CTEMとは：従来の脆弱性管理との違いと使い分け
目次
CTEM（Continuous Threat Exposure Management） は、2022年に Gartner が提唱したセキュリティフレームワークです。組織の攻撃対象領域を、継続的に発見・評価・対処していく進め方を指します。
同じ「脆弱性を減らす」という目的でも、従来の脆弱性管理とは作業の形が違います。
CTEM は、対象と判断材料を広げ、5つのステップを回し続ける
よくある従来の運用では、定期スキャンで既知の資産の脆弱性を見つけて直すところが中心になってきました。CTEM は対象と判断材料を広げ、攻撃者の視点で範囲を決め直すところまで含めて、5つのステップを回し続けます。
図1：一区切りになる運用と、回し続ける運用
5つのステップでは、得られるものがそれぞれ違う
範囲を決めて、資産を見つけて、順位を付けて、悪用を確かめて、対応を進めます。同じ「脆弱性管理」という言葉でひとまとめにされがちですが、ステップごとに出てくる成果物が違います。
図2：CTEM の各ステップと、PentaTrail でそこから出てくるもの
深掘り：各ステップで実際にやること
1. Scoping（範囲定義）。 保護すべき資産とビジネスリスクの範囲を決めます。IT資産だけでなく、SaaS・クラウド環境・サプライチェーンまで含めた広い視点が要ります。PentaTrail では、保有するオリジンドメインの登録と、各アセットへの BI タグ付け（用途・データ分類・可用性要件）が、このステップにあたります（BIスコアで詳述）。
2. Discovery（発見）。 決めた範囲の中の資産を自動で洗い出します。ドメイン・サブドメイン・IPアドレス・ポート・使用技術・クラウドストレージなど、攻撃者が見つけうる要素を残さず拾います。ここで把握できていなかった資産が出てくれば、それはシャドーITのリスクとして可視化されます（アタックサーフェスマネジメント（ASM）とは・シャドーIT）。
3. Prioritization（優先順位付け）。 発見した脅威に、ビジネスインパクトと悪用可能性から優先順位を付けます。PentaTrail では、CVSS と EPSS から TDL（脅威ディスカバリレベル）を、アセットタグから BI スコアを出し、両者を組み合わせて TER バンド（S/A/B/C/D）に分類します（TER・TDL・CVSS / EPSS / KEV）。
4. Validation（検証）。 優先順位の高い脅威が、実際に悪用できるかを確かめます。PentaTrail の AI ディープスキャンは、業界標準の検証テンプレートと AI ガイダンスを組み合わせて高優先度の所見を能動的に検証し、確認できた所見と確認できなかった所見に分けます。この結果は TER バンドに双方向で反映されます（確認できた所見は Evidence Grade A を維持、確認できなかった所見は TDL を1段階下げる）。
5. Mobilization（対応推進）。 検証の結果をもとに、具体的な対応を実行に移します。PentaTrail は所見ごとに AI で修復ガイダンスを生成し、担当グループ・担当者を割り当てた対応タスクに展開します。経営層には週次で AI が要約したインサイトが届き、対応の進捗とリスク態勢の変化を一目でつかめます。
従来との違いは、視点・範囲・頻度・優先順位・検証の5点
典型的な運用との違いは5つあります。内側からのスキャンではなく、外から攻撃者の視点で見ます。既知のIT資産だけでなく、クラウドや SaaS まで対象にします。実施は四半期ごとではなく継続的で、CVSS だけでなくビジネスインパクトも見たうえで、スキャン結果で止めずに悪用できるかまで確かめます。
図3：5つの観点で、どこがどう入れ替わるか（詳しい対応は末尾の表）
いま必要になったのは、守る範囲が社内の外へ出たから
クラウド移行やリモートワーク、SaaS 利用の拡大で、守るべき範囲は社内ネットワークの外へあふれました。社内を守る発想のままでは、把握していない資産が増えていくことになります。
図4：守る範囲の広がり（台帳に載っていない側が増える）
しかも脆弱性が公開されてから悪用されるまでの時間は年々短くなっていて、四半期ごとのスキャンでは先を越されかねません（露出を放置できる時間は、もうゼロになった）。かといってすべての脆弱性に同じ労力はかけられないので、本当に危険なものを見極めて、限られた人手をそこへ集中させる考え方が要ります。
PentaTrail は、5つのステップそれぞれに機能を持っている
PentaTrail/CTEM は、このフレームワークに沿って設計したサービスです。範囲の登録から、発見、TER バンドでの優先順位付け、AI ディープスキャンでの検証、AI 修復ガイダンスと対応タスクまでを1つのサービスで回します。
図5：ステップごとに当たる機能（深掘り記事への対応は末尾の表）
継続的な攻撃面管理は、14日間無料で試せます。
付録：従来の脆弱性管理との比較と、機能の対応
表1：従来の脆弱性管理と CTEM の比較
| 観点 | 従来の脆弱性管理 | CTEM |
|---|---|---|
| アプローチ | 内部スキャンが中心 | 外部からの攻撃者視点 |
| 対象範囲 | 既知のIT資産 | シャドーIT、クラウド、SaaSを含む全資産 |
| 実施頻度 | 定期的（月次・四半期） | 継続的・リアルタイム |
| 優先順位 | CVSSスコアベース | ビジネスインパクト＋悪用可能性 |
| 検証 | なし（スキャン結果のみ） | 実際の悪用可能性を検証 |
| 対応 | パッチ適用が中心 | 組織横断的な対応推進 |
左の列に並べたのは典型的な形で、脆弱性管理の定義ではありません。定期スキャン中心の運用でも、優先順位付けや検証を組み込んでいる場合があります。
表2：ステップごとの PentaTrail の機能と、深掘り記事
| ステップ | PentaTrail の主な機能 | 関連記事 |
|---|---|---|
| Scoping | オリジンドメイン登録、アセットへの BI タグ付け（用途・データ分類・可用性要件） | BI スコア |
| Discovery | サブドメイン自動発見、ポート・技術スタック検出、シャドー IT 可視化 | アタックサーフェスマネジメント（ASM）とは / シャドー IT |
| Prioritization | TER バンド（S/A/B/C/D）、TDL、BI スコア、KEV ブースト、Evidence Grade | TER / TDL / CVSS・EPSS・KEV |
| Validation | AI ディープスキャン、確認/非確認に応じた TDL 反映 | AIディープスキャン |
| Mobilization | AI 修復ガイダンス、対応タスク管理、AI 週次インサイト | （別記事で解説予定） |
