サイバーセキュリティ対策というと、ウイルス対策ソフトやEDRの導入、ファイアウォールの設定、従業員へのセキュリティ教育などを思い浮かべる方も多いのではないでしょうか。

しかし、このような具体的な対策に取り組む前にまず重要なのが、「自社にどのような攻撃対象が存在するのか」を把握することです。

企業・組織には、例えば以下のような「攻撃を受ける可能性のある資産」が存在しているものの、十分に管理されていないケースがあります。

こうした管理から漏れた資産は、脆弱性への対応や適切な設定が行われないまま放置されやすく、攻撃者にとって格好の侵入口となる可能性があります。

一方で、管理から漏れた資産を自社だけですべて洗い出すのは容易ではありません。

グループ会社や海外拠点まで含めると管理範囲はさらに広がるほか、人事異動や退職などによって、資産の存在や管理担当者がわからなくなっているケースも少なくありません。

そこで本記事では、攻撃者が行う偵察と同じ視点から、自社やグループ会社などの外部公開資産を調査し、サイバーリスクを可視化する「サイバーリスク健康診断」をご紹介します。

「リスクになり得る情報資産が管理から漏れていないか確認したい」「自社にどのような攻撃対象が存在するのか把握したい」「サイバーセキュリティ対策を進めたいが、何から始めればよいかわからない」という企業・組織の方は、ぜひご一読ください。

なぜ外部公開資産の可視化・管理が求められるのか

外部公開資産とは、インターネットを通じて、社外からアクセスできるIT資産のことです。例えば、Webサイトやサーバー、クラウド上のシステム、ネットワーク機器などが該当します。

これらは企業の事業活動を支える重要なインフラである一方、設定不備や脆弱性が存在すると、サイバー攻撃者に狙われ、自社ネットワークへの侵入口になる可能性があります。

こうした、攻撃者が侵入や攻撃の足がかりとして狙う可能性のある領域は、一般に「アタックサーフェス（攻撃対象領域）」と呼ばれます。

そのため、サイバーセキュリティ対策では、個々の資産を守るだけでなく、まず「自社のどのような資産がインターネット上に公開されているのか」「そこにどのようなリスクが存在するのか」を継続的に把握することが重要です。

特に近年は、クラウドサービスの利用拡大などによって企業のIT環境が複雑化しており、外部公開資産を網羅的に把握し、適切に管理する重要性が高まっています。

その背景には、主に以下の3つの理由があります。

ランサムウェア被害を防ぐため

ランサムウェアは、企業のサーバーやPCなどに保存されたデータを暗号化し、業務を停止させたうえで、復旧と引き換えに金銭を要求するマルウェアです。

近年は、データを暗号化するだけでなく、窃取した情報を公開すると脅迫する二重恐喝型の攻撃も確認されています。

こうしたランサムウェア攻撃の侵入経路として注意が必要なのが、VPN機器やリモートデスクトップ（RDP）など、インターネットからアクセス可能な外部公開資産です。

警察庁が公表しているサイバー脅威情勢に関する統計でも、ランサムウェア被害の侵入経路として、VPN機器やリモートデスクトップなどが多くを占めています。

こうした機器やサービスに脆弱性が残っていたり、不適切なアクセス設定が施されていたりすると、攻撃者に悪用され、社内ネットワークへの侵入を許す恐れがあります。

特に注意が必要なのが、企業側で把握できていない外部公開資産です。存在を認識していなければ、脆弱性への対応や適切なアクセス制御などの対策を講じることができません。

深刻なランサムウェア被害を未然に防ぐには、個々の機器への対策だけでなく、自社に関連する外部公開資産を網羅的に可視化し、脆弱性や設定不備などのリスクを継続的に確認することが重要です。

出典：警察庁サイバー警察局「令和７年におけるサイバー空間をめぐる脅威の情勢等について」

自社がサイバー攻撃の踏み台として利用されるのを防ぐため

近年のサイバー攻撃の手口は巧妙化しており、強固なセキュリティ対策を講じている企業を直接狙うのではなく、セキュリティ対策が手薄なグループ会社や委託先などを足がかりにして、本来の標的へ侵入する攻撃も発生しています。

例えば、脆弱性のあるWebサイトを経由してマルウェアを配布したり、侵害したアカウントから取引先へ不正なメールを送信したりするケースです。
外部公開されたサーバーや管理サービスが攻撃者に乗っ取られると、次のような被害につながる可能性があります。

攻撃者は、インターネット上から確認できるドメインやIPアドレス、公開サービスなどの情報を収集し、攻撃の足がかりとなる弱点を探します。

こうした攻撃を防ぐためには、攻撃者から自社のこれらの情報がどのように見えているのかを把握することが重要です。

自社やグループ会社などの外部公開資産を攻撃者と同じ視点で確認することで、攻撃の足がかりとして悪用される可能性のある資産やリスクの発見につながります。

サプライチェーン全体のリスクを把握するため（SCS対策評価制度の動き）

近年のサイバーセキュリティ対策では、自社だけでなく、グループ会社や委託先などを含めたサプライチェーン全体でセキュリティ水準を高めることが求められています。

多くの企業がシステムやネットワークを通じて相互につながる現在、自社が十分な対策を講じていても、セキュリティ対策が手薄な関連企業を経由して影響を受ける可能性があります。

例えば、取引先のシステムがサイバー攻撃を受け、自社の受注や生産、物流などが停止したり、取引先を足がかりとして自社のネットワークへ侵入されたりするケースが考えられます。
そのため、自社だけでなくサプライチェーン全体に目を向け、以下のような状況を把握することが重要です。

特に、自社やグループ会社が把握していない放置サーバーやテスト環境などが侵害されると、情報漏洩などの被害を受けるだけでなく、取引先や他の企業を攻撃するための「踏み台」として悪用される恐れもあります。

こうした被害は、自社だけのセキュリティ問題にとどまらず、取引停止や損害賠償、グループ全体の社会的信用の低下など、事業そのものに影響を及ぼすリスクにつながります。

さらに、経済産業省が検討・推進する「サプライチェーン強化に向けたセキュリティ対策評価制度」など、企業のセキュリティ対策を客観的に評価する動きも進んでいます。

サプライチェーンの一員として信頼を維持するためにも、自社や関連企業の外部公開資産を可視化し、客観的な情報に基づいてリスクを把握・管理していくことが重要です。

「サイバーリスク健康診断」とは

ここまで見てきたように、サイバー攻撃のリスクを低減するためには、自社だけでなくグループ会社なども含め、どのような資産がインターネット上に公開され、どのようなリスクを抱えているのかを把握することが重要です。

しかし、管理台帳などの社内の情報だけでは、過去に構築されたサーバーや管理部門が把握していないクラウド上に構築されたサーバーなど、管理から漏れる資産が出てくる可能性があります。

そこで有効なのが、攻撃者と同じ「外部からの視点」で自社の状況を確認することです。

「サイバーリスク健康診断」は、攻撃者が行う偵察と同じ視点で、自社の外部公開資産やサイバーリスクを可視化するサービスです。

診断対象として指定したドメインに関連するドメインやIPアドレスを洗い出し、インターネット上から確認できるサーバーやサービス、設定、脆弱性などを調査します。
企業があらかじめ把握している資産だけでなく、管理台帳から漏れている可能性がある資産も調査対象となるため、以下のようなリスクの発見に役立ちます。

こうした外部公開資産の洗い出しやリスク評価を行うため、「サイバーリスク健康診断」では、外部評価プラットフォーム「Panorays」を活用して実施します。

Panoraysは、インターネット上から確認できる情報をもとに、企業の外部公開資産を調査し、サイバーセキュリティリスクを評価するSaaS型のサービスです。ドメインを起点として、関連するドメインやサブドメイン、IPアドレスなどの外部公開資産を自動的に探索できます。

また、Panoraysによる評価は外部から非侵入的に行われるため、対象システムへの専用エージェントの導入や、ペネトレーションテストのような攻撃的な検証を必要としません。

そのため、既存のシステムや業務への影響を抑えながら、自社やグループ会社の外部公開資産とリスク状況を把握できます。

サイバーリスク健康診断 無料体験キャンペーン

健康診断のように、まずは自社のサイバーリスクを把握しませんか？

• ✔
  対象システムへの専用エージェントの導入や特別な設定変更は一切不要
• ✔
  情報漏洩・脆弱性やランサムウェア悪用リスクの有無を確認可能

詳しく見る
＞

「サイバーリスク健康診断」の特徴・強み

「サイバーリスク健康診断」には、一般的な脆弱性診断やセキュリティ診断とは異なる特徴があります。

ここでは、本診断の主な3つの特徴・強みを紹介します。

ぜひ参考にしてください。

攻撃者が行う偵察と同じ視点で調査できる

一般的な資産管理では、社内の管理台帳や担当者からの申告などをもとに、IT資産を把握します。

しかし、この方法では、台帳に登録されていないサーバーや、事業部門が独自に利用しているサービスなど、管理から漏れた資産を把握しきれないことがあります。

一方、攻撃者は企業の管理台帳をもとに攻撃対象を探すわけではありません。公開情報や検索エンジン、DNS情報などを収集し、インターネット上から見える資産や攻撃の足がかりとなる弱点を探します。

そこで「サイバーリスク健康診断」では、対象ドメインを起点に関連するドメインやIPアドレスなどを洗い出し、外部から確認できる資産を調査します。
これにより、「自社が把握している資産」だけでなく、「攻撃者から見えている資産」まで可視化できることが大きな特徴です。

こうした考え方は「ASM（アタックサーフェス管理）」と呼ばれ、外部から確認できるIT資産やリスクを継続的に把握・管理する取り組みを指します。

攻撃者と同じ外部視点で確認することで、自社では気づきにくい攻撃対象や、優先的に対処すべきリスクの発見につながります。

中小企業でも始めやすい

一般的なセキュリティ診断では、事前のヒアリングや対象IPアドレスの確認、ネットワーク構成図の準備など、診断を実施するまでに一定の準備が必要です。

そのため、社内リソースが限られている企業や、セキュリティ専任の担当者がいない中小企業では、診断を実施するための工数を確保することが課題になる場合があります。

一方、「サイバーリスク健康診断」は、インターネット上から確認できる情報をもとに調査するため、対象システムへのエージェント導入など、大がかりな事前準備を必要としません。

さらに、自社の外部公開資産であれば、対象となるドメインやIPアドレスが複数存在しても企業単位の定額で診断が可能です。そのため、中小企業でもコストを気にすることなく、自社の外部公開資産を網羅的に調査できます。

このように、コストや工数を抑えつつ、自社のセキュリティリスクを手軽に可視化したい企業に最適なサービスです。

なお、診断の対象範囲や料金、利用条件については、お問い合わせ時にご確認ください。

未把握の資産や管理外の資産を発見できる

サイバーリスク健康診断では、情報システム部門が把握している資産だけでなく、以下のような管理台帳から漏れている外部公開資産を発見できる可能性があります。

IT資産の中には、自社の管理台帳に登録されていない「シャドーIT」や「野良サーバー」が、外部に公開されたままになっているケースがあります。

こうした資産は、企業側が存在を把握していなければ、脆弱性への対応やアクセス制御の見直しなど、必要なセキュリティ対策を講じることができません。

適切な対策が講じられないまま放置されると、攻撃者に悪用され、そこから社内ネットワークへの侵入につながる恐れもあります。

そのため、企業・組織では、管理台帳に登録されている資産だけでなく、外部から確認できる資産も含めて幅広く洗い出すことが重要です。

サイバーリスク健康診断では、対象ドメインを起点に関連する資産を調査することで、これまで企業が把握できていなかった外部公開資産の発見につなげます。

代表的な診断項目

サイバーリスク健康診断では、診断対象として指定したドメインを起点に、関連するドメインやIPアドレスなどの外部公開資産を洗い出し、それぞれに潜むセキュリティリスクを調査します。

診断では、単に脆弱性の有無を確認するだけでなく、DNSやメールサーバーの設定、暗号化方式、公開サービス、利用しているソフトウェアなど、外部から確認できるさまざまな情報をもとにリスクを評価します。

代表的な診断項目は以下のとおりです。

このような項目を外部から確認することで、「どの資産に、どのようなリスクが存在しているのか」を可視化し、優先的に対処すべき課題を把握することが可能になります。

※発見された指摘のうち、危険度の高い内容のみを報告いたします。

発見されるリスクの例

サイバーリスク健康診断によって外部公開資産を調査すると、ランサムウェア感染や情報漏洩、不正アクセスなどにつながる可能性のあるリスクが見つかることがあります。

例えば、外部から接続可能なリモートデスクトップ（RDP）が公開されていたり、Webサイトのログインユーザー名が外部から確認できる状態になっていたりするケースが挙げられます。

また、過去に漏洩した認証情報がインターネット上で確認される場合もあります。

こうしたリスクを放置すると、攻撃者に社内ネットワークへの侵入やアカウントの不正利用などの足がかりとして悪用される恐れがあります。

このような被害を防ぐためには、外部から自社のどのような弱点が見えているのかを把握し、攻撃につながる可能性の高いものから優先的に対処することが重要です。

報告書サンプル

サイバーリスク健康診断の結果は、単に検出されたリスクを一覧化するだけでなく、リスクの重要度や具体的な対処方法を確認できる報告書として提供されます。

報告書では、診断結果を「A」「B」「C」の3段階で評価するほか、経営層向けのエグゼクティブサマリー、検出された脆弱性の一覧、各指摘事項の詳細や対策方法などを確認できます。

そのため、「どのようなリスクが見つかったのか」だけでなく、「どのリスクから優先的に対処すべきか」「具体的にどのような対策が必要か」まで把握し、その後のセキュリティ対策につなげることが可能です。

※報告書の内容や構成は、診断内容などによって異なる場合があります。

診断実施の流れ

サイバーリスク健康診断は、主に以下の流れで実施します。

まず、お客様に所定の申込書へ診断に必要な情報をご記入いただき、その内容をもとにMOTEXが診断対象の情報を登録します。

その後、インターネット上から外部スキャンを実施し、確認されたリスクを分析したうえで、診断結果を報告書として納品します。必要に応じて、診断結果について詳しく解説する報告会も実施可能です。

お客様側で必要となる主な作業は申込書への情報の記入となるため、大がかりな事前準備を必要とせず診断を進められます。

※報告会の実施は有償オプションです。

サイバーリスク健康診断と脆弱性診断の違い

「サイバーリスク健康診断と、一般的な脆弱性診断は何が違うのか」と疑問に思う方もいるでしょう。

どちらもセキュリティリスクを把握するための手段ですが、調査する対象や目的、実施方法などに違いがあります。

主な違いを整理すると、以下のとおりです。

企業全体の外部公開資産や把握できていないリスクを広く確認したい場合は「サイバーリスク健康診断」、特定の重要なシステムやWebアプリケーションの脆弱性を詳しく確認したい場合は「脆弱性診断」が適しています。

両者はどちらか一方を選ぶものではなく、目的に応じて組み合わせることも有効です。

例えば、まずサイバーリスク健康診断で自社の外部公開資産とリスクの全体像を把握し、その結果をもとに、より詳細な調査が必要なシステムに脆弱性診断を実施するといった方法が考えられます。

サイバーリスク健康診断の無料体験を受付中！

「自社にどのような外部公開資産があるのか把握できていない」「攻撃者から自社がどう見えているのか確かめたい」という企業に向けて、「サイバーリスク健康診断」の無料体験を実施しています。

無料体験では、ご提示いただいたドメイン情報をもとに外部から調査を行い、現状のリスクレベルを「要治療・精密検査」「注意」「異常なし」の3段階で総合評価します。

また、情報漏洩や脆弱性といった具体的なリスク要因に加え、ランサムウェア攻撃等で悪用されやすい設定やサービスの有無についても確認が可能です。

無料診断についても、対象システムへの専用エージェントの導入や特別な設定変更は一切不要です。

本格的な診断を実施する前の現状把握や、今後のセキュリティ対策の優先順位を検討するファーストステップとして、ぜひご活用ください。

サイバーリスク健康診断 無料体験キャンペーン

健康診断のように、まずは自社のサイバーリスクを把握しませんか？

• ✔
  対象システムへの専用エージェントの導入や特別な設定変更は一切不要
• ✔
  情報漏洩・脆弱性やランサムウェア悪用リスクの有無を確認可能

詳しく見る
＞

サイバーリスク健康診断に関するよくある質問

最後に、サイバーリスク健康診断についてよくある質問を紹介します。

診断対象や実施期間、既存システムへの影響など、導入を検討する際に気になるポイントをまとめました。

詳しく見ていきましょう。

グループ会社や取引先も診断対象となりますか？

はい。自社だけでなく、グループ会社や海外拠点なども診断対象とすることが可能です。

サイバーリスク健康診断では、対象企業のドメインを起点に、インターネット上から確認できる外部公開資産やサイバーリスクを調査します。

そのため、自社だけでなく関連企業まで対象を広げることで、サプライチェーン全体のリスク把握にも活用できます。

なお、診断可能な対象範囲や条件については、事前にご確認ください。

なぜ自社が把握していないリスクを検知できるのですか？

サイバーリスク健康診断では、社内の管理台帳をもとに調査するのではなく、攻撃者と同じようにインターネット上から確認できる情報をもとに調査するためです。

対象ドメインを起点として、関連するドメインやサブドメイン、IPアドレスなどを探索します。

そのため、過去に構築されてそのままになっているサーバーなど、企業側で把握できていない外部公開資産の発見につながる可能性があります。

どれくらいの期間で診断が終わりますか？

申し込みから報告書の提供まで最短2週間かかります。

申込書に必要な情報をご記入いただいた後、対象情報の登録、外部スキャン、診断結果の分析、報告書の作成という流れで進みます。

実際の期間は診断対象や条件などによって異なるため、詳しくはお問い合わせください。

脆弱性診断とは違うのですか？

はい。主な違いは、診断する対象と目的です。

一般的な脆弱性診断は、指定したWebアプリケーションやサーバーなどを対象に、潜んでいる脆弱性を詳しく調査します。

一方、サイバーリスク健康診断は、把握・未把握にかかわらず、攻撃者から見えている外部公開資産のリスクを広く調査します。

そのため、まずサイバーリスク健康診断で全体的なリスクを把握し、必要に応じて特定のシステムに脆弱性診断を実施するといった使い分けも可能です。

おすすめの実施タイミングはありますか？

定期的なセキュリティチェックに加え、自社を取り巻くIT環境に変化があったタイミングでの実施が考えられます。

例えば、グループ会社の新設・統合、クラウドサービスの利用拡大、新しいWebサイトやシステムの公開などによって、外部から見える資産は変化します。

また、「自社にどのような外部公開資産があるのか把握できていない」「セキュリティ対策を何から始めればよいかわからない」といった場合に、現状把握の第一歩として活用することもできます。

診断実施時に、サービスが停止するなどの影響はありますか？

Panoraysによる外部評価は、インターネット上から確認できる情報をもとに非侵入的な方法で実施します。

対象システムへの専用エージェントの導入や、ペネトレーションテストのような攻撃的な検証を必要としないため、既存システムや業務への影響を抑えて診断できます。

まとめ

サイバー攻撃のリスクを低減するためには、ウイルス対策ソフトやEDRなどの対策を導入するだけでなく、まず自社にどのような外部公開資産が存在し、攻撃者からどのようなリスクが見えているのかを把握することが重要です。

特に、管理台帳に登録されていないサーバーやWebサイト、グループ会社・海外拠点の資産などは、企業側が存在を把握していなければ、脆弱性への対応や適切なアクセス制御といった対策を講じることができません。

「サイバーリスク健康診断」では、攻撃者と同じ外部からの視点で自社に関連する資産を調査し、これまで把握できていなかった外部公開資産やサイバーリスクの発見につなげることができます。

「自社にどのような攻撃対象があるのかわからない」「管理から漏れている資産がないか確認したい」「セキュリティ対策を何から始めればよいかわからない」という企業・組織は、まず自社の現状を可視化することから始めてみてはいかがでしょうか。

サイバーリスク健康診断では無料体験も実施しています。自社が攻撃者からどのように見えているのかを把握する機会として、ぜひご活用ください。

サイバーリスク健康診断 無料体験キャンペーン

健康診断のように、まずは自社のサイバーリスクを把握しませんか？

• ✔
  対象システムへの専用エージェントの導入や特別な設定変更は一切不要
• ✔
  情報漏洩・脆弱性やランサムウェア悪用リスクの有無を確認可能

詳しく見る
＞