Sophos Cyber Risk Management｜Tenable 技術と 24/7 マネージドサービスで攻撃される前に脆弱性を発見
「自社にどれだけインターネット公開資産があるのか把握できていない」「脆弱性スキャナは導入したが、出てくる結果が多すぎて手が回らない」——多くの企業がこうしたサイバーリスク管理の壁に直面しています。Sophos Cyber Risk Management（製品名：Sophos Managed Risk）は、業界トップクラスの脆弱性管理ベンダー Tenable のテクノロジーを取り込み、Sophos の専門アナリストチームが 24 時間 365 日でお客様の攻撃対象領域（アタックサーフェス）を監視し、重大なリスクを発見次第、能動的に通知・対応支援を行うフルマネージド型のサービスです。
2024 年 4 月にローンチされた本サービスは、2025 年 7 月のアップデートで 内部攻撃対象領域管理（IASM） 機能が追加され、社外公開資産だけでなく、社内ネットワーク内の脆弱性も検出・優先順位付けできるようになりました。Sophos MDR（マネージド検知＆対応サービス）とシームレスに連携することで、「リスクの可視化 → 検知 → 対応」までを 1 つのプラットフォームで完結できるのが最大の特長です。
Sophos Cyber Risk Management とは
Sophos Cyber Risk Management（正式サービス名：Sophos Managed Risk）は、Tenable 社が長年磨いてきた脆弱性管理エンジンを Sophos Central 上で統合的に利用できるマネージドサービスです。お客様側に脆弱性スキャナの専門知識を求めず、ライセンス契約後すぐに資産棚卸し・脆弱性スキャン・優先順位付け・通知までが自動化される点が、従来の自前構築型ツールと大きく異なります。
📌 製品基本情報
| サービス名 | Sophos Managed Risk（旧称ベースの呼称：Cyber Risk Management） |
| 提供元 | Sophos Ltd.（英国本社）／日本法人：ソフォス株式会社 |
| 技術基盤 | Tenable.io / Nessus（OEM 提携） |
| 提供形態 | クラウド型（Sophos Central で管理）＋ Sophos アナリストによるマネージドサービス |
| 対象 | 企業のインターネット公開資産（EASM）／社内ネットワーク資産（IASM） |
| 主な対応 OS | Windows / Linux / macOS / 主要ネットワーク機器・各種クラウドサービス |
| 提供開始 | 2024 年 4 月（EASM）／2025 年 7 月 IASM 機能追加 |
主な機能・特長
🛡️ 外部攻撃対象領域管理（EASM）
企業ドメインから自動的にインターネット公開資産（Web サイト・API・公開された VPN ゲートウェイ・クラウドストレージ等）を発見し、脆弱性や設定不備を継続スキャンします。「気づかないうちに公開されていた開発用サーバ」「退職者がドメインを取得したまま残っているサブドメイン」など、いわゆるシャドー IT も網羅的に洗い出します。
🔷 内部攻撃対象領域管理（IASM）
2025 年 7 月に追加された新機能。社内ネットワーク内に Tenable Nessus スキャナを配置し、社内サーバ・PC・IoT 機器・ネットワーク機器の脆弱性を網羅的に検出します。外部からは見えない「内部攻撃で初めて露呈する脆弱性」を、攻撃を受ける前に発見できます。
📊 AI ベースのリスク優先順位付け（VPR）
Tenable の Vulnerability Priority Rating（VPR） を活用し、CVSS スコアだけでなく「実際に攻撃に使われている脆弱性か」「悪用コードが公開されているか」「Exploit Kit に組み込まれているか」といった脅威インテリジェンスを加味して、対応すべき脆弱性を 1〜10 のスコアで自動ランク付けします。膨大な脆弱性リストの中から、「本当に今すぐ塞ぐべき穴」だけを抽出できます。
📱 24/7 マネージドサービス
Sophos の専門アナリストが 24 時間 365 日でスキャン結果を監視。「悪用される可能性が高い重大な脆弱性」を発見した場合、お客様に能動的に通知 し、修正手順までガイドします。お客様側に専任セキュリティ担当を置く必要がなく、IT 部門 1〜2 名規模の中堅・中小企業でも本格的な脆弱性管理運用を実現できます。
🔷 Sophos MDR とのシームレス連携
Sophos MDR（マネージド検知＆対応）契約済みのお客様は、検知された脅威と Cyber Risk Management で見つかった脆弱性を Sophos Central 上で 1 画面で把握できます。「攻撃を受けている＋未パッチ」のような高リスクな組み合わせを即座に発見でき、対応の優先度判断が圧倒的に速くなります。
活用シーン・サービス内容
Sophos Cyber Risk Management が実際にどんな課題を解決するか、典型的なシーンを 4 つご紹介します。
他社サービスとの比較
脆弱性管理を「自前のスキャナ」「他社マネージドサービス」「Sophos Managed Risk」の 3 パターンで比較します。
| 項目 | 自前スキャナ運用 | 他社マネージド型 | Sophos Managed Risk |
|---|---|---|---|
| 専門知識の必要性 | 高い（運用担当が必要） | 低い | 非常に低い |
| 脆弱性検出エンジン | 製品次第 | ベンダー独自が多い | Tenable（業界トップ） |
| 外部公開資産の自動発見 | 手動棚卸しが必要 | サービスによる | ◎ 自動（EASM） |
| 社内ネットワークの脆弱性検出 | ◎ | △ 限定的 | ◎ IASM 対応 |
| リスク優先順位付け | CVSS 程度 | サービスによる | AI ベース VPR |
| 24/7 監視・通知 | × | ○ | ○ 専門アナリスト対応 |
| MDR との連携 | × | △ | ◎ Sophos Central 統合 |
料金体系
Sophos Cyber Risk Management の料金は、保護対象ユーザー数または資産数に応じた年額サブスクリプション形式です。EASM のみ／EASM＋IASM のような構成、Sophos MDR とのバンドルなど複数の組み合わせがあり、正式な料金はお客様の規模・構成によって変動します。アーデントでは、お客様の環境をヒアリングしたうえで最適なプランをお見積りいたします。
| プラン | 内容 | 料金 |
|---|---|---|
| Sophos Managed Risk（EASM） | 外部攻撃対象領域の継続監視＋ 24/7 マネージドサービス | お問い合わせください |
| Sophos Managed Risk（EASM + IASM） | 外部＋内部のフルカバレッジ。Nessus スキャナを含む | お問い合わせください |
| Sophos MDR + Managed Risk バンドル | 脅威検知（MDR）と脆弱性管理を統合運用 | お問い合わせください |
※料金は契約形態・ユーザー数・契約期間（年単位）により変動します。最新の正式見積りはアーデントまでお問い合わせください。
アーデントでは、デジタル化・AI 導入補助金を活用した Sophos Cyber Risk Management の導入をサポートしています。サイバーセキュリティ強化を目的とした脆弱性管理サービスは、補助対象として認められるケースが多く、補助金を活用することで実質的な導入コストを大幅に抑えることが可能です。詳しくはお気軽にお問い合わせください。
よくある質問（FAQ）
Q1. Sophos の他のセキュリティ製品（Intercept X、MDR 等）を使っていないと申し込めませんか？
A. いいえ。Sophos Managed Risk は単体で契約・利用可能です。ただし、Sophos MDR や Intercept X と組み合わせると Sophos Central 上で攻撃検知データと脆弱性データを 1 画面で把握でき、より大きな効果が得られます。
Q2. Tenable の Nessus を直接導入するのと何が違いますか？
A. Nessus を自前運用する場合、スキャンの計画・実行・結果のトリアージ・対応指示まですべてお客様側で行う必要があります。Sophos Managed Risk は同じ Tenable エンジンを使いつつ、Sophos の専門アナリストが 24/7 で監視・トリアージし、重大な脆弱性のみを能動的にお客様へ通知します。「ツール導入」ではなく「サービス利用」として運用できる点が最大の違いです。
Q3. 社内ネットワークの脆弱性スキャン（IASM）はどう実行されますか？
A. 社内ネットワークに Tenable Nessus スキャナ（仮想アプライアンスまたは物理アプライアンス）を配置します。スキャナが社内資産に対して脆弱性スキャンを実行し、結果は Sophos Central にアップロードされ、外部スキャン結果と統合的に分析されます。スキャン頻度・対象範囲は契約時に設定可能です。
Q4. 無料トライアルはありますか？
A. はい、Sophos Managed Risk には評価用トライアル期間が用意されています。実際にお客様のドメインを対象に簡易スキャンを実行し、結果サンプルレポートをお渡しすることも可能です。詳細はアーデントへお問い合わせください。
お問い合わせ
Sophos Cyber Risk Management（Sophos Managed Risk）の導入をご検討の方は、ぜひお気軽にご相談ください。アーデントでは、お客様の規模・既存のセキュリティ環境に応じた最適なプラン提案から、デジタル化・AI 導入補助金の申請サポート、導入後の運用支援まで、ワンストップでサポートしています。