AIが脆弱性管理を変えるなか、NISTがNVDを刷新
NISTは、National Vulnerability Databaseにおける過去最高水準の公開済みセキュリティ欠陥の流入への対応を変更し、Google Newsで取り上げられた。同機関は、CVEとして知られるすべてのCommon Vulnerabilities and Exposuresレコードを即時に分析するという約束を取りやめた。今後は、悪用に関連する欠陥、連邦政府システム、重要ソフトウェアに関わる欠陥を優先する。
この転換には難しいトレードオフがある。人工知能は脆弱性の発見を加速し、コード分析のコストを下げている。一方、こうした発見を分類する公共インフラは、依然として制約のある政府のワークフローと専門家のレビューに大きく依存している。
その結果は、単なるデータベース更新ではない。NISTは、より自動化されたシステムを開発しつつ、包括的なエンリッチメントを選択的かつリスクベースの処理へと置き換えている。これは同機関の公共的使命を、既存の運用モデルでは維持できない受け付け件数と対峙させるものだ。
また、NVDのエンリッチメントを、製品名、深刻度データ、影響を受ける構成に関する一貫した情報層として扱ってきたセキュリティチームにも圧力がかかる。こうしたチームは今後、NVDレコードをベンダーのアドバイザリ、CISAのデータ、資産の文脈、独自分析と組み合わせる必要がある。
したがって、この近代化の取り組みには相反する二つの目標がある。NISTは自動化によってより多くの情報を処理しなければならない一方、NVDの有用性を支える判断力とデータ品質を維持する必要がある。
Google Newsの見出しが示す、NVDの恒久的な転換
NISTは、公開されるほぼすべてのCVEを分析する方針から、国家的リスク基準に基づいて選別したより少数のCVEをエンリッチする方針へ移行した。
同機関は2026年4月15日に運用変更を発表した。リスクベースモデルでは、三つの脆弱性グループに即時の対応を行う。
第1のグループは、CISAのKnown Exploited Vulnerabilitiesカタログに掲載されたCVEを対象とする。NISTは、これらのレコードを受領後1営業日以内にエンリッチすることを目標に掲げた。
第2のグループは連邦政府全体で使用されるソフトウェアを対象とする。第3のグループは、Executive Order 14028に基づいて特定された重要ソフトウェアを対象とする。
有効なCVEはすべて引き続きNVDに掲載される可能性がある。ただし、これらのカテゴリー以外のレコードには「Lowest Priority」の指定が付与され、即時エンリッチメントの予定が組まれない場合がある。
エンリッチメントとは、基本的な脆弱性開示を、より運用に役立つデータへと変換する作業である。深刻度評価、脆弱性分類、参照ラベル、製品への適用可能性に関する詳細を追加できる。
CVEの説明文だけでは、企業にとって最も重要な問いに答えられることはほとんどないため、こうした詳細は重要だ。セキュリティチームは、脆弱なコンポーネントが自社環境内に存在するか、攻撃者がそこで悪用できるかを知る必要がある。
Common Platform Enumerationシステム、すなわちCPEは、影響を受けるハードウェアとソフトウェアの特定に役立つ。CPEマッピングの欠落や遅延は、公開情報と組織の資産インベントリを自動ツールが照合することを妨げる可能性がある。
NISTはまた、CVE Numbering Authorityがすでに深刻度スコアを提供している場合、別個のスコアを通常は作成しない方針にした。CNAとは、CVE識別子を割り当て、初期レコードを公開する権限を持つ組織である。
ユーザーが追加分析を要請した場合、同機関は個別レコードを再検討する。この例外は逃げ道を提供するが、以前の包括的な処理モデルを再現するものではない。
更新されたレコードにも同様の扱いが適用される。NISTは、変更があるたびにエンリッチ済みのすべてのCVEを再分析する計画を取りやめた。今後は、エンリッチメントデータに実質的な影響を与える変更に重点を置く。
過去のバックログには、さらに明確な境界が設けられた。2026年3月1日より前に公開され、未処理だったレコードは、その後に優先順位が付けられない限り、「Not Scheduled」カテゴリーに移された。
この判断により、Google Newsの記事は単なる遅延作業の解消に関する報道以上のものとなる。NISTは、従来の取り組みでは現在の提出件数を支えられないことを認めた。
同機関によると、CVEの提出件数は2020年から2025年の間に263％増加した。2026年第1四半期の提出件数は、2025年の同期間よりほぼ3分の1多かった。
NISTは2025年に約4万2,000件のCVEをエンリッチした。同機関によれば、これは過去のどの年よりも45％多い。
この記録的な処理量であっても、流入する需要には追いつかなかった。アナリストの生産性を高めるだけでは、拡大する開示システムと大部分が手作業であるエンリッチメントプロセスの構造的な不均衡を解決できなかった。
新たなモデルは、不完全なエンリッチメントを運用上の前提として受け入れる。そのうえで、文脈情報の欠落が最大のシステム全体のリスクを生むとNISTが判断する領域に、限られたレビュー能力を集中させる。
これは大きな政策上の選択だ。ある脆弱性は、連邦政府の優先基準を満たさなくても、病院、工場、公益事業者、ソフトウェア供給者にとって重大であり得る。
NISTは、自らのルールが一部の影響の大きい事例を見逃すことを認識している。要請プロセスによりユーザーはそのようなレコードを指摘できるが、対応時期は依然として利用可能なリソースに左右される。
したがって、この見出しは近代化と同じくらい希少性に関するものでもある。NISTは、どの脆弱性インテリジェンスを最初に公共向けにエンリッチし、どのユーザーが別の場所で文脈情報を得なければならないかを定義している。
AIによる発見は、人間のレビューより速く対象範囲を拡大している
AIは、各発見を検証できる専門家の数を比例して増やさずに発見件数を増やせるため、脆弱性を取り巻く経済性を変えている。
現代のAIシステムは、ソースコードの検査、テストケースの生成、不審な挙動の分類、研究者による不慣れなリポジトリの探索を支援できる。エージェントベースのシステムは、モデルを静的解析ツール、ファザー、デバッガ、課題トラッカーと接続することもできる。
こうした能力が、モデルによって生成されたすべての発見を有効にするわけではない。しかし、より多くのコードパスを探索し、より多くのソフトウェアバージョンをテストし、より多くの候補レポートを作成するコストを下げる。
脆弱性候補には、依然として検証が必要だ。研究者は条件を再現し、セキュリティ上の影響を確立し、影響を受けるバージョンを特定し、本物の欠陥と想定された挙動を区別しなければならない。
開示にはさらに別の層が加わる。CNAは、その問題がCVEの対象となるかを判断し、ベンダーと調整し、防御側が対応するために十分な情報を公開しなければならない。
NVDのエンリッチメントはそのプロセスの後に始まる。アナリストは公開された証拠を評価し、下流の製品が利用できる標準化データを関連付ける。
AIは各段階で支援できるが、ボトルネックを下流へ移す可能性もある。検証、調整、エンリッチメント、修正対応が人員の可用性によって制約されたままであれば、発見が速くなっても意味は限られる。
同じ技術は攻撃者にも新たな選択肢を与える。モデルはパッチを要約し、変更された関数を特定し、概念実証コードを生成し、エクスプロイト調査の一部を自動化できる。
これらの能力のいずれも、信頼できる悪用を保証するものではない。それでも、新たな開示を調査したり、脆弱なバージョンと修正済みバージョンを比較したりするために必要な労力を減らす可能性がある。
これにより、防御側が対応できる時間は圧縮される。完全なNVDレコードを待つセキュリティチームは、脅威研究者や攻撃者がベンダーのコミットを直接調査している間に、貴重な時間を失う可能性がある。
NISTの対応は、理論上の深刻度よりも既知の悪用を優先することだ。CISAのKEV catalogには、悪用の証拠と推奨される修正対応がある脆弱性が記録されている。
この重点は重要な違いを反映している。Common Vulnerability Scoring SystemであるCVSSは技術的な深刻度を示す一方、悪用の証拠は観測された攻撃者の行動を示す。
高いCVSSスコアは、その欠陥が悪用されていることを証明しない。低いスコアの脆弱性でも、攻撃者が弱い構成や公開されたシステムと組み合わせれば、緊急性を帯びることがある。
NISTによる2026年6月のスキーマ拡張は、このリスクベースの方向性を強化した。NVDは、CISAを通じて提供されたStakeholder-Specific Vulnerability Categorization、すなわちSSVCデータの配信を開始した。
SSVCは、悪用状況、自動化の可能性、技術的影響といった要素に基づく意思決定を支援する。単一の深刻度スコアとは異なり、異なる関係者が文脈に応じた判断を下すのに役立つ。
この更新では、CVEレコードに由来する影響製品情報も追加された。NISTは、この導入が既存のNVD脆弱性のおよそ95％に及んだと報告した。
この大規模な更新は、近代化によって何が可能になるかを示した。パートナーシステムからの構造化データは、NISTがすべての項目を独自に再作成しなくても、NVD利用者に届く。
同時に、運用上の影響も生じた。NISTはAPI利用者に対し、レコードの大型化、一時的なフィード増大、同期需要、レイテンシーの可能性について警告した。
これがNVD近代化の実際の姿だ。共有スキーマ、パートナーが作成した評価、自動取り込み、そして下流システムが来歴を解釈できるだけの透明性が含まれる。
AIは、欠落項目の発見、重複の特定、複雑な案件の振り分けによって、このアーキテクチャを支援できる。ただし、自動化された提案には、証拠、信頼度、レビューに関する統制が必要だ。
影響を受けるバージョンをモデルが捏造したり、製品を誤分類したりすれば、誤ったシステムに修正対応を向ける可能性がある。国家規模では、小さな誤り率であっても数千件の誤解を招くレコードを生み得る。
したがって、AIの有用な役割には境界がある。AIは反復作業を減らし、不整合を浮き彫りにできる一方、異議のある案件、重大な案件、あるいは異例に複雑な案件は専門家のレビュー担当者が扱う。
この役割分担が、処理の高速化がNVDを改善するのか、それとも不完全な情報をより速く生み出すだけなのかを決める。
NISTのリスクモデルはすべてのNVD利用者に圧力をかける
当面の負担は、中央集約型のエンリッチメントサービスから、ベンダー、セキュリティプラットフォーム、個々の資産所有者へと移る。
脆弱性管理製品は、NVDデータをベンダーのアドバイザリ、スキャナーの結果、エクスプロイトインテリジェンス、顧客のインベントリと組み合わせることが多い。選択的エンリッチメントにより、こうした追加の入力情報はさらに重要になる。
NISTが生成したCPEデータのないレコードは、インストール済み製品と自動的に照合できない可能性がある。独立した深刻度評価が欠けている場合、チームは提出元のCNAによる分析に依存することにもなり得る。
その依存が常に問題になるわけではない。製品ベンダーは、影響を受けるバージョンと技術的影響について最良の情報を持っていることが多い。
しかし、インセンティブと報告品質にはばらつきがある。あるベンダーは優れた機械可読データを公開する一方、別のベンダーは非構造化のアドバイザリや不完全なバージョン範囲しか提供しない場合がある。
セキュリティプラットフォームは、自らエンリッチメントを実施することで、その一部を補える。大手プロバイダーはすでに、研究チーム、製品分類体系、脅威インテリジェンスのパイプラインを維持している。
小規模組織は公共データにより強く依存する可能性がある。相反する名称の突き合わせ、参照先の確認、脆弱性が導入済みソフトウェアに影響するかのテストに割けるアナリストが少ないためだ。
産業事業者は、この問題の中でも特に複雑な形に直面する。運用技術は何年も使われ続けることが多く、インベントリデータにばらつきのある専門コンポーネントに依存している。
工場は、オフィスのノートPCほど迅速にコントローラーへパッチを適用できるとは限らない。更新にはベンダー承認、テスト、計画的な停止、安全機能が維持されていることの確認が必要になる場合がある。
リスクベースの優先順位付けは、このような環境で価値を持つが、それは基礎となる文脈が正確である場合に限られる。悪用の証拠、資産の露出、運用上の影響、代替的な統制はいずれも最終判断に影響する。
NVDは、あらゆる組織の環境を把握できるわけではない。そのデータは意思決定を支援するが、ローカルの資産情報やエンジニアリング上の判断に取って代わるものではない。
選択的なエンリッチメントは、その限界をより明確にする。組織は「Not Scheduled」ステータスを、脆弱性が無害であるとの表明ではなく、処理区分として扱わなければならない。
NISTは、優先度の低いレコードであっても、影響を受けるシステムに重大な影響を及ぼし得ると明確に警告している。単に、優先対象のレコードと同じシステミックリスク基準を満たしていないだけだ。
この区別は、自動化されたダッシュボードの中では失われかねない。特に、理由を説明せずに重大度や製品フィールドを空欄で表示する製品では、ユーザーがエンリッチメントの欠如をリスクの不存在と解釈する可能性がある。
ツール提供者は、情報源とステータスの情報を保持すべきだ。CNAのスコア、NISTの評価、CISAの分類、ベンダーアドバイザリはそれぞれ異なる証拠であり、互換的なものとして表示されるべきではない。
チームには、不完全なレコードに対する代替手順も必要となる。そうした手順には、ベンダーアドバイザリ、ソフトウェア部品表、スキャナーの証拠、製品バージョンの直接検証の確認が含まれる。
ソフトウェア部品表、すなわちSBOMは、アプリケーションに含まれるコンポーネントを列挙する。標準化された製品照合が利用できない場合でも、チームが潜在的な影響範囲を特定する助けとなる。
ただし、SBOMは悪用可能性を証明するものではない。記載されたライブラリは到達不能であったり、無効化されていたり、変更されていたり、別の制御によって保護されていたりする可能性がある。
ここで、セキュリティプログラムは識別と優先順位付けを分けなければならない。まず影響を受けるコンポーネントが存在するかを確認し、その後に到達可能性、露出状況、悪用、事業への影響を評価する。
AIはこれらの情報源の相関付けに役立つ可能性があるが、企業は証拠の追跡可能性を維持すべきだ。アナリストは、自動システムがなぜある脆弱性を別のものより上位に置いたのかを理解する必要がある。
開発者とセキュリティエンジニアにとって、これはドキュメントが防御の一部になることを意味する。意思決定は、CVEを影響を受ける資産、裏付けとなる証拠、責任者、修復状況へと結び付けるべきだ。
検索可能なエンジニアリング知識ベースは、アドバイザリ、インシデントノート、社内システム記録にまたがって、その文脈を保持するのに役立つ。
目的は、セキュリティツールをドキュメントソフトウェアで置き換えることではない。チケット、チャットスレッド、孤立したアナリストノートの間で、重要な推論が失われないようにすることだ。
NVDが提供するエンリッチメントの均一性が低下するほど、ローカルな証拠の質は脆弱性管理の質を左右する要素として大きくなる。
自動化と信頼こそが真のモダナイゼーション試験である
NISTは、データの価値を支える社会的信頼を損なうことなく、増加する件数を処理できるだけの作業を自動化しなければならない。
米商務省監察総監室は2026年5月、この課題をより明確にした。同室のNVD評価では、NISTがバックログを解消できず、提出件数の増加にも追随できていなかったことが示された。
評価では、バックログは2024年2月に始まり、その後も増加を続けたとされた。また、大幅な変更なしにバックログを解消したり将来の遅延を防いだりするための持続可能なプロセスが、NISTには欠けていると結論付けた。
監査に関する報道では、2025年末時点で未処理の脆弱性が2万7000件を超えていたとされる。このレビューは、計画策定、請負業者への依存、連邦政府内での作業の重複、利害関係者との連携についても懸念を示した。
OIGは6件の勧告を出した。共通する主題は、単にアナリストを増員することではなかった。NISTには、より明確な優先順位、より効率的なプロセス、より良い連携、より強固なリソース管理が必要だった。
この批判により、モダナイゼーションの主張は測定可能になる。古いレコードを「Not Scheduled」へ移すことはバックログのステータスを変えるが、それらのレコードをエンリッチするわけではない。
この方針には合理性があり得る。積極的に悪用されている脆弱性への対応を妨げるなら、優先度の低い作業を恒久的に待機列に置くことにはほとんど価値がない。
しかし、ラベルの変更だけを進捗の証拠とすることはできない。NISTは、優先レコードに対して適時かつ正確なエンリッチメントが行われ、さらに自動化が有用な処理能力を高めていることを示さなければならない。
省庁横断の連携も、もう一つの試験となる。CISAはKEVカタログを運用し、Vulnrichmentの取り組みを通じて追加の脆弱性情報を配信している。
NISTとCISAは、構造化された評価を共有し、責任範囲を明確化することで、作業の重複を減らせる。6月のSSVC統合は、そのアプローチの初期例となる。
この関係は、ガバナンス上の問題ももたらす。利用者は、各データ要素をどの機関が作成したのか、いつ更新されたのか、見解の相違をどのように扱うのかを知る必要がある。
AIがワークフローに入ると、来歴情報はさらに重要になる。自動分類には、その情報源、証拠、信頼度、レビュー状況に関する情報が付随すべきだ。
人間によるレビューを、定義されていない約束のままにしてはならない。NISTには、機械生成の結果を自動公開できる場合と、アナリストの介入が必要な場合を決める基準が必要だ。
製品照合は有用な事例の一つだ。自動化はベンダー名を正規化し、CPEマッピングを提案できるが、曖昧な製品については公開前に専門家のレビューを受けるべきである。
重複検出も別の事例となる。モデルは似た説明を識別できるが、別々のCVEが異なる根本原因や影響を受けるブランチを持つ関連脆弱性を記述している場合もある。
重大度スコアリングには、より高いリスクが伴う。もっともらしいベクター文字列であっても、モデルが必要な権限、ユーザー操作、スコープを誤解していれば誤りになり得る。
NVDの利用者はすでに、データエラーがどのように波及し得るかを見ている。2026年4月、NISTは約4500件のレコードに影響する不正確な数値のCVSS 4.0スコアを公表した。
NISTによると、これらのレコードはバージョン4.0のスコアを持つCVEの19%に相当した。誤った値の大半は、正しく計算された結果より高かった。
このインシデントに生成AIは関与していなかった。それでも、大規模な公開データセット全体に計算または処理のエラーを適用した場合の影響を示している。
自動化は、処理能力と影響範囲の両方を拡大する。したがって信頼できるモダナイゼーションプログラムには、検証ルール、変更履歴、ロールバック手順、公開されたパフォーマンス指標が必要である。
NVDはすでにAPIを通じてレコード履歴を公開している。モダナイゼーションでは、エンリッチされたフィールドを時間を超えて不変の事実として示すのではなく、この透明性を拡大すべきだ。
独立した観察者は、混合モデルを提案している。NVD改革に関する分析は、複雑かつ影響の大きいケースについて、専門家レビューと並行した自動検証を推奨している。
このモデルはNISTの立場に適しているが、実装には依然として不確実性が残る。同機関は自動化システムとワークフロー強化について説明しているものの、すべての技術的統制や提供時期を公開しているわけではない。
したがってモダナイゼーションの取り組みは、AIの存在ではなく成果によって評価されるべきだ。より迅速なエンリッチメント、根拠のないマッピングの減少、より明確な来歴情報、予測可能なAPIは、真の改善を示すだろう。
より多くのレコードを処理しても、不確実性を覆い隠すシステムは、NVDの中心的な目的を弱めることになる。
Google Newsの報道では解決されない点
未解決の問いは、選択的エンリッチメントが持続可能な公共サービスを生むのか、それとも組織間のインテリジェンス格差を広げるのか、という点にある。
NISTの基準は、連邦政府またはシステム全体との関連性が明確な脆弱性を優先する。このことは、とりわけ積極的な悪用に即時対応が求められる場合、国家的なリスク低減を支える。
一方で、このアプローチは、広く悪用される前の新興リスクを見落とす可能性もある。特殊な産業製品の脆弱性は、影響を受ける組織が少数でも、深刻な安全上の影響をもたらし得る。
また、悪用の証拠が得られていないために、脆弱性がKEVカタログの対象外である場合もある。カタログに存在しないことは、悪用が一度も発生していないことを示すものではない。
攻撃者は完全な活動報告を公開しない。ベンダーやインシデント対応者も、キャンペーンを調査している間は情報開示を遅らせる可能性がある。
セキュリティチームは、NISTの待機列を自らのリスクランキングに置き換えないよう注意しなければならない。同機関の処理優先度と企業の運用上の優先度は、異なる問いに答えるものだ。
病院は、臨床システムに影響する脆弱性を優先するかもしれない。製造業者は、生産や物理的安全を脅かすコントローラーの脆弱性を優先するかもしれない。
いずれの場合も、その脆弱性が連邦政府のソフトウェアに影響する必要はない。NVDレコードにエンリッチメントがない場合でも、ローカルな影響が即時対応を正当化し得る。
逆の問題も重要だ。不完全なデータが不要な緊急対応を引き起こすと、チームは限られたリソースを浪費しかねない。
ベンダー提供の重大度スコアは、理論上もっとも深刻な構成を示している場合がある。顧客が展開しているバージョンや制御は、露出を大きく減らし得る。
これが、コンテキストに基づく優先順位付けが魅力的な理由だ。すべての高スコアを同等に扱うのではなく、到達可能で、悪用されており、重大な影響をもたらす脆弱性へと注意を向ける。
AIベンダーは、自社システムがこの相関付けを自動的に実行できると主張する機会を増やしている。そうした主張は、他のセキュリティ自動化と同じ懐疑的な視点で検証されるべきだ。
モデルは、非公開の資産を見落としたり、事業上の依存関係を誤解したり、古いインベントリに依存したりする可能性がある。不完全な証拠に基づくランキングに対し、説得力のある説明を生成することもある。
組織は、影響の大きい修復には追跡可能な入力と人間による承認を求めるべきだ。自動パッチ生成は、セキュリティ上の利点と並んで可用性や安全性のリスクをもたらす。
この警告は、運用環境では特に重要となる。正しいセキュリティパッチであっても、検証済みのプロセスを妨げたり、ベンダーサポートを損ねたり、リアルタイム性能を変化させたりする可能性がある。
モダナイゼーションは、発見、優先順位付け、修復を、レビューされていない一つのアクションへと統合してはならない。各段階には異なる証拠要件と失敗コストがある。
Google Newsの報道だけでは、NISTがどの程度の資金や人員を得るかも確定できない。プロセスの再設計は効率を高められるが、安定した公共インフラには継続的なリソースが依然として必要だ。
OIGの調査結果は、ガバナンスが技術アーキテクチャと同じくらい重要であることを示している。契約計画、省庁間合意、利害関係者からのフィードバック、測定可能なサービスレベルはいずれも信頼性に影響する。
NISTの公開アップデートは有用な透明性を提供しているが、利用者には処理時間とエンリッチメント範囲に関する継続的なデータが必要だ。集計された生産量だけでは、正確性や分布を明らかにできない。
強力なダッシュボードでは、新規受領、優先対象、エンリッチ済み、未スケジュール、ユーザー要求のレコードを分けて表示するべきだ。また、それらの区分ごとのレイテンシーも示すべきである。
品質指標には、訂正されたマッピング、異議が示されたスコア、外部フィードバック後に変更されたレコードを含めるべきだ。こうした指標により、自動化が初回処理時の正確性を高めているかが分かる。
それらがなければ、選択的エンリッチメントは二つの脆弱性エコシステムを生み出すおそれがある。資金力のある企業は追加のインテリジェンスを購入できる一方、小規模なチームには不完全な公開レコードしか残らない。
この結果は避けられないものではない。より優れた機械可読なベンダーデータ、共有された連邦政府スキーマ、透明な自動検証は、公共レイヤーを強化できる。
NISTの課題は、不確実性を隠すことなく、これらの要素を連携させることだ。誰もが同じ証拠を確認し、その限界を理解できるとき、NVDは最も価値を発揮する。
NVDのモダナイゼーションが機能しているかを示す三つのシグナル
次の段階は、エンリッチメントのレイテンシー、共有される連邦データ、可視化された品質管理によって判断されるべきだ。
第一のシグナルは、KEVレコードに対するNISTの1営業日という目標の達成状況である。一貫した提供は、リスクベースのスケジューリングが最も緊急性の高い作業負荷を守っていることを示すだろう。
パフォーマンスには、公開スピードだけでなく完全性も含めるべきだ。迅速に記録が公開されても、対象製品への適用情報が欠けていれば、防御側は影響を受けるシステムを特定できないままになる。
第2のシグナルは、NIST、CISA、CNA、ベンダー間の統合深化である。6月のSSVCと影響製品の展開は、共有可能な構造化データに向けた技術的な道筋を示した。
今後の更新では、フィールド単位で来歴を維持すべきだ。利用者は、スコアや分類がNIST、CISA、ベンダー、あるいは別の認定発行者のどこに由来するのかを把握できる必要がある。
明確な責任分担は、見解の相違を許容しつつ重複分析を減らせる。連邦政府のデータパイプラインが、すべての機関に同じ評価を独自に算出させるべきではない。
第3のシグナルは、自動化が品質を加味した処理能力を向上させるという証拠だ。NISTは、自動化によって処理を支援できた記録数と、レビュー担当者がその結果を修正する頻度を報告すべきである。
有用な指標には、エンリッチメント時間の中央値、マッピング精度、修正率、手動エスカレーションが必要な記録の割合が含まれる。すべての指標には公開された定義を添えるべきだ。
スキーマ変更、APIパフォーマンスに関する通知、新たなワークフロー上の節目については、NVDのステータス更新を確認してほしい。こうした運用上の詳細は、AIに関する大まかな約束よりも重要になる。
セキュリティチームは、NVDが引き続き不可欠である一方、均一なエンリッチメントを提供しなくなる事態に備えるべきだ。次の緊急開示が発生する前に、重要資産を棚卸しし、代替となる証拠ソースを文書化しておく必要がある。
また、「Not Scheduled」と「関連なし」を区別しなければならない。この解釈を一度誤るだけで、連邦政府の作業負荷に関する判断が、企業セキュリティの盲点へと変わり得る。
Google Newsで注目を集めたことは有益だ。通常はスキャナーフィードの中に埋もれがちな、公共インフラの問題を表面化させたからである。NISTは、そのトレードオフを明確にした。
今後、同機関は選択的な分析が、単に予定済みキューを小さくするだけでなく、より良いリスク判断につながることを証明しなければならない。
実務者にとって、直ちに取るべき行動は明快だ。NVDのフィールドがワークフローのどこで使われているかを見直し、それらのフィールドが欠けた場合に何が起こるかを特定し、代替経路をテストする。
NISTのCPEマッピングがなくても、チームはベンダーアドバイザリーを導入済み資産に結び付けられるだろうか。別の深刻度スコアを待たずに、悪用の証拠を評価できるだろうか。
その答えによって、NVDのモダナイゼーションが管理可能な移行となるか、予期せぬ遅延要因となるかが決まる。
