CISA、週次脆弱性速報を廃止しリスクベースのアプローチへ転換

米サイバーセキュリティ・インフラセキュリティ庁（CISA)は水曜、週次脆弱性速報を廃止すると発表しました。

この速報は9月28日をもって廃止され、脆弱性管理をリスクベースのアプローチへ転換する取り組みの一環となります。

速報は毎週新たに記録された脆弱性の概要をまとめたもので、製品名、脆弱性の説明、公開日、深刻度、CVSSスコア、CVE識別子、そして（利用可能な場合は）パッチ情報などが含まれていました。

各速報には数千件の脆弱性が、影響を受ける製品名と深刻度のアルファベット順で掲載されていましたが、優先順位付けに関するガイダンスは提供されていませんでした。脅威インテリジェンスや実際に悪用されているかどうかの文脈情報がないまま脆弱性の件数だけが膨大になると、防御側にとっては警戒疲れを招きかねません。

CISAは、この速報廃止について「拘束力のある運用指令（BOD)26-04に沿ったものであり、同指令は連邦機関に対し、深刻度スコアのみに頼るのではなく、悪用の証拠や露出状況といった実世界のリスク要因に基づいて脆弱性に優先順位を付けるよう求めている」と説明しています。

6月に公表されたBOD 26-04は、連邦機関に対し脆弱性管理ポリシーの見直しと更新を義務付け、KEVカタログに掲載された脆弱性の修正を優先するよう求めるものでした。

近年、業界全体でCVSS指標のみに依存する姿勢から脱却する動きが広がっています。CVSSが理論上の技術的深刻度を測定するのに対し、現代のリスクベース脆弱性管理フレームワークは、実際に悪用が確認されているか、脅威アクターの関心度、そして露出レベルを優先的に考慮します。

2021年の導入以来、CISAの既知悪用脆弱性(KEV)カタログは、汎用的な脆弱性一覧に代わり、防御側にとっての主要な参照先として大きく存在感を高めてきました。実際に悪用が確認されている不具合だけに焦点を絞ることで、KEVリストは静的な週次速報では実現できなかった実践的な優先順位付けを提供しています。

ただし、この週次速報が廃止されることで、新たな脆弱性情報の把握を速報に依存してきたセキュリティオペレーションセンター(SOC)は、何らかの対応の見直しを迫られる可能性があります。

CISAは、KEVカタログやアラート、アドバイザリを通じて、リスクに焦点を当てた脆弱性情報の提供を今後も継続するとしています。