NIST、脆弱性DB「NVD」をリスクベース運用へ刷新。SBOM最小要素も改訂

ITmedia エンタープライズは、脆弱性対応の前提が変わる制度変更をまとめたブックレット「脆弱性対応の『前提』が変わる？ 脆弱性情報データベース刷新とSBOM新要件」（全5ページ）を公開した。同媒体に掲載した解説記事を再構成したもので、セキュリティ担当者が知っておきたい2つの制度変更を扱う。

背景にあるのは件数の問題である。CVEの登録数は年4万件を超え、「全てに目を通す」対応はもはや現実的ではなくなった。これを受けてNISTは、脆弱性情報データベース「NVD」の運用方針を刷新し、全件への詳細付与をやめてリスクベースの優先処理へかじを切った。何が即時に処理され、何が後回しになるのか。その線引きは、NVDの付帯情報を前提に組まれてきた脆弱性管理のワークフローに直接効いてくる。ブックレットは、この「実務に効く線引きの中身」を解説の主軸に据えている。

もう一つがSBOMだ。ソフトウェアの中身の透明性を取引先にどう求めるか、その水準を塗り替える新要件として、SBOMの最小要素が5年ぶりに改訂された。ブックレットでは、新たに必須となった10項目と既存要素の見直しを取り上げている。

この2つは向きが逆に見えて、同じ前提の上に立っている。公開データベースが全件を等しく整備してくれる時代が終わるのであれば、「自社のソフトウェアに何が入っているか」を自前で把握していない限り、優先順位を自分で付けることができない。NVDの詳細情報に頼って影響範囲を判断してきた運用は、SBOMによる構成把握と、自社の環境に即した深刻度判定へ軸足を移していくことになる。自社の脆弱性管理と調達の前提を見直す出発点、というのがブックレットの位置づけだ。

なお、具体的な線引きの内容や必須10項目の詳細は、ブックレット本体に収録されている。