把握していた資産の60倍を発見――Lumenが取り組む、110万デバイスのセキュリティ管理改革

要点

• 米電気通信大手のLumen Technologiesは、資産管理プラットフォームを導入し、当初把握していた1.7万台から110万台（約60倍）のデバイスを特定した。

• 40以上の独立したシステム情報を統合し、ゼロデイ脆弱性の影響調査や所有者の特定を数分以内に行える体制を構築した。

• 脆弱性スキャン結果を大量に送る従来の手法から、ビジネスへの影響度などを加味したリスクベースのエクスポージャー管理へと移行した。

• 資産状況の可視化により、インフラのクラウド移行やセキュリティ投資の10倍増など、経営陣の迅速な意思決定を後押しした。

• 米電気通信大手のLumen Technologies（ルーメン・テクノロジーズ）が、社内のセキュリティ資産（アセット）情報を統合した結果、当初把握していた台数の60倍にあたる約110万台のデバイスを特定したことが明らかになった。同社でプロダクトおよびプラットフォームセキュリティ部門のディレクターを務めるジェフ・クラーン氏らが、アセットインテリジェンスプラットフォームを提供するAxonius（アクソニウス）の導入事例として公表した。2026年7月10日、セキュリティ専門メディアの「The Hacker News」が報じた。

企業規模で崩壊する資産管理の実態

多くの企業は自社のアセット（サーバーやPCなどのサイバー資産）情報を正確に把握していると考えがちだが、実態は異なる。2026年版「Axonius Actionability Report」によると、アセットとエクスポージャー（脆弱性や設定ミスなどにより、脅威にさらされている状態）のデータを1つの画面に統合できている組織は45%に留まり、資産情報の誤りは下流のすべてのセキュリティ対策に引き継がれるという。

歴史あるLumenでも、40以上の独立したIT・セキュリティツールがそれぞれ異なる範囲を追跡しており、所有者や保護状況のデータが一致していなかった。「EDR（端末における不審な挙動を検知して対処するセキュリティ対策）が適用されているサーバーの割合」などの質問にも正確に答えられず、障害発生時も所有者が不明なまま対応していたという。

そこで同社はAxoniusを用いてデータソースを統合した。その結果、判明したアセットの規模は予想をはるかに超えていた。

• 統合前：インベントリ（資産目録）上で把握していたアセットは約17,000台
• 初期統合後：特定されたデバイスは500,000台
• 現在：約1,100,000台

クラーン氏は「責任の大きさに目を開かされた」と述べ、この可視化が経営陣の支持や予算の確保に繋がったとしている。

信頼できるデータがもたらす効果

資産情報の正確な把握により、同社のセキュリティ運用は劇的に変化した。

1つ目は、ゼロデイ（システムの脆弱性が発見されてから修正されるまでの無防備な期間）への迅速な対応だ。重大な脆弱性が発生した際、チームは影響を受けるシステムや外部への露出状況、所有者を数分以内に特定できるようになった。さらに、構築したチャットボットを通じて、担当エンジニアへ即座に通知をプッシュ送信する仕組みも導入している。

2つ目は、社内で稼働する数千のアプリケーションのセキュリティ体制（ポスチャ）の可視化だ。サーバーの修正パッチ適用状況だけでなく、CMDB（IT資産の関係性を統合管理するデータベース）情報、セキュリティ適用状況、脆弱性データ、およびEOL（製品のサポート終了期限）を掛け合わせ、どのビジネスシステムを支え、侵害時にどの収益に影響が及ぶかを評価する「アプリケーションポスチャダッシュボード」を構築した。クラーン氏は、将来的にはこの仕組みを自社製品とも直接連携させ、サイバーリスクと収益への影響度を明確に紐付ける計画だ。

「スキャン＆スパム」からの脱却

アセットの正確な背景情報がない場合、多くのセキュリティチームは脆弱性の深刻度を示す共通指標であるCVSS（脆弱性の深刻度を評価する共通指標）のスコアのみを頼りに、上から順に対応する手法を採用しがちだ。同報告書によれば、多くの担当者が悪用可能性やビジネスへの影響を考慮すべきだと理解しつつも、実際には56%の組織が依然としてCVSSのみに頼って優先順位を決めている。

その結果、本当に危険な問題が大量の警告の陰に埋もれてしまう。クラーン氏はこの状態を、スキャン結果を大量に送りつけるだけの「スキャン＆スパム（scan and spam）」と呼び、非効率的であると批判する。

信頼できるアセットデータを確立したLumenは、このモデルを脱却した。同社は「Axonius Exposures」を使用し、検出された脆弱性情報に、アセットのビジネス上の重要度や保護状況といった文脈情報を組み合わせることで、最もリスク削減効果の高い対策を特定する運用へと移行した。

経営陣の迅速な意思決定を後押し

正確な可視化データは、経営陣の意思決定も大きく変えた。

まず、システムのEOL情報が可視化されたことで、同社はインフラの大部分をクラウドへ移行する決定を下した。これにより、全体のリスクを40%削減することに成功したという。
さらに、把握された管理対象の全体像に基づいて、同社のセキュリティ投資額は従来の約10倍の規模に拡大した。現在の同社取締役会では、セキュリティ機能のカバー率やEDRの導入状況、コンプライアンスの遵守状況に関する報告資料として、Axoniusから出力されるレポートが直接活用されている。

Lumenのように40以上のツールが存在していても資産の把握漏れが発生していたという事実は、多くの企業にとっても、自社データに同様の深刻なギャップが潜んでいる可能性を示唆している。