脆弱性データベースNVDの新方針とSBOM新要件、セキュリティ担当者が知るべき2つの制度変更

CVE登録数が年間4万件を超え、全てに目を通す対応は非現実的になる中、NISTはNVDの運用を更新しリスクベースの優先処理へ転換した。あわせてSBOM新要件の解説も収録。セキュリティ担当者が知っておきたい2つの制度変更をまとめた。

日本ニュース 2026/09/20 22:09

CVEの登録数は年間4万件を超え、「全てに目を通す」対応はもはや現実的ではなくなった。

NISTは脆弱（ぜいじゃく）性情報データベース「NVD」の運用を更新し、全件への詳細付与をやめてリスクベースの優先処理へかじを切った。何が速時に処理され、何が後回しになるのか。実務に効く線引きの中身とは。

あわせて、ソフトウェアの中身の透明性を優先順位にどう求めるか、その水準を塗り替える新要件の解説も収録した。自社の脆弱性管理と調達の前提を見直す出発点になる1冊だ。

—

急増するCVEにNVDはどう向き合うのか

本書は、ITmedia エンタープライズで掲載した解説記事を基に再構成している。NISTが脆弱性情報データベース「NVD」の運用方針を更新し、「リスクベース」の優先処理で脆弱性対応はどう変わるのかを解説する。

新たに必須となった10項目目と既存要件の見直しについても詳述。ソフトウェア部品表（SBOM）の最新動向をまとめた。

本書（全5ページ）のダウンロードはこちらから。