CISAが月次脆弱性速報を廃止へ

AI生成型のセキュリティ脅威が急増する中、思わぬ犠牲が出たようです。米サイバーセキュリティ・インフラセキュリティ庁(CISA)が発行してきた週次脅威速報が、その役目を終えることになりました。

同庁は9月28日をもって既知の脆弱性に関する週次速報を廃止すると発表しました。この決定の背景には、最近導入された拘束力を持つ運用指令(BOD 26-04)があるとしています。この指令は、米政府機関に対し、従来の深刻度スコアではなく、実際に悪用が確認されているかどうかといった現実世界のリスク要因に基づいて脆弱性の修正に優先順位をつけるよう義務付けるものです。もっとも、BODの要求事項を満たしながら週次速報を継続できない理由については、はっきりしていません。

CISAにとってより差し迫った問題となりうるのは、AI生成型脅威の拡大です。同庁は今月初め、悪意ある攻撃者がAIで開発された資産を狙い、それを新たな攻撃の実行に利用しているとして警告を発したばかりです。

また同庁は、各組織のCISOに対し、防御体制を強化するため、ベンダーやプロバイダー自身が発行するセキュリティ速報やアップデート情報にも目を配るよう呼びかけています。今年初めには、CISAはこうしたベンダーに対し、サイバー攻撃への防御力を高めるためセキュリティ研究者とより緊密に連携するよう促していました。

週次速報の発行は取りやめるものの、CISAは既知の悪用済み脆弱性(KEV)カタログ、サイバーセキュリティに関するアラートおよびアドバイザリー、そして共通脆弱性識別子(CVE)カタログについては、引き続き情報提供を続ける方針です。