欧州連合サイバーセキュリティ機関（ENISA）は、グローバルなCommon Vulnerabilities and Exposures（CVE）プログラムにおいて、正式にプログラム・ルート機関に指定されました。これは、サイバーセキュリティのレジリエンスを強化し、加盟国間の脆弱性調整を効率化するというEUの取り組みにおける重要な一歩となります。
プログラム・ルートとして、ENISAは自らの権限の下で活動する各国当局、EU CSIRTsネットワークのメンバー、その他のパートナーにとっての中心的な連絡窓口を担います。この動きは、NIS2やサイバー・レジリエンス法（Cyber Resilience Act）といった主要な立法上の取り組みと整合しており、EU脆弱性データベース（EUVD）の展開もさらに後押しします。
Black Duckのプリンシパル・セキュリティ・エンジニアであるボリス・チポット氏は、この進展を「欧州におけるより強固なサイバーセキュリティ・レジリエンスに向けた大きな一歩」と述べ、脆弱性調整の中央集約化は「EU全域でセキュリティ脆弱性情報をより迅速かつ一貫して取り扱えるようにし、同時にNIS2やサイバー・レジリエンス法といった主要イニシアチブとも整合する」と指摘しました。
同氏はさらに、ENISAの新たな役割により、域内は「脆弱性管理における必要な戦略的自律性」を得られ、非EU組織への依存を減らすとともに、「欧州加盟国全体でCVEの運用慣行を調和させる」助けになると付け加えました。
チポット氏はまた、研究者やベンダーにとっての長期的な利点も強調し、「狙いと目標は、研究者とサイバーセキュリティ・ベンダーがCVE IDの割り当てをより迅速に受けられるようにし、EU法の下でより明確な法的指針を得られるようにし、EUVDとグローバルなCVE掲載の双方を通じて可視性を高める能力を提供することだ」と述べました。
Forescoutのリサーチ責任者であるダニエル・ドス・サントス氏は、この指定は双方の勢いを反映していると説明しました。「これは、ENISAがCVEプログラムにコミットしていること、そしてCVEプログラム側もENISAの貢献を求めていることの両方を示している」と同氏は述べました。「CVEプログラムの形成や、脆弱性報告の将来に関わる組織が増えれば、誰にとっても利益になります。」
同氏はまた、この変更により「各国当局、CSIRTs、その他のパートナーにとって、欧州におけるCVEプログラムへの単一の連絡窓口を持てるため、手続きが円滑になる」はずだと述べ、研究者とベンダーが協調的開示の慣行について合意するうえでも役立つとしました。
しかし両専門家は、成功裏の実装はリソースに大きく左右されると警告しました。チポット氏は、方針やツールの整合など、統合上の課題が生じ得る点を指摘し、ドス・サントス氏は継続的な投資の必要性を強調しました。
「最大の課題は、ENISAが『欧州全体で高い共通レベルのサイバーセキュリティを実現する』という継続的な使命を果たすのに十分な資金とリソースを確保しつつ、CVEプログラムにおける拡張された役割も担えるようにすることです」とForescoutのドス・サントス氏は説明しました。「最近、EU脆弱性データベースの立ち上げやサイバー・レジリエンス法により、ENISAの権限にはいくつかの追加がありました。直近のNVDのバックログや資金問題が示したように、脆弱性報告は相当な時間と労力を要する作業であるため、ENISAはそれを既存の責務と両立させなければなりません。」
ENISAが脆弱性報告と調整においてより大きな責任を担うことになる中、その実績は、地域全体のセキュリティチーム、ベンダー、政策立案者によって等しく注視されることになるでしょう。
