D
把握のみ
CISAは米連邦政府機関に対し、脆弱性パッチ適用の優先順位を決定するための新しい基準を導入する指令（BOD 26-04）を出しました
📌 一言でいうと
CISAは米連邦政府機関に対し、脆弱性パッチ適用の優先順位を決定するための新しい基準を導入する指令（BOD 26-04）を出しました。具体的には、「公開資産への影響」「攻撃の自動化可能性」「システム制御の奪取」「実世界での悪用根拠」の4つの基準に基づき、優先度を決定します。これにより、リソースを効率的に配分し、より効果的な脆弱性管理を行うことを目的としています。
🔍該当判定
- 米国政府機関（Federal Agencies）のシステムを運用・管理している
- 米国政府から提供されたセキュリティ指針（CISA指令）に従う義務がある契約を結んでいる
- 米国政府機関向けにITインフラやソフトウェアを提供しているベンダーである
上記いずれにも該当しない → 静観でOK
✅該当時の対応
CISAの新しい優先順位付け基準（公開資産、自動化、制御奪取、実悪用）を参考に、自社の脆弱性管理プロセスにおける優先度判定基準の見直しを検討すること。