LASSIC Media らしくメディア
脆弱性データベースの近代化、NISTが問う7つの論点
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 従来型の限界が明記された：定期スキャンと静的な優先度づけです*1。
- 問いは7つの領域に分かれる：プロセスから将来像までを扱います*1。
- 意見の締切は10月13日：提出は電子的な方法のみです*1。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
脆弱性対応の作業は、たいてい「一覧を取り込む」ところから始まります。その一覧を作っている側が、取り込み方も優先度づけの前提も含めて作り替えようとしているなら、受け取る側の作りも変わります。
米国国立標準技術研究所（NIST）は2026年8月12日、国家脆弱性データベース（NVD）の近代化に関する情報提供依頼（RFI）を連邦官報に公表しました*1。ドケット番号260805-0401、XRIN 0693-XC139で、意見の締切は2026年10月13日午後11時59分（米国東部時間）です*1。
脆弱性管理や受託開発のセキュリティ設計に関わる立場に向けて、いまのNVDがどう動いているのか、何が限界とされたのか、どこにAIを入れる議論なのかを一次情報から整理します。
目次
NVDは1時間で取り込み、人が肉付けしている
まず現状の作りを押さえます*1。
NVDの位置づけは、政府の公式な保管庫です*1。NISTが設置し運用する国家脆弱性データベース（NVD）は、標準に基づく脆弱性管理データの米国政府の保管庫を提供するとされ、公的部門と民間部門の双方にわたる脆弱性管理、ソフトウェアのセキュリティ、コンプライアンスの自動化、およびサイバーセキュリティのリスク分析にとって基盤となる資源であると説明されています*1。
提供しているのは、素の脆弱性情報ではありません*1。NVDは標準化された脆弱性の付加情報および関連するメタデータを提供し、それらは広範なセキュリティツールと運用上のワークフローの生態系によって消費されているとされました*1。ツールが読む前提で作られているデータという位置づけです*1。
取り込みの速さと、その後の作業も書かれています*1。現在、NVDは自動化された処理を用いて、公表からおよそ1時間以内に共通脆弱性識別子（CVE）のレコードを取り込んでいるとされ、その後、NVDのアナリストが、深刻度スコアや影響を受ける製品バージョンといった追加の情報および分析でCVEレコードを肉付けすると説明されています*1。利用者はNVDのウェブインターフェース、または自動化された仕組みを通じてこの結果を取得します*1。
対象として捉えられている範囲も広めです*1。NVDはソフトウェアおよびシステムの脆弱性を特定し、検証し、開示し、周知し、優先度をつけ、修正するという脆弱性のライフサイクルの1つ以上の段階に関わる、プロセス、規格、およびツールを包含する、より広い脆弱性管理の生態系の一部であるとされました*1。この6つの段階が、後に出てくる問いの土台になります*1。
ここで注目したいのは、速い自動処理と、人手の分析が直列につながっているという構造です*1。取り込みは1時間でも、深刻度と影響範囲の付加はアナリストの作業に依存します*1。件数が増えれば、この直列部分が詰まります*1。依存関係の脆弱性を追う実務は依存関係の脆弱性管理で扱う流れが前提になります。
従来型の限界が名指しで挙げられた
RFIの前提認識が、はっきり書かれています*1。
NISTは環境の変化をこう捉えました*1。今日の脆弱性管理の生態系は急速に進化しており、AIを備えたサイバーツールと、加速した技術提供のサイクルによって特徴づけられるとし、攻撃側についても悪意ある行為者は、脆弱性を大規模に発見し悪用するため、また悪用後の活動を支えるためにAIシステムを活用しようとする可能性があると述べています*1。
そのうえで、現行のやり方に踏み込みました*1。定期的なスキャン、静的な優先度づけ、および手作業による修正を中心とする従来型の脆弱性管理の手法の不十分さが、次第に明らかになってきているという記述です*1。四半期ごとの診断と、CVSSの点数だけで並べる運用と、担当者が手で直す流れを、まとめて名指しした形になります*1。
挙げられた流れは7つです*1。
| 流れ | RFIに書かれている内容 |
|---|---|
| 件数と複雑さ | 開示される脆弱性の量と複雑さが増えています |
| データの品質 | データの品質に幅があります |
| 機械可読への依存 | 自動化と機械可読なセキュリティデータへの依存が高まっています |
| リスク管理の広がり | 技術のセキュリティリスク管理の実務が広がっています |
| AIの関与 | AIを用いた脆弱性の発見、トリアージ、悪用、および修正が現れています |
| 即時性の要求 | ほぼリアルタイムでの脆弱性の付加情報が求められています |
| 資源の制約 | 脆弱性の分析と付加の活動を規模拡大することに伴う資源の制約があります |
目指す姿も一行で示されました*1。NISTは継続的で、文脈を踏まえ、自動化された、将来に備えた脆弱性管理の生態系を支えることを意図するとしつつ、同時にサイバーセキュリティの実務が、現実世界の脅威と事業上の優先順位に応じて適切に対応できるようにするとも述べています*1。自動化と、事業側の判断の両方を残す書き方です*1。
このRFIの位置づけも明記されています*1。回答は、NVDの継続的な進化に関わる将来の戦略計画、技術アーキテクチャの決定、規格および実務指針の策定、データガバナンスの手法、ならびにコミュニティの協働に資することを意図しているとされました*1。規則ではなく、設計の方向を決める前段の意見募集です*1。
AIに任せる範囲と人が見る範囲を分ける
問いの中身に入ります*1。
最初の領域は、工程のどこが詰まっているかです*1。NISTは今日の脆弱性管理のライフサイクル（特定、検証、開示、周知、優先度づけ、修正など）のどこに、AIを用いた自動化の拡大によって改善しうる最も大きな隘路があるかを問いました*1。
続く問いが、この文書のいちばん実務的な部分です*1。どの作業がAIを用いた自動化に最も適しているか。どの作業は人による確認を要すべきか。人による確認を要する作業について、どのような情報が必要であり、費やす時間を最小限にしつつAIへの過度な依存を避けるために、確認をどのように組み立てられるかという三段構えの問いです*1。
「AIへの過度な依存を避ける」という言い方が置かれている点は見落とせません*1。確認を人が担うと決めても、示される情報が判断に足りなければ、実質はAIの出力を承認するだけの工程になります*1。何を見せれば人が判断できるのか、という設計の問いとして立てられています*1。
自動修正についても、慎重な問いが並びます*1。NISTは自動化された脆弱性の修正のために、どのような新しい仕組み、規格、および手順が必要になりうるか。AIシステムは、自動化された脆弱性の修正においてどのような役割を持つべきかと問い、続けて組織およびオープンソースのプロジェクトが、AIが生成した修正を管理するために、どのような組織構造、方針、プロセス、および枠組みが必要か、さらに誤ったAI生成の修正を防ぐために、どのような統制と保護措置が必要かを挙げました*1。
前提条件にも触れています*1。組織が自動化された脆弱性の修正をより十全に運用に乗せるために、どのようなプロセス上および組織上の依存関係（発見および資産目録など）が前提条件となるかという問いで、資産目録が名指しされました*1。何が動いているか分からないまま自動修正を回すことはできない、という順序です*1。
優先度づけの側では、説明可能性が論点になりました*1。AIによる優先度づけの決定において、透明性と監査可能性をどのように高められるかと問われ、あわせて組織が本番環境の脆弱性を正確に優先度づけするために、どのようなデータとシステムの文脈が必要かも挙げられています*1。点数だけでなく、なぜその順序になったかを後から追える形が求められる方向です*1。製品出荷側の対応体制はPSIRTの脆弱性対応で扱う枠組みと重なります。
識別子と製品名の規格が足りているかを問う
データそのものの作りも、正面から問われました*1。
規格の十分性についての問いは具体的です*1。NISTは脆弱性の識別子、製品の命名体系、および深刻度の採点システムを含む、脆弱性データに関する既存の規格、文脈、および仕様は、AIの時代において、実行可能な脆弱性の優先度づけの改善に十分かと問い、十分であればその内容を記述するよう求めています*1。続けて既存の規格および仕様にはどのような欠落があるかとも問いました*1。
製品の命名体系が名指しされている点は、実務では重い論点です*1。手元の資産名とデータベース側の製品表記が一致しないと、該当するかどうかの判定が人手に落ちます*1。部品表の管理はSBOMの作成と管理で扱う話と同じ土台に乗ります。
機械可読性の改善も独立した問いになっています*1。脆弱性の優先度づけと文脈づけの改善のために、機械可読な脆弱性データ（NVDのデータなど）にどのような変更が必要かという形です*1。人が読む一覧ではなく、ツールが取り込む形式としての改善を求めています*1。
周知の側では、規格の欠落と優先順位が問われました*1。脆弱性情報を周知するうえで最も役立っている既存の規格および技術指針は何か。規格および指針にはどのような欠落があるか。それらの欠落への対処はどのように優先順位づけされるべきかという三点です*1。
連携先の一覧も、そのまま実務の地図になります*1。NISTはNVDが、脆弱性管理の生態系の他の構成要素（脆弱性開示プログラム、ベンダーのアドバイザリ、脅威インテリジェンスの提供者、資産管理プラットフォーム、セキュリティツールのベンダー、修正のワークフローなど）との相互運用性と統合をどのように改善できるかと問い、目的としてより適時で、正確で、実行可能かつ文脈を踏まえた脆弱性管理を可能にすることを挙げました*1。
| 領域 | 主に問われていること |
|---|---|
| ① 脆弱性管理プロセス | ライフサイクルのどこが隘路か。AIに適した作業と人の確認を要する作業の切り分け。統治とリスク管理の新しい論点 |
| ② 脆弱性情報の周知 | 責任ある適時な周知に必要な能力・製品・プロセス。役立っている規格と、その欠落 |
| ③ リスク評価と優先度づけ | 文脈を踏まえた優先度づけの改善。AIによる決定の透明性と監査可能性。他の構成要素との相互運用性 |
| ④ 修正の開発・展開・監視 | 自動修正に必要な仕組みと規格。AIが生成した修正の管理体制。誤った修正を防ぐ統制。前提となる資産目録 |
| ⑤ 脆弱性データと規格 | データ品質の改善に必要な変更。識別子・製品命名・深刻度採点の十分性。機械可読データの改善 |
| ⑥ 開発プロセス | AIを備えたツールを技術開発の工程へ組み込み、システムのライフサイクル全体で脆弱性を先回りして減らす方法 |
| ⑦ NVDの将来像 | これまでの価値。今後5年で加えるべき能力とサービス。追うべき新しい潮流。成否を測る指標 |
意見を出す前に自社で整えられること
米国の意見募集ですが、問いの立て方はそのまま自社の点検表として使えます。
第一に、資産目録を自動修正の前提として扱うことです。NISTは自動修正を運用に乗せる前提条件として発見および資産目録を挙げました*1。何が、どのバージョンで、どこで動いているかが機械可読で引けない状態では、優先度づけの自動化から先に進めません。
第二に、製品名の突き合わせを仕組みにすることです。問われているのは製品の命名体系の十分性です*1。自社の資産台帳の表記と、公表データ側の製品表記を突き合わせる規則を人の記憶に置いている限り、担当者が変わると判定が変わります。突き合わせの辞書を成果物として持つ形にすると引き継げます。
第三に、人が確認する工程に「見せる情報」を定義することです。RFIは人による確認を要する作業について、どのような情報が必要かを問いました*1。承認画面に脆弱性の識別子と点数だけが出ている運用では、確認は形式になります。影響する資産、到達経路、既知の悪用の有無まで並べて初めて判断ができます。
第四に、AIが生成した修正の受け入れ条件を先に決めることです。問いは誤ったAI生成の修正を防ぐために、どのような統制と保護措置が必要かという形で立てられています*1。テストが通ったこと、差分が想定した範囲に収まっていること、影響範囲の再検証が済んでいることのどれを必須にするかは、導入前に決める話です。コンテナ基盤での検査の組み方はコンテナイメージのスキャンで扱う流れが参考になります。
第五に、成否を測る指標を自分たちで持つことです。NISTはNVDおよびその近代化の取り組みの成否を追跡し評価するために、どのような指標を考慮すべきかを問いました*1。公表から自社での判定までの時間、判定が保留のまま滞留している件数、修正までの日数といった指標を先に置くと、仕組みを変えたときの効果が読めます。
意見を出す場合の手順も定められています*1。提出は連邦電子規則制定ポータルを通じて電子的に行うことが求められ、regulations.govでNIST-2026-0100を検索する手順が示されました*1。NISTはこの通知について、郵便、ファクシミリ、または電子メールによる意見は受け付けないとしています*1。
公開のされ方には注意が要ります*1。期限までに受領した関連する意見はすべて、ドケット番号NIST-2026-0100の下でregulations.govに、変更も削除もされずに掲載されるとされ、提出者は公開されることを望まない情報（個人情報や秘密の事業情報など）を含めるべきではないと明記されています*1。自社の構成や運用の詳細を書く場合、そのまま公開される前提で書く必要があります*1。
誤解されやすいのは、規格が変わるまでは待てばよいという読み方です。このRFIは規則ではなく、将来の戦略計画、技術アーキテクチャの決定、規格および実務指針の策定に資するための意見募集です*1。決まってから動くと、決まった内容に自社の資産目録や台帳が合っていないという形で遅れが出ます*1。
まとめ：NVDの近代化で押さえる3つの視点
米国国立標準技術研究所（NIST）は2026年8月12日、国家脆弱性データベース（NVD）の近代化に関する情報提供依頼（RFI）を連邦官報に公表しました。意見の締切は2026年10月13日午後11時59分（米国東部時間）で、提出はregulations.govを通じた電子的な方法に限られます。押さえたい視点は三つあります。第一に、現状の構造。NVDは自動化された処理により公表からおよそ1時間以内にCVEレコードを取り込み、その後にアナリストが深刻度スコアや影響を受ける製品バージョンといった情報を付け足しています。速い自動処理と人手の分析が直列につながっており、件数の増加がこの部分に効いてきます。第二に、限界の認識。NISTは、定期的なスキャン、静的な優先度づけ、手作業による修正を中心とする従来型の手法の不十分さが次第に明らかになってきていると述べ、件数と複雑さの増加、データ品質の幅、機械可読データへの依存、AIを用いた発見・トリアージ・悪用・修正の出現、ほぼリアルタイムの付加情報への要求、資源の制約という流れを挙げました。第三に、問いの範囲。脆弱性管理プロセス、情報の周知、リスク評価と優先度づけ、修正の開発と展開と監視、脆弱性データと規格、開発プロセス、NVDの将来像という7つの領域について意見が求められています。AIに適した作業と人の確認を要する作業の切り分け、AIによる優先度づけの透明性と監査可能性、誤ったAI生成の修正を防ぐ統制、そして前提としての資産目録が、繰り返し論点に挙がっています。
よくある質問
何のための文書ですか。
国家脆弱性データベース（NVD）の近代化について、関係者から意見を集めるための情報提供依頼（RFI）です。規則ではありません。NISTは、回答が将来の戦略計画、技術アーキテクチャの決定、規格および実務指針の策定、データガバナンスの手法、コミュニティの協働に資することを意図しているとしています。
いまのNVDはどう動いていますか。
自動化された処理を用いて、公表からおよそ1時間以内に共通脆弱性識別子（CVE）のレコードを取り込んでいます。その後、NVDのアナリストが深刻度スコアや影響を受ける製品バージョンといった追加の情報と分析でレコードを肉付けし、利用者はウェブインターフェースまたは自動化された仕組みを通じて取得します。
従来型の何が問題とされたのですか。
NISTは、定期的なスキャン、静的な優先度づけ、および手作業による修正を中心とする従来型の脆弱性管理の手法の不十分さが、次第に明らかになってきていると述べています。背景として、開示される脆弱性の量と複雑さの増加、データ品質の幅、機械可読データへの依存の高まり、AIを用いた発見や悪用の出現、ほぼリアルタイムの付加情報への要求、資源の制約が挙げられました。
AIによる自動修正はどう扱われていますか。
役割を決め切らず、問いとして立てられています。自動修正に必要な新しい仕組み・規格・手順、AIシステムが持つべき役割、AIが生成した修正を管理するための組織構造と方針、誤ったAI生成の修正を防ぐための統制と保護措置、そして前提条件としての発見および資産目録が、それぞれ質問項目になっています。
意見はどう出すのですか。
連邦電子規則制定ポータルを通じた電子的な提出のみです。regulations.govでNIST-2026-0100を検索し、意見を入力または添付します。郵便、ファクシミリ、電子メールでは受け付けられません。受領した意見は変更も削除もされずに公開されるため、公開されることを望まない個人情報や秘密の事業情報は含めないよう求められています。
出典
- *1 参考：商務省 国立標準技術研究所（NIST）情報技術研究所「Request for Information (RFI) on Modernizing the National Vulnerability Database in the Age of Artificial Intelligence」（連邦官報 2026年8月12日・情報提供依頼）（https://www.federalregister.gov/documents/2026/08/12/2026-16371/request-for-information-rfi-on-modernizing-the-national-vulnerability-database-in-the-age-of）。情報提供依頼（ドケット番号260805-0401、XRIN 0693-XC139、ドケットNIST-2026-0100）の連邦官報掲載。2026年10月13日午後11時59分（米国東部時間）という意見の締切と電子的提出のみという条件、公表からおよそ1時間でのCVEレコードの取り込みとアナリストによる肉付け、脆弱性のライフサイクルの6段階、定期スキャン・静的な優先度づけ・手作業の修正という従来型の手法への評価、近代化の課題として挙げられた7つの流れ、意見が求められている7つの領域とその質問項目、ならびに意見が変更も削除もされずに公開される旨の一次情報として。確認日は2026年9月7日。（2026年9月確認）
