security
静的なCVSSスコアからリスクベースの優先順位付けへ方針転換、旧形式は9月28日で終了
米サイバーセキュリティ・インフラセキュリティ庁（CISA）が発行する毎週の脆弱性速報を頼りに最新の脅威情報を追っている方には、残念なお知らせです。この速報は9月末で廃止されます。
CISAは水曜日、毎週の脆弱性速報を9月28日（月曜日）をもって配信停止すると発表しました。同庁はこの変更について、脆弱性の深刻度に基づく管理から「近代的でリスクベースのアプローチ」への転換の一環だと説明しています。
CISAの説明によれば、このアプローチは6月に発表された拘束力のある運用指令（BOD）で詳細に定められています。この指令は、対象となる連邦民間機関が、すべての脆弱性やシステムを一律に扱うのではなく、実際のリスクに基づいてセキュリティ更新の優先順位を決めるべきだと説明するものです。
同庁は6月の発表で、「本指令はCISAの既知の悪用済み脆弱性（KEV）カタログを発展させたもので、リスクの高い脆弱性への迅速な対応を効率的に優先させる一方、リスクの低い脆弱性への対応を後回しにすることで、連邦政府全体の即応態勢を強化します」と説明しています。
6月の発表に含まれる対応表によれば、深刻度の判定要素には、露出および悪用の証拠、悪用によって得られる制御の程度、そして脆弱性の悪用が自動化可能かどうかなどが含まれます。
この6月のBODは、いわば対象となる連邦民間機関に対し、脆弱性の優先順位付けにおいて静的なCVSSスコアのみに依存する体制からの脱却を促すものであり、これがCISAが毎週の速報を廃止したいと考える理由の一端を説明しています。ただし、同庁はなぜ速報をBODの新基準に合わせて改訂するのではなく、廃止という選択をしたのかについては説明していません。
一つ考えられる理由は、新たな脆弱性のリストが週次メールに収まりきらないほど膨大になっている可能性です。AIを活用したセキュリティ研究の普及により、パッチが公開されるたびに対応する脆弱性の数は急速に増加しています。一方で、国家脆弱性データベース（NVD）は依然として膨大な処理待ちを抱えており、CVEエコシステム全体もまた、本物の脆弱性を見極めるためにAIが生成した偽の報告をふるいにかける作業にますます追われています。
とはいえ、CISAはセキュリティ専門家にCVEそのものを見限ってほしいわけではありません。今回の発表では、脆弱性情報を継続的に把握したい人は、代わりにCISAの既知の悪用済み脆弱性カタログ、サイバーセキュリティ警報・注意喚起、そしてCVEカタログ自体を利用するよう案内されています。
つまり、現在この毎週の速報を受け取り活用している人は、GovDeliveryまたはGranicusのアカウントにログインし、KEVカタログおよびサイバーセキュリティ注意喚起の購読設定が有効になっていることを確認する必要があります。これを怠ると重要な通知を見逃しかねませんが、CISAはこうした事態が起こりうる懸念について、それほど気にかけていないようです。
「CISAは国家のサイバー防衛を強化し、各組織が実際のリスクに基づいて修復作業の優先順位を付けられるよう支援することに、引き続き注力してまいります」と同庁は述べています。深刻度が重大と評価された脆弱性をユーザーに定期的に通知する手段を打ち切ることが、たとえスコア自体は静的なものであっても、この新しいリスク重視の枠組みから外れているとは、同庁はどうやら考えていないようです。®
