3.2 課題解決のための要件定義 #

課題を把握した後に、課題解決のための要件を定義します。要件まで落とし込むことにより、自組織のニーズ（解決したい課題や目的）に合致したASMツールを選定する狙いがあります。
ASMツールやASMサービスは、提供する企業（セキュリティベンダ等）によって機能や内容が多岐に渡るため、本工程が実施されていない場合、ASMツールを導入しても課題解決に結びつかないことがあります。

以降の内容は2章までの内容を理解している前提で、前節で取り上げた課題の一部をもとに検討を進めていきます。（以下に課題を再掲）

• 企業構造や組織構造により、IT資産を一元管理することが難しい
• 脆弱性管理は現場に委ねており、第三者的観点を取り入れられていない
• 攻撃に悪用されている脆弱性が公表されても、横断的な調査に時間がかかる

まずは、機能要件を考えてみます。ASMに求める機能とプロセスが明確であれば、それらを機能要件にします。不明であれば、4章で紹介されているASMの機能を切り口に、要件を挙げても良いでしょう。参考として、機能要件の一例を下表にまとめました。

ASMツールは導入がゴールではなく、運用してこそ価値を発揮します。そのため、運用のイメージがつくか、アクションに繋げやすい情報を出すかなど、運用面での要件も必ず考慮しましょう。
非機能要件は、各組織のセキュリティポリシーや運用ポリシーに準拠しているかを判断軸にすることが多いと考えられるため、ここでは割愛します。

次に、ASMのスコープを設定します。ASMツールやASMサービスのライセンス形態は複数あるため、コスト算出のためスコープの設定を推奨します。また、企業規模が大きくなるほど検出数が多くなるため、運用負荷もあがります。現行の運用メンバーで対応可能かも確認しましょう。スコープの一例を下表に示します。

関連コラム：本当にASMが必要ですか？