、攻撃者がシステムへ侵入する経路を再現します。机上の空論ではなく、実際の環境で攻撃が成立するかどうかを確認することが目的です。この検証作業により、単発の脆弱性だけでなく、複数の小さな弱点が組み合わさって重大なインシデントに発展するシナリオを発見できます。
また、自社の既存のセキュリティツールが、想定通りに脅威を検知してブロックできるかどうかの確認にも繋がります。対策を実行する前の最終確認として、非常に大きな意味を持つステップです。
動員（対策の実行とプロセス改善）
最後のステップでは、検証で確認されたリスクを低減するために、具体的な対策を実行に移します。ここではセキュリティ部門だけでなく、ITインフラの管理者や事業部門の担当者など、関係するすべてのチームが協力して動くことが求められます。修正パッチの適用や設定の変更、代替策の導入などを、決められた優先順位に従って進めていきます。
対策が完了した後は、その結果を評価し、運用プロセス全体に改善の余地がないかを振り返ります。一度対策を実施して終わりではなく、環境の変化に合わせて再び最初のステップへと戻り、サイクルを回し続けます。組織全体のセキュリティ対応力を継続的に向上させていくことが、このフレームワークの真の狙いです。
CTEMとASM（アタックサーフェスマネジメント）の違い
CTEMと似た文脈で語られることが多い用語に、ASM（アタックサーフェスマネジメント）があります。どちらも企業のIT資産を管理し、リスクを低減するための手段ですが、それぞれ役割やカバーする範囲が異なります。両者の違いを理解しやすいよう、以下の表に整理しました。
| 比較項目 | ASM（アタックサーフェスマネジメント） | CTEM（継続的脅威エクスポージャー管理） |
| 主な目的 | 外部から攻撃可能なIT資産の可視化と把握 | ビジネス影響を考慮した継続的なリスク管理と改善 |
| カバーする範囲 | 資産の発見と脆弱性の特定が中心 | 資産の発見から優先順位付け、検証と対策の実行まで |
| 視点 | インターネットに露出している領域の監視 | 組織全体のIT資産とビジネスプロセスの保護 |
ASMは攻撃対象領域の可視化に特化している
ASMは、主に外部からインターネット経由でアクセスできるIT資産を洗い出し、監視することに特化した手法です。自社が管理を把握していないシャドーITや、忘れ去られた古いサーバーなどを発見する能力に優れています。攻撃者の視点に立ち、外部からどのように自社が露出しているかを可視化する役割を担います。
しかし、ASMが提供するのは主にリスクの発見までであり、その後の具体的な対応順位の決定や、実際の修復作業までは深くカバーしません。多くの企業では、ASMツールを導入した結果、膨大な数の警告に対処しきれなくなるという課題に直面しています。つまり、ASMは非常に有用なツールですが、それ単体ではセキュリティ対策を完結させることが難しいといえます。
CTEMはビジネス視点でのプロセス全体をカバーする
一方でCTEMは、ASMによって発見された情報を入力データとして活用し、さらに先のプロセスまで対応するフレームワークです。発見されたリスクに対して、ビジネスへの影響度を基準に優先順位をつけ、実際の攻撃シナリオを用いた検証を行います。そして、他部門と連携して対策を実行する「動員」のステップまでを含んでいる点が決定的な違いです。ツールによる単なる可視化を超えて、人間がどう判断し、組織としてどう動くかという運用面までを体系化しています。
ASMはCTEMのプロセスの中の「発見」というステップを強力に支援する要素の一つとして位置づけられます。両者を組み合わせることで、より強固なセキュリティ体制を構築することが可能です。
CTEMの導入が企業にもたらすメリット
新しいセキュリティフレームワークを導入することは、組織にとって大きな決断を伴います。しかし、正しく運用サイクルを回すことができれば、これまで抱えていた多くの課題を解決する糸口になります。CTEMの導入が企業にもたらす具体的なメリットを、以下の表にまとめました。
| メリットの分類 | 具体的な効果と組織への貢献 |
| 運用負荷の軽減 | リスクの高い脅威に絞って対応できるため担当者の工数を最適化できる |
| 予防的対策の強化 | 攻撃者が悪用する前に脆弱性を特定して先回りした対策が可能になる |
セキュリティ対策の効率化と運用負荷の軽減
大きなメリットの一つは、セキュリティ担当者の運用負荷を軽減し、業務を効率化しやすくなる点です。CTEMを導入すれば、ビジネスに深刻な影響を与えるリスクに焦点を当てて対応を進めることができます。緊急ではない軽微な問題は後回しにするという合理的な判断が可能になります。
限られた人員とリソースを、本当に対応が必要な箇所に集中させることができるため、結果として組織全体の防御力向上が期待できます。日々の業務に追われていた担当者が、より戦略的なセキュリティ企画に時間を割けるようになることも期待できます。
最新の脅威に対する持続的な耐性の向上
サイバー攻撃の手法は日々進化しており、一度万全なセキュリティ対策を施したとしても、短期間で陳腐化してしまう可能性があります。
CTEMは継続的なサイクルを回すことを前提としているため、変化し続けるIT環境や新たな脅威に対して柔軟に適応できます。新しいクラウドサービスを導入した際や、組織変更があった場合でも、すぐに新しい状態を評価範囲に組み込むことが可能です。また、検証ステップで実際の攻撃シミュレーションを行うため、机上の防御計画ではなく、実戦で通用する耐性を身につけやすくなります。
インシデントが発生してから対処するのではなく、攻撃される前に弱点を塞ぐ予防型のセキュリティが実現します。これにより、事業停止などの致命的な被害を未然に防ぐ確率を高めることが期待できます。
CTEMを実現するソリューション選定のポイント
CTEMを定着させるには、5つのステップを継続的に回せるソリューションの選定が欠かせません。具体的には、攻撃者視点で外部の攻撃対象領域を継続的に監視し、脅威インテリジェンスと事業影響を踏まえてリスクの優先順位を付けられることが重要です。
加えて、既存のセキュリティ製品と連携して安全な修復まで一貫して支援でき、エージェントレスで導入負荷を抑えつつMTTRを短縮できる仕組みが望まれます。自社で守るべきIT資産を整理したうえで、経験豊富なパートナーとともに要件を満たす製品を比較検討することが、実効性の高い運用体制構築の第一歩となります。
まとめ
本稿の要点をまとめます。
• CTEMはビジネスへの影響度を基準に脅威を継続的に管理する新しいフレームワークである
• スコーピングから動員までの5つのステップを回すことで実効性の高い対策が可能になる
• ASMによる可視化を超えて優先順位付けと検証まで行う点が最大の特徴である
自社のセキュリティ投資を最適化し、変化し続ける脅威からビジネスを守るための第一歩として検討を進めてみてはいかがでしょうか。
サイバー攻撃の高度化に伴い、脅威を継続的に評価・管理するCTEM（継続的脅威エクスポージャー管理）の考え方が注目されています。丸紅I-DIGIOグループでは、CTEMを実現するCheck Pointの「Exposure Management」と、企業のAI活用を安全に支える「AI Security」の取り扱いを開始しました。各ソリューションの特長は、下記のニュースリリースをご覧ください。
Check Pointの新AIセキュリティ製品群の取り扱いを開始 | ニュース | 丸紅I-DIGIOホールディングス株式会社
Exposure Management お役立ち資料
Exposure Managementに関する資料をダウンロードいただけます。
