米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、脆弱性の報告・調整を行うプラットフォームをアップグレードし、自動化をさらに進めるとともに処理の効率化を図りました。あわせて、脆弱性研究者が利用できる新たな組み込みツールも追加しています。
CISAは2020年以降、カーネギーメロン大学のVulnerability Information and Coordination Environment（VINCE）を使用してきました。これは同大学ソフトウェアエンジニアリング研究所（SEI）の一部門であるComputer Emergency and Response Team Coordination Center（CERT/CC）が同年に開発した脆弱性管理プラットフォームです。
2026年9月17日より、米サイバーセキュリティ庁はVINCE – New Technology（VINCE-NT）の利用を開始しています。
「VINCE-NTは、脆弱性の報告・調整のためにCISAが管理する近代化されたプラットフォームです。脆弱性の報告者、製品サプライヤー、CISAのケースマネージャーが、開示プロセス全体を通じて連携する方法を改善します」と、CISAは9月17日にソーシャルメディアで公開した発表で述べています。
同庁はまた、今回の変更によりプラットフォームの所有権、運営、管理がCoordinated Vulnerability Disclosure（CVD）チームに移り、内部ツールやプロセスとの統合が向上するとも説明しています。
主な強化点は以下のとおりです。
- 脆弱性報告の提出をより簡単かつ安全にし、摩擦を軽減する使いやすいインターフェース
- 最も重要な脆弱性の優先順位付けをチームがより的確に行えるようにする、トリアージ効果の強化
- 自動化によるアドバイザリ公開ワークフローの簡素化
- 機密データを保護しつつ、関係者全員による透明性のある連携を可能にする組み込みツール
- CISAのCVDチームが連携改善に活用できる、実用的な知見を提供する報告ケース指標の強化
- 複数関係者間の調整やアドバイザリ作成に対する支援の強化
さらに、VINCE-NTでは、これまでCISAが使用していた脆弱性関連の用語の一部も刷新されました。「ベンダー／開発者／メンテナー」という項目は「サプライヤー」に、「製品」は「コンポーネント」に、「研究者／発見者」は「報告者」に、それぞれ置き換えられています。
移行に関するFAQの中で、CISAは今後数週間かけてVINCEの現行案件を移行していくと述べています。
VINCEで進行中の案件を抱えている関係者に対しては、ケースコーディネーターから連絡があり、移行日が伝えられます。
非アクティブな案件はVINCE-NTには移行されませんが、引き続きVINCE上で参照可能です。
米サイバーセキュリティ庁は、CISAへの脆弱性報告は今後VINCE-NTを通じて行う必要がある旨を、各組織が社内の報告手順に反映させるよう求めています。
翻訳元: https://www.infosecurity-magazine.com/news/cisa-upgrades-vulnerability/
