CTEMとは：従来の脆弱性管理との違いと使い分け
目次
CTEM（Continuous Threat Exposure Management） は、2022年に Gartner が提唱したセキュリティフレームワークです。組織の攻撃対象領域を、継続的に発見・評価・対処していく進め方を指します。
同じ「脆弱性を減らす」という目的でも、従来の脆弱性管理とは作業の形が違います。
CTEM は、対象と判断材料を広げ、5つのステップを回し続ける
よくある従来の運用では、定期スキャンで既知の資産の脆弱性を見つけて直すところが中心になってきました。CTEM は対象と判断材料を広げ、攻撃者の視点で範囲を決め直すところまで含めて、5つのステップを回し続けます。
図1：一区切りになる運用と、回し続ける運用
5つのステップでは、得られるものがそれぞれ違う
範囲を決めて、資産を見つけて、順位を付けて、悪用を確かめて、対応を進めます。同じ「脆弱性管理」という言葉でひとまとめにされがちですが、ステップごとに出てくる成果物が違います。
図2：CTEM の各ステップと、そこから出てくるもの
深掘り：各ステップで実際にやること
1. Scoping（範囲定義）。 保護すべき資産とビジネスリスクの範囲を決めます。IT資産だけでなく、SaaS・クラウド環境・サプライチェーンまで含めた広い視点が要ります。PentaTrail では、保有するオリジンドメインの登録と、各アセットのビジネスインパクト（重要・標準・限定的）の確認が、このステップにあたります（ビジネスインパクト（BI）で詳述）。
2. Discovery（発見）。 決めた範囲の中の資産を自動で洗い出します。ドメイン・サブドメイン・IPアドレス・ポート・使用技術・クラウドストレージなど、攻撃者が見つけうる要素を残さず拾います。ここで把握できていなかった資産が出てくれば、それはシャドーITのリスクとして可視化されます（アタックサーフェスマネジメント（ASM）とは・シャドーIT）。
3. Prioritization（優先順位付け）。 発見した脅威に、ビジネスインパクトと悪用可能性から優先順位を付けます。PentaTrail では、CVSS と EPSS から TDL（脅威ディスカバリレベル）を出し、アセットのビジネスインパクト（BI）と組み合わせて TER バンド（S/A/B/C/D）に分類します（TER・TDL・CVSS / EPSS / KEV）。
4. Validation（検証）。 優先順位の高い脅威が、実際に悪用できるかを確かめます。
5. Mobilization（対応推進）。 具体的な対応を実行に移します。PentaTrail は所見ごとに AI で修復ガイダンスを生成し、対応タスクに展開します。
従来との違いは、視点・範囲・頻度・優先順位・検証の5点
典型的な運用との違いは5つあります。内側からのスキャンではなく、外から攻撃者の視点で見ます。既知のIT資産だけでなく、クラウドや SaaS まで対象にします。実施は四半期ごとではなく継続的で、CVSS だけでなくビジネスインパクトも見たうえで、スキャン結果で止めずに悪用できるかまで確かめます。
図3：5つの観点で、どこがどう入れ替わるか（詳しい対応は末尾の表）
いま必要になったのは、守る範囲が社内の外へ出たから
クラウド移行やリモートワーク、SaaS 利用の拡大で、守るべき範囲は社内ネットワークの外へあふれました。社内を守る発想のままでは、把握していない資産が増えていくことになります。
図4：守る範囲の広がり（台帳に載っていない側が増える）
しかも脆弱性が公開されてから悪用されるまでの時間は年々短くなっていて、四半期ごとのスキャンでは先を越されかねません（露出を放置できる時間は、もうゼロになった）。かといってすべての脆弱性に同じ労力はかけられないので、本当に危険なものを見極めて、限られた人手をそこへ集中させる考え方が要ります。
PentaTrail/CTEM は、範囲の登録から、発見、TER バンドでの優先順位付け、AI 修復ガイダンスと対応タスクまでを1つのサービスで回します。
継続的な攻撃面管理は、無料で始められます。
付録：従来の脆弱性管理との比較と、機能の対応
表1：従来の脆弱性管理と CTEM の比較
| 観点 | 従来の脆弱性管理 | CTEM |
|---|---|---|
| アプローチ | 内部スキャンが中心 | 外部からの攻撃者視点 |
| 対象範囲 | 既知のIT資産 | シャドーIT、クラウド、SaaSを含む全資産 |
| 実施頻度 | 定期的（月次・四半期） | 継続的・リアルタイム |
| 優先順位 | CVSSスコアベース | ビジネスインパクト＋悪用可能性 |
| 検証 | なし（スキャン結果のみ） | 実際の悪用可能性を検証 |
| 対応 | パッチ適用が中心 | 組織横断的な対応推進 |
左の列に並べたのは典型的な形で、脆弱性管理の定義ではありません。定期スキャン中心の運用でも、優先順位付けや検証を組み込んでいる場合があります。
表2：ステップごとの PentaTrail の機能と、深掘り記事
| ステップ | PentaTrail の主な機能 | 関連記事 |
|---|---|---|
| Scoping | オリジンドメイン登録、アセットのビジネスインパクト（重要・標準・限定的）の確認 | ビジネスインパクト（BI） |
| Discovery | サブドメイン自動発見、ポート・技術スタック検出、シャドー IT 可視化 | アタックサーフェスマネジメント（ASM）とは / シャドー IT |
| Prioritization | TER バンド（S/A/B/C/D）、TDL、BI、KEV ブースト、Evidence Grade | TER / TDL / CVSS・EPSS・KEV |
| Mobilization | AI 修復ガイダンス、対応タスク管理 | （別記事で解説予定） |
PentaTrail CTEM/ASMで攻撃面を可視化しませんか？
CTEMフレームワークに基づき、外部攻撃面の発見から対応推進までを一気通貫で実現します。
