CTEMとは：従来の脆弱性管理との違いと使い分け

CTEMとは

CTEM（Continuous Threat Exposure Management） は、2022年にGartnerが提唱したセキュリティフレームワークです。組織の攻撃対象領域（アタックサーフェス）を、継続的に発見・評価・対処していくアプローチを指します。

従来の脆弱性管理は「見つけた脆弱性をパッチで塞ぐ」という受け身のものでした。CTEMはそこから一歩進んで、攻撃者の視点で、リスクを先回りして管理します。

CTEMの5つのステップ

CTEMは、5段階のサイクルを継続的に回して、組織のセキュリティ態勢を保ちます。

1. Scoping（範囲定義）

保護すべき資産とビジネスリスクの範囲を決めます。IT資産だけでなく、SaaS・クラウド環境・サプライチェーンまで含めた広い視点が要ります。PentaTrailでは、保有するオリジンドメインの登録と、各アセットへのBIタグ付け（用途・データ分類・可用性要件）が、このフェーズにあたります（BIスコアで詳述）。

2. Discovery（発見）

決めた範囲の中の資産を、自動で洗い出します。ドメイン・サブドメイン・IPアドレス・ポート・使用技術・クラウドストレージなど、攻撃者が見つけうる要素を残さず拾います。ここで把握できていなかった資産が出てくれば、それは「シャドーIT」のリスクとして可視化されます（アタックサーフェスマネジメント（ASM）とは・シャドーIT）。

3. Prioritization（優先順位付け）

発見した脅威に、ビジネスインパクトと悪用可能性から優先順位を付けます。PentaTrailでは、CVSSとEPSSからTDL（脅威ディスカバリレベル）を、アセットタグからBIスコアを出し、両者を組み合わせてTERバンド（S/A/B/C/D）に分類します（TER・TDL・CVSS・EPSS・KEV）。

4. Validation（検証）

優先順位の高い脅威が、実際に悪用できるかを確かめます。PentaTrailのAIディープスキャンは、業界標準の検証テンプレートとAIガイダンスを組み合わせて高優先度の所見を能動的に検証し、「確認できた所見」と「確認できなかった所見」に分けます。この結果はTERバンドに双方向で反映されます（確認できた所見はEvidence Grade Aを維持、確認できなかった所見はTDLを1段階下げる）。

5. Mobilization（対応推進）

検証の結果をもとに、具体的な対応を実行に移します。PentaTrailは所見ごとにAIで修復ガイダンスを生成し、担当グループ・担当者を割り当てた対応タスクに展開します。経営層には週次でAIが要約したインサイトが届き、対応の進捗とリスク態勢の変化を一目でつかめます。

従来の脆弱性管理との違い

なぜ、いまCTEMなのか

いちばんの理由は、攻撃対象領域が急速に広がっているからです。クラウド移行やリモートワーク、SaaS利用の拡大で、守るべき範囲は社内ネットワークの外へあふれました。従来の「社内を守る」発想では、もう追いきれません。

しかも、攻撃者のスピードが上がっています。脆弱性が公開されてから悪用されるまでの時間は、年々短くなっています。四半期ごとのスキャンでは、その間に先を越されかねません。

かといって、すべての脆弱性に同じ労力はかけられません。CTEMは「本当に危険なもの」を見極めて、限られた人手をそこに集中させる考え方です。

PentaTrail で CTEM を実践する

PentaTrail/CTEM は、このCTEMフレームワークに沿って設計したセキュリティサービスです。各フェーズに対応する機能と、深掘り記事は次のとおりです。

継続的な攻撃面管理は、14日間無料で試せます。