チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「NVDの情報が揃わなくなるって、脆弱性管理どうなるの？」
「自社ソフトのCVEが“未検査”のまま放置されたら、判断できないのでは？」
チップスボス！
NISTがNVDの全件分析を諦めるって発表したでしゅ！
いままでNVDを頼りにしてた脆弱性管理、どうしたらいいでしゅか！？
ボスCVE登録件数が5年で263%も増えた。
NISTの人員では捌ききれなくなったということだ。
これからは「自社で優先度を決める」能力が問われる時代に入る。
米NISTは2026年4月15日、NVD（National Vulnerability Database）の全件分析を断念し、優先順位付けによるトリアージ運用へ移行すると発表しました。
CISAのKEVや連邦重要ソフトウェアを優先対象とし、その他のCVEは「未検査」として登録のみ行う方針です。
NVD依存の脆弱性管理がなぜ立ち行かなくなるのか、そしてどう備えるべきかを整理します。
オススメ求人・フリーランス案件
【銀行グループ向け サイバーセキュリティ強化・改善推進PMO】中野（リモート併用）／セキュリティガバナンス・プロジェクト推進
【グローバル製造業向けSASE導入PMO・設計構築】高輪（リモート併用）／Prisma Access・海外拠点展開
【ゼロトラスト基盤構築・VPN廃止移行推進】フルリモート／Zscaler ZPA・マイクロセグメンテーション
【公共系閉域網環境SplunkES統合・構築】東京・豊洲（常駐）／設計・構築・運用
【CSIRT運用・インシデントハンドリング】フルリモート（出張併用）／SOC Tier1・インシデント対応
【電力制御システムCEマーキング取得・セキュリティコンサルティング】神戸（フルリモート可）／IEC62443・リスクアセスメント・ガイドライン設計
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【750～1100万円】社内ITセキュリティマネージャー｜IPO準備中のイノベーションファーム
情報セキュリティ施策推進担当者【550～765万円・在宅メイン】
NVDはCVEに詳細メタデータ（CVSS、CPE、CWEなど）を付与する世界標準データベースです。
NISTは2026年のCVE登録が年3万〜3.3万件規模に達すると予測し、現状の生産能力（最大4,500件/年）では全件処理が不可能と結論づけました。
そこで米国政府にとっての重要度でCVEをトリアージし、他はユーザー要求時のみ分析する運用に切り替えます。
優先基準は以下の通りです。
| 優先カテゴリ | 内容 |
|---|---|
| CISA KEV収録CVE | 実際に悪用されている脆弱性カタログ |
| 連邦政府使用SW | 米政府機関が稼働させるソフトウェア関連 |
| 大統領令14028対象SW | 重要インフラ向けソフトウェアサプライチェーン |
詳細な背景は@IT（ITmedia）の解説記事で確認できます。
チップスつまり日本でしか使われてないソフトのCVEは後回しってことでしゅか？
それじゃ困るでしゅ…。
ボスその通りだ。
国産CMSや日本向けSaaSの脆弱性情報は、NVDを待っていても詳細がこない可能性がある。
JVNやベンダー直接の情報源を自分で掴みに行く姿勢が必要になる。
NVDに依存したスコアリング前提の脆弱性管理は、遅かれ早かれ行き詰まります。
重要なのは、外部スコアだけに頼らずEPSS（悪用確率）や自社環境の資産情報を掛け合わせて優先度を判断することです。
特にCISA KEVは「現に悪用されている脆弱性」のリストなので、NVD未検査でも最優先で対応が必要になります。
同時に日本固有の情報源にも目を向けてください。
NVD未検査のCVEが増えるほど、「分析されていないが危険」な脆弱性も混ざります。
自社環境に影響するかをSBOMで即特定できる体制づくりが、今後の差になります。
チップスSBOM、名前は聞いたことあるけどまだちゃんと整備できてないでしゅ…。
早めに動いた方がよさそうでしゅね。
ボスNVDが完全に頼れる時代は終わった。
自社で判断できる体制を持つ企業だけが、脆弱性の波に乗り遅れなくなる。
今が準備の始め時だ。
NISTの方針転換は、脆弱性情報の「全件処理時代」の終焉を意味します。
KEV・EPSS・JVN・SBOMを組み合わせた独自トリアージが、これからの脆弱性管理の標準です。
外部情報の中央集権から、自社判断を前提にした分散管理へ、今すぐシフトを始めてください。
オススメ求人・フリーランス案件
【銀行グループ向け サイバーセキュリティ強化・改善推進PMO】中野（リモート併用）／セキュリティガバナンス・プロジェクト推進
【グローバル製造業向けSASE導入PMO・設計構築】高輪（リモート併用）／Prisma Access・海外拠点展開
【ゼロトラスト基盤構築・VPN廃止移行推進】フルリモート／Zscaler ZPA・マイクロセグメンテーション
【公共系閉域網環境SplunkES統合・構築】東京・豊洲（常駐）／設計・構築・運用
【CSIRT運用・インシデントハンドリング】フルリモート（出張併用）／SOC Tier1・インシデント対応
【電力制御システムCEマーキング取得・セキュリティコンサルティング】神戸（フルリモート可）／IEC62443・リスクアセスメント・ガイドライン設計
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【750～1100万円】社内ITセキュリティマネージャー｜IPO準備中のイノベーションファーム
情報セキュリティ施策推進担当者【550～765万円・在宅メイン】
