サイバーセキュリティでは攻撃への対策に注目が集まりがちですが、多くの侵害は、組織が意図せずシステム、アプリケーション、またはデータをオンライン上に公開してしまうこと（エクスポージャー）によって発生しています。

2026 年 6 月 18 日、Bill Munroe 著

サイバーセキュリティに関する議論の多くは、攻撃者の侵入を阻止することに重点が置かれており、新たなマルウェア、ランサムウェアキャンペーン、AI を活用した攻撃、ゼロデイ脆弱性などが、ニュースの多くを占めています。しかし、多くの侵害は、実は単純な理由によって発生しています。それは、組織がシステム、アプリケーション、またはデータを意図せずインターネット上に公開してしまうことです。

最近の例として、小売企業 Express 社で発生したインシデントがあります。同社は、不正なユーザーが URL 内の注文番号を操作するだけで、顧客の注文確認ページにアクセスできる脆弱性を公表しました。公開される情報には、氏名、電話番号、メールアドレス、住所、注文履歴、マスキングされた決済カード情報などが含まれていたと報告されています。一部のページは検索エンジンにもインデックス登録されており、さらに発見されやすい状態になっていました。

このようなインシデントが特に懸念される理由は、高度な攻撃手法を必要としない点です。機密性の高いリソースがすでに外部に公開されている場合、攻撃者は高度な防御機能を回避する必要すらありません。多くの場合、侵害は侵入から始まるのではなく、何がインターネット上でアクセス可能なのかを組織が把握できていないことから始まります。

マネージドサービスプロバイダー（MSP）にとって、これはますます大きな課題となっています。もはや問われているのは、攻撃者をどのように阻止するかだけではありません。本当に問うべきなのは、そもそも攻撃者がそのリソースを発見できる状態にしておくべきだったのか、という点です。

変化する攻撃対象領域

この 10 年間で、組織のデジタル環境は劇的に拡大しました。

クラウドプラットフォーム、SaaS アプリケーション、リモートワークテクノロジー、サードパーティ統合、API、ハイブリッド環境などにより、企業はより迅速かつ効率的にビジネスを展開できるようになりました。その一方で、インターネット上に公開される可能性のあるシステム、サービス、データも増加しています。

多くのエクスポージャーは、管理上の怠慢によって発生しているわけではありません。むしろ、現代の IT 運用に伴って自然に発生する副産物と言えます。

プロジェクト終了後も、一時的に設定したファイアウォールルールが有効なまま残る。取引終了後も、ベンダー接続が有効化されたままになっている。クラウドアプリケーションが、継続的なセキュリティレビューの対象に含まれないまま導入される。事業への影響を懸念して、レガシーシステムがオンライン状態のまま残される。

個々の判断だけを見ると、問題がないように思えるかもしれません。しかし時間の経過とともに、こうした判断が積み重なり、把握や制御がますます困難な攻撃対象領域を形成します。

AI がこれまでの発見プロセスを変えている

これまで攻撃者が脆弱なシステムを特定するには、時間と専門知識が必要でした。攻撃者は、ネットワークを手動でスキャンし、公開されているサービスを探し、脆弱性を調査し、どの標的を狙う価値があるかを判断していました。

AI は、その状況を大きく変えています。

AI を活用したツールは、インターネットに公開されている膨大な資産を迅速に分析し、公開されているサービスを特定し、ソフトウェアのバージョンと既知の脆弱性を関連付け、価値が最も高い標的を優先することができます。かつて数日を要していた作業を、現在では継続的かつ大規模に実行でき、発見までの時間を数週間から数秒へ短縮しています。

MSP にとって、これは許容できる余地が急速に縮小していることを意味します。外部に公開されたアプリケーション、放置されたリモートアクセスサービス、パッチが適用されないままインターネットに公開されているシステムは、以前よりはるかに短時間で発見される可能性があります。AI によって偵察コストが低下する中で、不要なエクスポージャーを減らすことは、脅威を検知することと同じくらい重要になっています。

可視性は重要なセキュリティ対策になりつつある

長年にわたり、セキュリティチームは防御、検知、対応に重点を置いてきました。これらの機能は依然として不可欠ですが、それらは組織が保護すべき資産を把握していることを前提としています。

しかし、その前提はますます時代遅れとなり、危険なものになっています。

存在を把握していない資産を保護することはできません。外部に公開されていることを認識していないサービスを守ることはできません。外部の攻撃対象領域を可視化できなければ、リスクを評価することもできません。

その結果、可視性そのものがセキュリティ対策の一部になりつつあります。インターネットに公開されているリソースを継続的に特定し、検証し、管理している組織は、攻撃者に悪用される機会が生じる前にリスクを低減できる可能性が高まります。

可視性を行動につなげる

可視性は、行動につながってこそ価値があります。組織は、何が外部に公開されているのかを把握した後、そのリスクを評価し、低減するための継続的なプロセスを確立する必要があります。

MSP にとって、エクスポージャー管理は一時的な監査作業ではなく、継続的な運用プロセスとして取り組むべきものです。

• 公開範囲を最小限にする：
  インターネットからアクセス可能なすべてのサービスには、明確なビジネス上の理由が必要です。システム、アプリケーション、サービスを公開する必要がないのであれば、外部に公開するべきではありません。
• 公開サービスを強化する：
  サービスをインターネットに公開したままにす必要がある場合は、アクセスを厳格に制御する必要があります。これには、アクセスの制限、強力な認証の適用、システムへのパッチ適用、多層防御の実装などが含まれます。
• 管理用および内部リソースを保護する：
  管理インターフェイス、管理コンソール、データベース、リモート管理ツール、その他の機密性の高いリソースは、安全な代替手段が存在する場合、決してインターネットに直接公開してはなりません。
• 重要なシステムを分離する：
  公開サービスは、内部ネットワークや重要な業務リソースから分離する必要があります。適切なセグメンテーションにより、一つのエクスポージャーが広範な侵害へ発展することを防止できます。
• エクスポージャーを継続的に検証する：
  エクスポージャー管理は、一度実施すれば終わるプロジェクトではありません。ファイアウォールルール、クラウドサービス、ベンダーアクセス、外部接続などは、正当なビジネス要件を引き続き満たしているか定期的に確認する必要があります。
• エクスポージャーは標的になると想定する：
  AI を活用した偵察が一般化する中で、組織はインターネット上に公開されたものは、いずれ発見されると想定する必要があります。セキュリティ戦略は、この現実を前提として構築する必要があります。

MSP に求められる考え方の変化

これまで MSP の役割は、主にテクノロジーの導入、インフラの維持、インシデント対応を中心としてきました。
しかし現在、その役割は変化しています。

現在、顧客は MSP に対し、インシデント発生後の対応だけでなく、リスクの把握、複雑化する環境の管理、そして問題が発生する前にエクスポージャーを削減することを求めるようになっています。そのためには、デバイス管理やセキュリティ監視の枠を超え、保護対象となる環境全体を継続的にガバナンスする取り組みへ移行する必要があります。

MSP は、単に脅威への対応を支援するだけでは成功することはできません。脅威が発生する機会そのものを減らせるよう、顧客を支援する存在にならなければなりません。

今後に向けて
次に発生する大規模な侵害は、高度なゼロデイ攻撃や AI によって生成された高度な攻撃から始まるとは限りません。

むしろ、放置されたシステム、外部に公開されたアプリケーション、一時的な例外設定が恒久化した状態、あるいは不要になった後も公開されたままのサービスが原因となる可能性があります。

攻撃対象領域が拡大し続け、AI によって攻撃者の脆弱性発見能力が高まる中、組織はエクスポージャー管理への取り組み方を見直す必要があります。

MSP にとって、それは外部エクスポージャーを一時的なセキュリティ作業ではなく、継続的に管理すべきビジネスリスクとして扱うことを意味します。今日の脅威環境では、攻撃者が何を見られるかは、何を悪用できるかと同じくらい重要です。

顧客のネットワークセキュリティを最適化する方法について詳しく知るには、以下のブログをご覧ください。

ハイブリッド環境における検知と対応を 30 年間推進してきた実績（英語）
MSP がファイアウォールと統合型セキュリティサービスを組み合わせて、ビジネスを拡大させる方法
最新のファイアウォールによるセキュリティの強化：MSP 向けのガイド