チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「うちの会社、外からどんな脆弱性が見えているのか全然分からない……」
「ASMって聞いたことあるけど、中小企業には関係ない話なんじゃないでしゅか？」
チップスボス、IPAがASM診断の報告書を出したって聞いたんでしゅけど、中小企業を診断したら全社で脆弱性が見つかったって本当でしゅか！？
ボス本当だ。126社を診断して、全社で脆弱性が検知された。「うちは大丈夫」なんて思っている会社が、実は外から筒抜けになっているケースがほとんどだったということだ。
「自社のセキュリティに問題はない」と思っていても、外部から見ると意外な脆弱性が露出していることがあります。
IPAが2026年3月27日に公開したASM（Attack Surface Management）診断の報告書は、中小企業のセキュリティの実態を数字で明確に示しています。
この記事では、報告書の主な内容と、今日から取り組める対策を解説します。
自社の「外から見える姿」を把握することが、サプライチェーン攻撃への防御の第一歩です。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
IPAがサプライチェーン攻撃の増加を背景に実施したこのASM診断では、中小企業の実態が数字となって浮かび上がりました。
ASM（Attack Surface Management）とは、攻撃者の視点から自社のIT資産を可視化し、外部から悪用可能な脆弱性を継続的に管理する取り組みです。
従来のセキュリティ対策が「内側を守る」ものだとすれば、ASMは「外から見える穴を先に塞ぐ」考え方です。
IPAが実施した診断では、中小企業が気づいていない公開サーバーや古いソフトウェア、インターネット上に流出した認証情報などが対象となりました（IPA ASM診断報告書）。
診断で検知された脆弱性の主な種類は以下の通りです。
「担当者が把握していない」システムや設定ミスが、攻撃者の侵入口になっているケースが多数確認されました。
診断した126社すべてで脆弱性が検知されたという事実は、中小企業のセキュリティ管理に広く潜む死角を示しています。
報告書に収録された30の事例には、実際の被害状況と効果的な取り組みが整理されています。
チップスなんか診断してみると、知らないうちに自分の会社の情報が外に漏れてることがあるんでしゅか……怖いでしゅ。
ボスダークウェブやパスワードリスト上に業務用メールアドレスとパスワードが流出しているケースは珍しくない。そこから不正ログインや標的型メールが始まる。把握していないから怖いんだ。
報告書に収録された被害事例では、「流出した認証情報を使った不正ログイン」が起点となる攻撃パターンが繰り返し確認されています。
特に中小企業では、同じパスワードを複数サービスで使い回すケースが多く、ひとつの情報漏洩が連鎖的な被害につながります。
また、リスクスコアや想定被害額が定量的に示されていることで、経営層への予算確保の説明資料としても活用できる構成です。
ASM診断の結果を受けて効果的だった取り組みの代表例です。
事例集は自社だけの問題把握にとどまらず、「他社の被害から学ぶ」という形で社内啓発にも活用できます。
経営層が実感を持てる具体的な数字と事例が揃っている点が、この報告書の大きな価値です。
IPAのASM診断報告書は、「うちは大丈夫」という思い込みがいかに危険かを126社のデータで示しています。
外部から見える脆弱性を定期的に把握し、古いシステムや不要な公開設定を排除することが、サプライチェーン攻撃への最初の防壁となります。
報告書に収録された事例集は無料で公開されているため、まずは自社の現状確認のきっかけとして活用しましょう。
ボス「知らない脆弱性」が一番危ない。攻撃者は知っていて、あなたが知らないという状態を狙っている。まず自社の外側を見ることだ。
チップス自社のアタックサーフェスを把握するって、なんか探偵みたいでちょっとわくわくするでしゅ！早速うちの会社でも確認してみますっす！
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
