米国立標準技術研究所が、脆弱性情報の更新方針を一部変更すると発表した。さらに、脆弱性識別子を管理する新たな組織が発足した。この混乱にIT部門担当者はどう臨めばいいのか。
2025年4月、米国立標準技術研究所（NIST）は、同機関が管理する脆弱（ぜいじゃく）性管理データベース「NVD」（National Vulnerability Database）の運用方針を一部変更すると発表した。脆弱性を管理するための共通の識別子「CVE」（Common Vulnerabilities and Exposures）のうち、2018年1月1日より前に公開されたものについて、今後の更新対象から除外する。さらに、CVEの管理や運用を担う新たな組織の設立が発表された。脆弱性情報の管理体制の混乱に対して、IT部門の管理者はどのように臨めばいいのか。
NISTによると、2018年1月1日以前に公開されたCVEについてNVD上で「Deferred」（保留）というステータスを付与する。このステータスのCVEは、詳細な情報補足や初期登録情報を更新する優先度が下がる。
この決定の背景には、CVE登録数の急増に伴う処理遅延がある。NISTによると、2024年のCVE申請件数が2023年比で32％増加した結果、従来のやり方では処理が追い付かなくなっており、未処理のCVEが増えている。NISTは「人工知能」（AI）をはじめとする新技術を活用し、CVE処理を効率化させる方法を探っている。
既存のCVEのメタデータを更新するためのリクエストは引き続き受け付ける。データの更新が必要と判断した場合は時間とリソースが許す限り、更新作業を実施するという。米国のサイバーセキュリティ政策を主導する、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA：Cybersecurity and Infrastructure Security Agency）が公開する、既知の悪用された脆弱性カタログ「KEV」（Known Exploited Vulnerability catalogue）に掲載されたCVEについては、公開年にかかわらず更新作業を優先して実施する方針だ。
NISTの決定には、米連邦政府の組織改革と人員削減の動きが影響を及ぼしている。米国の行政効率化を推進する、米連邦政府効率化省「DOGE」（Department of Government Efficiency）は、米連邦政府職員の大規模な人員削減を進めており、NISTの上位組織である米国商務省では約2割の職員を削減する計画があるという報道もある。
英Computer Weeklyの関連メディア「Cybersecurity Dive」によると、DOGEの指示によって、CISAは少なくとも170人の職員を失ったとされている。
NISTとは別に、CVEの管理と運用を推進する新たな組織も出現している。2025年4月16日（現地時間）、非営利団体CVE Foundationの設立が発表された。設立の背景には、CVEの管理や運用を担ってきた米国の非営利組織MITREの動向がある。MITREは米連邦政府の資金によって運営され、1999年に設立されてから25年にわたってCVEプログラムを推進してきた。しかし2025年4月15日、米連邦政府はMITREへの資金提供の停止を発表した。
CVE Foundationによると、同団体は以前からMITREの中立性や存続可能性に懸念を持っていた。今回の資金提供の停止を受けて、CVEプログラムの長期的な存続や安定性、独立性を確保するためにCVE Foundationを設立したとしている。
CVEプログラムの見通しが不透明な中、IT部門やセキュリティの管理者はどのように対処すればよいのか。ソフトウェアベンダーBlack Duck Softwareでソフトウェアサプライチェーンリスク管理を担当するティム・マッキー氏は次のように説明する。「過去のCVE、特に著名な脆弱性に関連するものが更新対象から外れることに懸念を抱く人もいると考えられるが、更新頻度が低いだけでCVEがなくなったわけではない」。同氏は、Deferredとされた脆弱性を修正、回避できていない組織は、パッチ（修正プログラム）の管理やDevOps（開発と運用の融合）を通じたセキュリティプログラムが機能していない恐れがあると指摘する。続けて「NISTの決定を、ソフトウェアの棚卸しやDeferredとされた脆弱性を再評価するためのきっかけにすべきだ」と提案する。
TechTarget.AI編集部は生成AIなどのサービスを利用し、米国Informa TechTargetの記事を翻訳して国内向けにお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ（仮想PC画面）は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
