継続的脅威暴露管理（CTEM）への移行と伝統的脆弱性管理の限界

背景と概要

長年、企業のセキュリティ運用における脆弱性対策といえば、「年に数回のペネトレーションテスト（侵入テスト）」や「定期的な脆弱性スキャン」を行い、検出されたリストに基づいて修正パッチを適用していく手法が主流でした。

しかし、パブリッククラウド、SaaS、API、リモート端末、IoTなど、組織のデジタル資産（アタックサーフェス）が絶えず変化・拡大する現代において、不定期な点検のみに頼る従来型の管理は限界を迎えています。これを受け、従来のスポット型診断から、組織全体の脅威とリスクへの晒され方（暴露状況）を継続的に監視・評価・最適化するフレームワーク「CTEM（Continuous Threat Exposure Management：継続的脅威暴露管理）」への移行が提唱されています。

従来型脆弱性管理が抱える構造的課題

スポット型の脆弱性スキャンには、運用上の大きな壁が存在します。

1. 診断と実態のタイムラグ（死角の発生）

年に1回や数ヶ月に1回のスキャンでは、スキャンを実施した「その瞬間」の状況しか評価できません。その翌日に新たなクラウド設定ミスが発生したり、新しいゼロデイ脆弱性が公表された場合、次の診断まで数ヶ月間も危険な状態が放置されるリスクが生じます。

2. コンテキスト（文脈）の欠如と優先順位付けの破綻

従来型のスキャナーは、検出された脆弱性の「個数」を無機械に出力します。自社の事業にとって重要でないテスト環境のサーバーであっても、重大度スコア（CVSS）が高いという理由だけで同じ優先度で通知されるため、セキュリティチームが修正作業に追われ、真に危険な「攻撃経路（アタックパス）」の対処が遅れる傾向があります。

CTEMフレームワークを構成する5つのフェーズ

CTEMは単一のツールの名称ではなく、以下の5つの段階を循環させるプロアクティブな運用プロセスです。

1. スコープ定義（Scoping）： 自社のビジネスにとって最も重要なデジタル資産や事業継続リスクの優先順位を整理する。

2. 発見（Discovery）： クラウド、外部公開IP、アカウント、SaaSなど、網羅的にアタックサーフェス（攻撃対象領域）を自動検出する。

3. 優先順位付け（Prioritization）： 単なるCVSSスコアだけでなく、攻撃者の脅威インテリジェンス（EPSS等）や実際の到達可能性を組み合わせて「最も悪用される可能性が高いもの」を特定する。

4. 検証（Validation）： 実際の攻撃者がその暴露経路を突いて内部へ侵入・横移動できるか（BASツール等を用いて）シミュレーション検証する。

5. 対応（Mobilization）： 検出されたリスクをIT運用部門や開発チームへスムーズに引き継ぎ、パッチ適用・構成変更・補償コントロールを実施する。

CTEM導入における実務アプローチ

段階的かつ自動化された管理基盤の整備が推奨されます。

1. EASM（外部攻撃対象領域管理）と内部構成監視の統合

インターネット側から露出している資産を検知するEASMツールと、クラウド内部の構成を監視するCSPMを統合し、外部から内部への攻撃経路を一元的に可視化します。

2. BAS（Breach and Attack Simulation）による有効性検証

自動化された攻撃シミュレーションツール（BAS）を活用し、自社に導入されているEDRやファイアウォールが実際の攻撃挙動を正しく検知・遮断できるかを継続的に検証するプロセスを組み込みます。