2026年8月12日、NISTがNVD（National Vulnerability Database）の将来像について、公式ブログとFederal Register上のRFI（情報提供依頼）で意見募集を始めました。キーワードは「継続的（continuous）」「自動化（automated）」「文脈重視（contextual）」の3つです。意見の提出期限は2026年10月13日です。本記事では、NISTの公式ブログを一次情報として、何が示されたのか、脆弱性管理の実務にどう影響しうるのかを整理します。
1. 何が発表されたのか
NISTのHarold Booth氏とJon Boyens氏が公式ブログで、脆弱性管理の進め方を転換すべきだと述べました。従来の「定期的なパッチ適用と手作業での修正対応」を中心とした運用から、継続的・自動化・文脈重視の脆弱性管理へ移る必要がある、という趣旨です。
- 目的：NVDの拡張性、自動化、相互運用性、透明性、有用性の向上
- 手段：RFIによる広い意見募集（技術専門家、業界・政府関係者、研究者、ベンダーなどが対象）
- 期限：2026年10月13日 23:59（米国東部時間）。Federal e-Rulemaking Portal経由で提出
- 意見は今後の戦略計画、新ツール開発、技術アーキテクチャ、標準・ベストプラクティス、データガバナンスの検討に使われる
2. なぜ今、見直すのか
NISTは背景として、報告される脆弱性の急増、AI対応のサイバーツールの急速な普及、技術提供サイクルの加速を挙げています。AIは脆弱性を発見・悪用する側にも、防御と対応を速める側にも使えるため、従来型の運用では追いつかないという問題意識です。
報道によると、NVDはCVEレコードを公開後およそ1時間で自動的に取り込み、その後にアナリストが深刻度スコアや影響を受ける製品バージョンなどを付与しています。この付与作業（エンリッチメント）が、量の増加に対するボトルネックになってきました。セキュリティ企業Socketの報道では、NISTが約4か月前に大半のCVEを通常のエンリッチメント対象から外していたこと、連邦の監査で戦略計画の不在が指摘されたことも背景として伝えられています。
3. すでに始まっている取り組み
- V-etalon：AI技術を使って脆弱性情報のエンリッチメントを支援するツール。NISTは、将来的に脆弱性情報を評価する際の基盤になることを期待しており、公開後はGitHub上でフィードバックや協力を募る予定です。現時点で公開されている説明は限られています
- CPE仕様の更新：脆弱な製品を記述する仕組みであるCPE（Common Platform Enumeration）を、ハードウェアにも適用しやすい形に見直す作業を開始。2026年6月にはハードウェアCPEとCVSSの更新に関するワークショップも開かれました
4. RFIが意見を求める7つの領域
- 脆弱性管理のプロセス
- 脆弱性情報の周知（ディセミネーション）
- リスク評価と優先順位付け
- 修正策の開発、展開、監視
- 脆弱性データと標準
- 開発プロセス
- NVDのビジョン
ここで注意したいのは、「リスク評価・優先順位付け・修正・監視」がNVDの提供機能として決まったわけではない点です。これらはNISTが意見を求める領域であり、将来NVDが支援する範囲は、今後の検討次第です。
5. 脆弱性管理はどう変わるのか（筆者の考察）
NISTが明示しているのは「定期的なパッチ適用・手作業での修正」から「継続的・自動化・文脈重視」への転換です。以下の対比は、この方向性を実務に引きつけて整理した筆者の解釈です。
| 観点 | 従来 | 目指す方向（筆者の整理） |
|---|---|---|
| 検出 | 定期スキャン | 継続的な検出・監視 |
| 優先順位付け | CVSSスコアと手作業 | 悪用実績、外部への露出、資産の重要度、業務への影響などの文脈を加味した自動判断 |
| 対応 | 手作業でのパッチ適用 | 自動化された修正と、例外の管理 |
CVSSは脆弱性そのものの深刻度を表しますが、自社環境での危険度は表しません。悪用が確認されているか（CISAのKEVなど）、インターネットに露出しているか、その資産が業務上どれほど重要か、といった情報を組み合わせて初めて、対応の優先順位が決まります。これらの要素をNISTが具体的に挙げているわけではありませんが、「文脈重視」という言葉が指す方向として自然な読み方だと考えます。
この流れは、エクスポージャー管理やデバイスの状態に応じた自動修復など、ベンダー各社の製品の方向性とも重なります。ただし、NVD自体がこうした機能を提供するのかは、現時点では未定です。
6. 実務で今からできること
NVDの変更を待たなくても、次の準備は進められます。
- 資産台帳を整え、資産ごとの重要度と担当者を明確にする
- 外部に公開されている資産（攻撃対象領域）を継続的に把握する
- CVSSだけで判断せず、悪用情報（KEVなど）を優先順位付けの基準に組み込む
- パッチ適用や暫定対策の自動化範囲を決め、例外時の承認フローを用意する
- 製品名やバージョンを正規化して管理し、CPEなどのデータ形式の変更に備える
また、自組織の実務経験をもとにNISTへ意見を提出することもできます。提出期限まで残りわずかですが、脆弱性管理に携わる方にとっては、方向性に影響を与えられる機会です。
7. 注意点
- 現時点はRFI（意見募集）の段階であり、具体的な仕様や提供時期は決まっていない
- V-etalonの詳細は未公開で、精度や運用方法は今後の公開を待つ必要がある
- NVDのデータ提供の遅れや品質の課題は、当面残る可能性がある。NVDだけに頼らず、CVE、CISA Vulnrichment、OSV、GitHub Security Advisoriesなど複数の情報源を併用する体制が現実的
まとめ
- NISTはNVDの近代化に向け、2026年10月13日までRFIで意見を募集している
- 方針は、定期的・手作業中心から、継続的・自動化・文脈重視の脆弱性管理への転換
- AIを使ったエンリッチメントツールV-etalonと、CPE仕様の更新がすでに動き出している
- 実務では、資産の重要度、露出、悪用実績を組み合わせた優先順位付けの準備が有効
関連記事：CISA BOD 26-04を読み解く：脆弱性対応は「全部同じ期限でパッチ」から「リスクに応じた優先度」へ。NVDの近代化が目指す「継続的・自動化・文脈重視」の脆弱性管理を、米国の政府機関の指令としてすでに具体化した動きです。