機能

Q

海外拠点や英語環境でも利用できますか？

A

ネットde診断 ASMの管理画面は日本語、英語に対応しています。
海外支社をお持ちの企業様にもご利用いただいています。

Q

緊急度の高い脆弱性が見つかったとき、どのように通知されますか？

A

緊急度の高い脆弱性が検出された場合、メールで通知します。管理画面に毎回ログインしなくても、問題が発生したときにアラートで把握できます。

Q

子会社や部署ごとに分けて管理できますか？

A

できます。子会社や部署ごとにダッシュボードを作成し、アクセス権限を分けて管理するロール管理機能を備えています。グループ全体の状況を横断して把握しながら、各社・各部署には自組織の情報のみを見せる運用が可能です。

Q

診断対象となるIT資産は、自社で洗い出す必要がありますか？

A

ドメイン棚卸オプションで、社名、製品名、ドメイン名などの起点情報をもとに、GMOサイバーセキュリティ byイエラエのホワイトハッカーが攻撃者目線で外部公開資産を棚卸しすることが可能です。新たに検出された資産は管理画面から随時追加できます。
お客様ご自身での棚卸は、いつでもツール内で行うことが可能です。

Q

セキュリティの専任担当者がいなくても運用できますか？

A

可能です。伴走プランをご利用いただくことで、判断に迷う部分はセキュリティコンサルタントに相談でき、伴走プランでは定期ミーティングで対応の優先順位づけまで支援します。

Q

ダークウェブへの情報流出も監視できますか？

A

自社ドメインに紐づくID/パスワード等の認証情報(アカウント情報)の漏えいを監視する機能があります。

Q

診断によってサーバーが停止したり、負荷がかかったりしませんか？

A

通常のアクセスの範囲内で検査するパッシブスキャンと、対象に影響を与えない範囲で疑似的な攻撃通信を行うアクティブスキャンを使い分けます。リソースに問題なく運用できているサーバーであれば、診断によって停止する可能性はありません。

通信量目安
【簡易診断】
HTTP リクエスト: 認証前のコンテンツ数(HTML, CSS, JavaScript 等々)
・送信パケット: 4,031
　・TCP: 1,247
　・UDP: 2,784
　・合計: 265 KB
・オープンポート
　・TCP: トップ 1000 ポート
　・UDP: トップ 1000 ポート

【詳細診断】
・HTTP リクエスト: 認証前のコンテンツ数(HTML, CSS, JavaScript 等々) × 25 + 3000
・送信パケット: 70,548
　・TCP: 70,403
　・UDP: 137
　・合計: 7.6 MB
・オープンポート
　・TCP: 全ポート
　・UDP: トップ 1000 ポート

Q

ネットde診断 ASMの診断はどれくらいの頻度で行われますか？

A

定期診断のサイクルは「週・月・年・日」から選択可能です。

Q

無料のOSINTツールやOSSを組み合わせて自社で運用するのと比べて何が違いますか？

A

無料ツールでも資産の列挙自体は可能ですが、検出結果の精査、脆弱性の危険度判定、優先順位づけ、継続的な実行の運用工数を自社で負担することになります。
ネットde診断 ASMは毎日の自動診断と脆弱性の自動ランク付けを備え、属人化しない資産の検知＋診断を行う仕組みを構築できます。
判断に迷う部分はセキュリティコンサルタントに相談できるため、専任者を置かずに運用を継続できます。

Q

社内のIT資産管理ツールやCMDBとは何が違いますか？

A

IT資産管理ツールやCMDBは、社内で把握している資産を台帳として管理するものです。
ネットde診断 ASMは、社名やドメイン名などの起点情報からOSINT（公開情報調査）で外部公開資産を探索するため、未把握のWebサイトやネットワーク機器を発見できる点が異なります。

Q

海外製のASMツールと比べたときのメリットは何ですか？

A

ASMツールは海外製が多く、管理画面の翻訳が不自然だったり、サポートが英語のみのケースがあります。
ネットde診断 ASMは、国産ツールのため日本語の画面とサポート窓口で運用でき、かつ英語版も提供しているため、海外拠点のITチームとの情報共有にも対応できます。

Q

他社のASMツールと比べて何が違いますか？

A

ネットde診断 ASMの違いは3点です。
①ドメインを登録するだけで簡単に診断を実施できる使いやすさ
②月額4万円〜の低価格で、GMOインターネットグループの基盤を活用し月額4万円から診断できること
③セキュリティコンサルタントが対応の優先度まで助言する伴走プランがあること

Q

経済産業省の「ASM導入ガイダンス」に対応したツールですか？

A

ネットde診断 ASMは、経済産業省が公開した「ASM導入ガイダンス」にカテゴライズされるツールです。あわせて経済産業省の「情報セキュリティサービス基準」に適合したサービスとして情報セキュリティサービス台帳に登録されています（登録番号：019-0004-60）。

Q

ダークウェブの漏えいデータ監視は、対処済みの漏洩情報も検知され続けますか？

A

対応済みフラグを付けることで、検知から除外することが可能です。

Q

ダークウェブの漏えいデータは何を情報源にしていますか？

A

ブラウザのパスワードマネージャーに保存しているURL/ID/パスワードの組み合わせが、マルウェアに感染したデバイスから盗まれ、ダークウェブ上に流出することがあります。 ネットde診断は、そうした流出情報を収集・整理して提供している脅威情報サービスを参照しています。

Q

いつのダークウェブのデータを利用して検知しますか？

A

毎日最新のデータを参照します。反映されるまでに時間がかかる場合があります。

Q

海外拠点やグループ会社も含めてまとめて管理できますか？

A

ドメインを登録するだけで、グループ会社・海外拠点を含む全資産を継続的に監視できます。管理画面・レポートは英語に対応しています。

Q

IT資産の棚卸しは何を入力すれば始められますか？

A

社名、ドメイン、IPアドレス、キーワードなどを入力するだけで、外部公開資産を自動収集・可視化します。専門知識は不要です。

料金プラン

Q

料金/見積もりはどのように決まりますか？

A

料金は、診断対象として登録するFQDN数（グローバルIPアドレスでの登録も可能）に応じて用意されたプランからお選びいただけます。
診断・常時監視したい対象の規模に合わせてプランを選択いただきます。

Q

契約期間の縛りや、解約時の条件はありますか？

A

自走・伴走プランともに月契約で、最低利用期間は2ヶ月です。3ヶ月目以降は1ヶ月単位でご利用・解約いただけます。解約条件の詳細はお問い合わせください。

Q

脆弱性が見つかった場合、修正対応は誰が行うのですか？

A

修正作業自体はお客様側でご対応いただくのが基本です。伴走プランでは、対応方針の整理や優先順位付け、ベンダーとのやり取りのサポートまで専門家が支援します。

Q

自走プランと伴走プランはどちらを選べばいいですか？

A

伴走プランがおすすめです。自走プランでも診断・棚卸しは可能ですが、「対応の優先順位が分からない」「社内説明やベンダー対応まで手が回らない」というお悩みをよく伺います。
伴走プランなら、月1回の専門家との定例で優先順位付けから社内資料作成・ベンダー対応までサポートするので、診断結果を実際の対策につなげやすくなります。専任担当がいない、初めてASMを導入する企業様には伴走プランがおすすめです。

診断範囲・対象

Q

社内ネットワーク（LAN内）のサーバーも診断できますか？

A

診断できません。ネットde診断 ASMは、グローバルIPアドレスを持つ資産に対する外部からの診断のみに対応しています。

Q

診断できる対象を教えてください。

A

Webアプリケーション診断、ネットワーク診断（Webサーバー、メールサーバー、SSH・FTPサーバー、VPN機器など）、CMS診断（WordPress、EC-CUBEなど）の領域に対応しています。対象製品は随時追加しています。

Q

どのような脆弱性を検知できますか？

A

SQLインジェクション、クロスサイトスクリプティング、OSコマンドインジェクション、バッファオーバーフロー、ディレクトリトラバーサルなどを検知します。
OWASP TOP10、PCI DSS、IPA「安全なウェブサイトの作り方」、デジタル庁「政府情報システムにおける脆弱性診断導入ガイドライン」などの基準に沿って評価基準を更新しています。

診断結果・レポート

Q

診断結果はどのような形式で出力できますか？

A

管理画面のダッシュボードで確認できるほか、診断結果レポートをPDFまたはCSV形式でエクスポートできます。社内報告や監査対応の資料としてそのまま利用できます。

サポート

Q

脆弱性が見つかった後の対応も相談できますか？

A

相談できます。伴走プランでは、発見された問題の対策方針やトリアージ（優先度づけ）についてセキュリティコンサルタントに相談できるアドバイザリーサービスを提供しています。定期ミーティングを通じて、対策結果の管理まで継続的に支援します。

導入・運用

Q

導入の手続きは複雑ですか？手軽に始められますか？

A

社名やドメイン・IPアドレスを入力するだけで診断を開始できます。専門知識や複雑な設定は不要で、どなたでも簡単にお使いいただけます。

Q

導入前のトライアル利用は可能ですか？

A

トライアル可能です。ご利用条件や期間は個別にご案内しておりますので、お気軽にお問い合わせください。

Q

ASMツールを選定するとき、どの項目を比較すればよいですか？

A

以下の点で比較することを推奨します。ネットde診断 ASMはいずれにも対応しています。
①IT資産の検出方法（OSINTによる探索まで行うか、登録した資産のみか）
②脆弱性を検出するだけか、危険度のランク付けまで行うか
③管理画面とサポートの対応言語
④子会社・部署単位で権限を分けて管理できるか
⑤脆弱性診断後の対応方針を相談できるサポート体制があるか

Q

「ネットde診断 ASM」「ネットde診断 for Webアプリ」「ネットde診断 Lite」それぞれどんな企業に向いているか教えてください。

A

ネットde診断 ASMは、複数部署やグループ会社にまたがる外部公開IT資産全体を棚卸しして、継続監視したい企業向けです。
ネットde診断 for Webアプリは、特定のWebアプリケーションを繰り返し診断したい場合に適しています。
ネットde診断 Liteは、対象サイト数が少なく、まず低価格でWebサイトのセキュリティ対策始めたい中小企業向けです。

Q

ペネトレーションテストとASMの違いは何ですか？

A

ペネトレーションテストは、攻撃者と同じ手法で実際に侵入を試み、「特定の目的を達成できてしまうか」を検証する能動的なテストです。
ASMは、外部から見える資産を洗い出して既知の脆弱性を継続的に監視する取り組みで、目的が網羅性と継続性にあります。
ASMで全体像を把握したうえで、重要システムにペネトレーションテストを実施する流れが有効です。

Q

ASMツールと脆弱性診断（手動診断）は、どちらを選ぶべきですか？

A

目的が異なるため、併用が基本です。
ASMツールは「どこに何があるか分からない資産を、広く継続的に監視する」のに適しています。
一方、手動の脆弱性診断は「重要な1システムを、ビジネスロジックの不備まで深く検証する」のに適しています。
ネットde診断 ASMで全体を監視し、重要度の高いシステムだけ手動診断を組み合わせる形が一般的です。

Q

ネットde診断 ASMとfor Webアプリの違いは何ですか？

A

ネットde診断 ASMは社名・ドメイン・IPアドレスから外部公開資産を幅広く棚卸しし、プラットフォーム診断・Webアプリ診断・CMS診断などを継続的に行うことが可能です。
ネットde診断 for Webアプリは特定のWebアプリケーションに対し、ログイン後のページや認可制御まで踏み込んだ脆弱性診断が可能です。両方を併用いただくお客様もいらっしゃいます。

その他

Q

なぜ今ASMが必要とされているのですか？

A

クラウドの普及により各事業部門や海外子会社が独自にWebサイトやシステムを立ち上げられるようになり、情報システム部門が把握していないIT資産が増えているためです。2025年に登録された脆弱性は48,448件、1日あたり約132件のペースで新たな脆弱性が公表されており、把握できていない資産は攻撃の入り口になります。

Q

ネットde診断 ASMはどのようなサービスですか？

A

ネットde診断 ASMは、外部に公開されたIT資産の棚卸しから週1回の自動診断、リスクの優先度評価、対応方針の相談までを1つのツール上で完結できる国産のASMツールです。料金は自走プランが月額4万円〜、専門家の伴走支援がつく伴走プランが月額12万円〜です。

Q

ASM（アタックサーフェスマネジメント）とは何ですか？

A

ASMとは、インターネットからアクセスできる自社のIT資産（Webサイト、ドメイン、VPN機器、サーバーなど）を継続的に調査し、そこに存在する脆弱性を評価・管理する取り組みです。攻撃者から見える「攻撃面（アタックサーフェス）」を把握することが目的で、経済産業省も2023年に「ASM導入ガイダンス」を公開しています。