ASM（Attack Surface Management）は、企業などの組織が持つIT資産のうち攻撃対象となる領域を特定し、その情報を収集しリスク評価することで、セキュリティリスクを管理、低減する手法。なお、NIST（米国国立標準技術研究所）のASMの定義では、内外の攻撃が区別されていないため、外部から見えるWebサイトやインターネット接続デバイスなどのIT資産への攻撃のみを対象とする場合は、EASM（External Attack Surface Management）とも呼ばれる。

ASMは、
・攻撃領域（Attack Surface）の発見
・攻撃領域の情報収集
・攻撃領域のリスク評価
の3つのプロセスから構成されている。

ASMは組織のIT資産をスキャンツールなどで特定し、リスト化した上で脆弱性評価を実施する。検出された脆弱性などのセキュリティリスクを対象に、影響度や修正の優先順位を決定し、効率的な対策、リソース投入を行い、改善に務められる。

攻撃領域に対しては継続的な監視を行い、レポートを提出することで、最新のセキュリティ状況の把握と、継続的な改善を可能にする。また、事前にリスクを把握していることで、セキュリティインシデントの発生時にも、迅速に対応し、被害を最小限に抑えることが可能になる。業界規制などが求める定期的脆弱性評価とリスク管理にも応えられるため、コンプライアンス対応としても有用だ。
（狐塚淳）