C
月内に
米国商務省の監査報告書により、NISTが管理する国家脆弱性データベース（NVD）の運営に重大な不備があること
📌 一言でいうと
米国商務省の監査報告書により、NISTが管理する国家脆弱性データベース（NVD）の運営に重大な不備があることが判明しました。戦略的な計画の欠如や契約の失効により、未処理の脆弱性情報のバックログが急増しており、2025年末までには27,000件以上に達すると予測されています。この遅延は、政府および民間企業のセキュリティ専門家が優先的に対処すべき脆弱性を判断するプロセスに影響を及ぼしています。
🔍該当判定
- 脆弱性管理ツール（Tenable, Qualys, Rapid7など）を導入して自動運用している
- NVD（米国国立標準技術研究所の脆弱性データベース）のAPIを自社システムに連携させている
- CVE番号（CVE-2024-XXXXなど）を元に、手動で自社製品のアップデート優先順位を判断している
- セキュリティ担当者がNVDのサイトを直接参照して、最新の脆弱性情報を収集している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
NVDの更新遅延を考慮し、ベンダーが提供する個別のセキュリティアドバイザリや、他の脆弱性情報ソース（GitHub Advisory Database等）を併用して最新情報を収集することを推奨します。