# オープニングトーク 今日の10分、セキュリティラジオ ようこそ、今日の10分セキュリティラジオへ 月曜担当パーソナリティの大春と セキュリティジョッキーの松野です 月曜の配信は、見習いセキュリティエンジニアである私大春が 気になるセキュリティニュースを セキュリティ専門家の松野と共に読み解いていく セキュリティをテーマにしたラジオです 本日もよろしくお願いします よろしくお願いしますってことでね 今日もVoicyさんのハッシュタグから 私の嬉しい食卓ということで 体調不良を控えの大春さんですけれども 食卓ですね、ご自宅でどうですかね 外食多いかもしれないんですけども 嬉しい食卓、どんな感じでしょうか そうですね、やっぱりこう 実家の方で子供の時とか 戦闘機とかでなるんですけど 嬉しい時、なんかあると よくやるのがお好み焼き 関西? 関西なんですけど やっぱりなんかあった時には お好み焼きでわーっと たくさん作って みんなで作って なんかあったので やっぱり僕にとって 嬉しい食卓となると お好み焼きかなっていうのは ちょっと思っちゃうんですよね なるほどね、簡単にできますしね お好み焼き嫌いって人あんまいないかな って思うんですけど 僕にとってって考えるとですね やっぱこう筋トレもしてますけど やっぱ食トレって言われるぐらい 食事もね、同じ もしくはそれ以上に大事なんですけど 外食するとですね どうしても何が含まれてるかって ちょっとわからないんですよね 確かに そうそうそう で、自分で作ったりとかですね 自宅で食べることがある際はですね 当然ながら何を使うかって 選択もできるし 確認もできるじゃないですか なのですごく安心できるっていう感じですかね 大体やっぱり外で食事して その翌日とかの 体調悪いなって思うと ちょっとジャンクなものが入ってたり 含まれてたりっていうところがね 結構多かったりするので 僕にとって嬉しい食卓というのは 本当に家のご飯と いうとこになるかなとは思います そうですね、やっぱり家のご飯 最強ですよね そうですね 今日もよろしくお願いします よろしくお願いします 最近嬉しいことあったかな # ISOG-J「ASM導入検討を進めるためのガイダンス（基礎編）」公開 ISOG-J ASM導入検討を進めるためのガイダンス 基礎編公開 日本セキュリティオペレーション協議会は、11月5日、 ASM導入検討を進めるためのガイダンス 基礎編を公開した。 こちらの記事を簡単に解説をお願いできますでしょうか。 はい。ASMに関するドキュメントが公開されています。 ASMの概要とASMと脆弱性診断の違いについて説明します。 今回のドキュメントは、ASM導入が必要であるかの判断や ASMツール、サービスの選定、ASMの運用体制の構築や ASM活用事例をまとめたものです。 目的として、ASMを活用したい組織やその担当者が 関連する用語や活用方法を理解し、目的に沿ったサービスを 選定することや、既存のドキュメントを読み解く上で 助けとなる情報を提供することが挙げられています。 今回は、日本セキュリティオペレーション協議会が ASM導入検討を進めるためのガイダンスを公開したとの記事を取り上げています。 このASM、サイバー攻撃からIT資産を守るための手法とのことで 注目されているとのことですが、そもそもどういった内容のものなのでしょうか。 はい。ASMとは、アタックサーフェイスマネジメントの略で 日本語で攻撃対象領域管理とも訳されます。 組織がサイバー攻撃にさらされる可能性のある全ての領域を把握し 管理するためのセキュリティ対策です。 ASMの具体的な取り組みとして、まず組織が保有するサーバーやネットワーク機器 アプリケーションなど、全てのIT資産を洗い出します。 そして、発見されたIT資産の脆弱性を洗い出し、リスクを評価します。 その後、発見された脆弱性を修正するためのパッチを迅速に適用したり 不必要なアクセスを制限して、権限を最小限に抑えたりして 各IT資産の設定が適切に行われているかを継続的に確認します。 ASMのメリットとして、組織全体の攻撃対象を可視化することで セキュリティ対策の抜け漏れを防止します。 また、発見された攻撃対象に対してリスク評価を行い 優先順位の高い対策から実施することができます。 そして、攻撃対象の変化を継続的に監視することで 新たな脆弱性の発生や攻撃の兆候を早期に検知することが期待できます。 ASMは、組織内の情報資産を組織の外から 機器の設定ミスであったり放置された脆弱性を見つけて それが攻撃対象となり得るかを把握するものという認識です。 ただ、ここで一つ気になる点が セキュリティ対策として、私たちも行っている脆弱性診断があります。 外部から脆弱性を見つけるという点では同じようにも思えます。 ここで素朴な疑問ですが、ASMツールと脆弱性診断 違いはどういったところにあるのでしょうか。 ASMと脆弱性診断の主な違いとして ASMは広く浅く早く、脆弱性診断は狭く深く正確に 脆弱性の検出や評価を行うことが挙げられています。 ASMと脆弱性診断はどちらも脆弱性を洗い出す役割を果たしますが その目的や対象範囲、実施方法などが異なります。 ASMの目的として、組織全体の攻撃対象を可視化して管理することが挙げられます。 対象はインターネットに公開されている全てのIT資産となり 継続的な監視により新たな脆弱性の発生や設定変更を早期に検知できるため 脆弱性診断より広範囲なリスク評価が可能です。 一方で脆弱性診断の主な目的として、特定のIT資産に存在する脆弱性を特定し そのリスクを評価することが挙げられます。 対象は特定のIT資産となり、対象資産に対して基地や未知の脆弱性に対する攻撃シミュレーションなどを行い 脆弱性を特定するためにASMよりも詳細な脆弱性情報を得ることが期待できます。 よってASMは組織全体のセキュリティ状況を把握し、新たなリスクを早期に検知する取り組みであるのに対し 脆弱性診断は特定の脆弱性を把握し、直ちに対策を実施するものです。 どちらか一方ではなく、両方組み合わせることで、より効果的なセキュリティ対策を実現することができます。 今回はASMの概要とASMと脆弱性診断の違いについてお届けしました。 さまざまなセキュリティ対策が提供される中で、その違いについて迷うこともあるかもしれません。 ASMについては今回の配信が参考になれば幸いですが、その他のセキュリティ対策でもわからないことがあれば、ご遠慮なくコメント欄までお願いします。 なるほど。ASMツールと脆弱性診断との違いは、そういったところにあったのですね。 この内容を聞くと、双方を掛け合わせることで、より強固なセキュリティ対策を実現できそうですね。 また一つ勉強になりました。 # エンディングと今日のひとこと 本日の放送は以上となります。 お届けしたニュースは、サイバーセキュリティ専門ニュースサイトスキャンネットセキュリティと、株式会社シフトセキュリティの提供でお送りしました。 ながらで聞けてためになる、きょうの10分セキュリティラジオは、毎週月曜・水曜・金曜の朝7時15分より最新回を配信しております。 同じく月曜・水曜の夜8時から、録音では聞けないセキュラジ製作過程の裏側を、Voicyライブアワーから生放送でお届けしています。 そして土曜日は、私大春とAIが奇跡のコラボ、1週間の内容をダイジェストでお送りするセキュラジAI民社のまとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。 先週頭から患っていた風もようやく解放に向かっています。 風邪をひいた時の悪い症状は、だいたい1日ほどで回復するものだったのですが、今回は悪い状態から日を負うごとにさらに悪い状態になっていったので、いつもとは少し違う感じでした。 風邪にかかってしまうのは仕方ないとは思いますが、できる限りの対策を努めていただければと思います。 今年の風邪は、立ちが悪いです。 それでは次回、水曜ミヤモトさんの放送もお楽しみに。