2026年6月10日、米国のCISA（Cybersecurity and Infrastructure Security Agency）が、拘束的運用指令（BOD）26-04「Prioritizing Security Updates Based on Risk（リスクに基づくセキュリティ更新の優先順位付け）」を発行しました。連邦政府の民間機関に対し、脆弱性への対応を「すべて同じ期限でパッチを当てる」やり方から、「リスクに応じて優先度と期限を変える」やり方へ切り替えるよう求める内容です。さらにFedRAMPも、従来の月次スキャンでは不十分だと明言し、継続的な脆弱性検出・対応への移行を義務づけました。本記事では、公開されている一次情報と解説をもとに、内容と実務への示唆を整理します。
1. BOD 26-04とは
- 発行元：CISA。発行日は2026年6月10日
- 対象：連邦政府の民間行政機関（FCEB：Federal Civilian Executive Branch）。民間企業には義務はない
- 位置づけ：BOD 19-02（インターネットからアクセスできるシステムの脆弱性対応）とBOD 22-01（既知の悪用された脆弱性の対応）を廃止し、置き換える
- 背景：AIの活用により、パッチの公開から悪用までの時間が短縮されうる、というCISAの認識
- 実施時期：2026年8月7日までに、各機関の方針を継続的な脆弱性対応に合わせる。2026年12月7日までに、指令の期限に沿った評価と対応を始める
2. リスクを決める4つの変数
CISAは、脆弱性の緊急度を、次の4つの観点で判断するよう求めています。
| 変数 | 問い | 誰が判断するか |
|---|---|---|
| 資産の露出（Asset Exposure） | 脆弱な資産は、インターネットに公開されているか | 各機関が自組織の資産で判断 |
| KEVの状況（KEV Status） | CISAのKEVカタログに載っているか（実際に悪用が確認されているか） | CISAの情報を参照 |
| 攻撃の自動化（Exploit Automation） | 攻撃者が、悪用の手順を自動化できるか | CISAの情報を参照 |
| 技術的な影響（Technical Impact） | 悪用された後、攻撃者がシステム全体を掌握できるか、一部にとどまるか | CISAの情報を参照 |
Tenableの解説によると、KEV、自動化、技術的な影響の3つは、CISAのVulnrichmentプログラムを通じて、CVEごとに公開されます。各機関が自分で判断する必要があるのは、資産の露出のみです。
3. 対応期限の考え方
BOD 22-01では、KEVに載っているものに一律の期限を課していました。BOD 26-04では、4つの変数の組み合わせによって、期限が段階的に変わります。以下は、Tenableの解説による整理です。
| 段階 | 期限 | 主な該当条件 |
|---|---|---|
| 最上位 | 3日＋フォレンジックトリアージ | KEVに載り、悪用されるとシステム全体を掌握される場合 |
| 高 | 3日 | KEV未掲載でも、公開資産で自動化でき、全体掌握につながるなど、一部の高リスクな組み合わせ |
| 中 | 14日 | KEV掲載のほとんどのものと、一部の高リスクな組み合わせ |
| 低 | 60日 | 非公開資産で、自動化はできるが影響が限定的な組み合わせなど |
| 繰延 | システムの次回更新時 | 4つの条件のいずれにも該当しない場合 |
期限は状況に応じて変わります。資産をインターネットから切り離せば、期限は長くなります。逆に、CISAが脆弱性をKEVに追加すれば、期限はただちに短くなります。また、最上位の段階では、パッチの適用に加えて、すでに侵害されていないかを調べるフォレンジックトリアージが求められます。
Tenableによると、CISAが大規模な機関で行った最初の分析では、3日以内の対応が必要なものは、脆弱性の1%にとどまり、60%超は次回のシステム更新まで繰り延べられる結果でした。限られた人員を、本当に危険なものに集中させる設計です。
4. なぜ今、変えたのか
- CISAは、AIが脆弱性の発見と悪用の両方を加速させ、パッチの公開から悪用までの猶予が縮まりうると述べている
- Tenableによると、CISAの関連ブログは、Verizonの2026年版DBIRを引用し、KEVに載る脆弱性のうち、2025年に完全に修正された割合は26%（前年は38%）、修正までの期間の中央値は43日と紹介している
- すべてを同じ緊急度で扱うやり方は、量が増えるほど破綻する、という問題意識
5. FedRAMP：月次スキャンでは不十分
FedRAMPは、BOD 26-04に合わせて、2026年6月16日に通知（Notice 0014）を出しました。クラウドサービス事業者に大きく関わる内容です。
- 従来のFedRAMP Rev5の認証で使われてきた月次の脆弱性スキャンでは、不十分だと明記
- 新しい「Vulnerability Detection and Response（VDR）」と「Vulnerability Evaluation and Reporting（VER）」のルールを、2026年12月7日から、認証の取得・維持に必須とする
- 移行できない事業者は、2027年3月7日までの猶予期間に、是正計画のもとで認証を維持できる。それ以降は、認証が取り消される
- 当初は2027年6月1日が必須化の予定だったが、BOD 26-04を受けて前倒しされた
- VDRは、脆弱性を継続的に特定・分析・優先順位付け・緩和・修正することを、自動化された仕組みで行うことを求める
- VERは、外部からの到達可能性や悪用のされやすさなどを評価する。エクスプロイトは、証拠がなければ自動化可能と仮定する
- BOD 26-04の期限とFedRAMPの期限は、いずれも最大の期限であり、実際にはもっと早く対応することが求められる
緩和策で、自動化されなくなる、あるいはインターネットから到達できなくなれば、完全な修正が不要になる余地も認められています。
6. 従来との違い（筆者の考察）
以下は、公開情報を実務に引きつけて整理した筆者の解釈です。
| 観点 | 従来 | BOD 26-04以降 |
|---|---|---|
| 期限 | KEVならすべて同じ期限 | リスクの組み合わせで、3日から繰延まで段階的に変わる |
| 判断材料 | CVSSのスコアやKEVの有無が中心 | 露出、KEV、自動化、技術的な影響の4つ |
| 検出 | 定期的なスキャン（月次など） | 継続的な検出と評価 |
| 最上位の対応 | パッチを適用する | パッチに加え、侵害されていないかの調査（フォレンジックトリアージ） |
| 説明責任 | 期限を守ったかの報告 | なぜその順序で対応したのかを説明できること |
日本の組織には、BOD 26-04を守る義務はありません。ただ、KEVカタログが世界中で優先順位付けの指標として使われているように、この4つの観点も、実務の参照モデルになっていく可能性があります。
7. 脆弱性管理の製品・運用を評価する視点（筆者の考察）
これから脆弱性管理の製品や運用を見直すなら、次の一連の流れを、どこまで回せるかで評価するのが有効だと考えます。
- Discovery（資産の発見）：資産と、その公開状況を継続的に把握できるか
- KEV・露出の文脈：KEVの情報や、CISAのVulnrichmentのような自動化・影響の情報を取り込めるか
- Prioritization（優先順位付け）：4つの観点を組み合わせて、期限を自動で決められるか。露出や、KEV追加による変化を、ただちに反映できるか
- Remediation（修正）：パッチだけでなく、暫定的な緩和も、追跡できるか
- Validation（検証）：修正や緩和が効いたことを確認し、最上位の段階では、侵害の有無まで調べられるか
加えて、対応を繰り延べる理由を、後から説明できる記録が残るかも重要です。特に、暫定的な緩和で対応した場合は、その根拠を残す仕組みが必要です。
8. まず読む箇所
- Directive本体の付録にある、対応期限の表（Table 1：Remediation Timelines）。Tenableの解説では、16通りの組み合わせと期限の対応が載っているとされています
- 資産の露出の定義と、判断に使う資料（インターネット露出の削減ガイダンス）
- CISAの実施ガイダンスにある、フォレンジックトリアージの手順
9. 読むときの注意点
- CISAのDirective本文には、確認時にアクセスできませんでした。4つの変数はCISAの発表文とFedRAMPの通知で確認しましたが、期限の段階の詳細は、Tenableなどの解説によります。正確な対応は、Directive本体の付録で確認してください
- 二次情報の要約には表現の違いがあります。たとえば、全4条件に該当するものを3日以内とする説明と、KEVで全体掌握につながるなら公開状況を問わず3日とする説明があります
- Tenableは、エクスポージャー管理の製品を提供する企業です。Directiveを評価する立場が、同社の事業と重なる点に注意してください
- BOD 26-04が義務づけられるのは、連邦政府の民間機関です。FedRAMPの新ルールは、FedRAMP認証を取得・維持するクラウド事業者が対象です
- FedRAMPの通知は、その後の最終版の公開に合わせて更新される可能性があります。最新の内容は、FedRAMPの公式サイトで確認してください
まとめ
- BOD 26-04は、脆弱性対応を、一律の期限から、リスクに応じた段階的な期限へ切り替えた
- 見るのは、資産の露出、KEV、攻撃の自動化、技術的な影響の4つ。CVSSのスコアだけでは決まらない
- 最も危険なものは3日以内に対応し、フォレンジックトリアージも行う。低リスクなものは、次回の更新まで繰り延べられる
- FedRAMPは、月次スキャンでは不十分だとし、2026年12月7日から、継続的な検出・対応を必須にする
- 製品や運用の評価は、資産の発見から検証まで、一連の流れを回せるかで見る
参考資料
- CISA: BOD 26-04: Prioritizing Security Updates Based on Risk
- CISA: CISA Issues New Directive Improving How Federal Agencies Prioritize the Mitigation of Cyber Vulnerabilities（発表文）
- CISA: BOD 26-04 Implementation Guidance
- FedRAMP: FedRAMP Response to CISA BOD 26-04（Notice 0014）
- Tenable: CISA BOD 26-04: Frequently asked questions about the new risk-based patching directive
- 関連記事：NISTがNVDを「AI時代の脆弱性管理」へ作り直す