CISA BOD 26-04 が再定義するセキュリティ責任者の脆弱性管理指標

CISA の BOD 26-04 は、連邦機関によるパッチ適用方法を変更するとともに、セキュリティ幹部がサイバーリスクを測定して根拠を明らかにし、経営陣や取締役会に伝達する方法を変更します。

CISA の「拘束力のある運用指令（BOD）26-04」に潜む報告義務

CISA BOD 26-04 に関する報道の多くは、運用上の要件、すなわち「4 変数モデル」、「16 段階の修正マトリックス」、「3 日間の BOD 26-04 パッチ適用スケジュール（フォレンジックトリアージの実施義務付き）」の 3 点に焦点を当ててきました。これらは重要な点であり、Tenable では BOD 26-04 に関する FAQ でこれらについて詳しく解説しています。

しかし、この指令の要件の中には、(あまり討議されていないものの) 同様に変革をもたらす可能性のある義務も盛り込まれています。すなわち、各機関は、特に修正を先送りすることを決定した場合において、脆弱性の優先順位付けの方法を示し、その決定の根拠を説明しなければならないということです。指標は、単にパッチされた脆弱性の件数を数えるものから、高リスクのサイバーエクスポージャーが減少したことを反映する指標へと進化していくものと予想されています。

これは、単なる手続き上の軽微な変更ではありません。 これは、サイバーセキュリティプログラムの評価、報告、および説明責任の在り方における根本的な転換です。 CISOやセキュリティ責任者にとって、BOD 26-04 は単にパッチ適用ワークフローを変えるだけのものではありません。 BOD 26-04 指令は形式上、連邦政府機関を対象としているものの、リスクに基づく説明責任という方向性に市場原理が合致するにつれ、その枠組みは民間部門の指針として急速に定着しつつあります。結局、それは企業の取締役会が耳を傾けるべき内容を変えることになります。

BOD 26-04 の下、従来の脆弱性管理指標が機能しなくなる理由

長年にわたり、セキュリティ責任者は、脆弱性管理プログラムを「量」によって評価してきました。

• 特定された脆弱性の総数
• 適用されたパッチの総数
• 30日間の期間内にスキャンされたシステムの割合
• 平均修復時間（MTTR）

これらの指標は、収集や報告が容易で、経時的な推移の把握も簡単ですが、実際のリスクとの乖離もますます大きくなっています。

Tenable が全世界の顧客基盤から収集したテレメトリデータを独自に分析した結果、多くのセキュリティ責任者が疑いながらも証明できなかったことが裏付けられました。すなわち、監視範囲の広さは、パッチ適用速度よりも、より確実で予測性の高いリスク指標であるということです。 監視対象外の資産は、恒久的に露呈したアタックサーフェスとして存在しており、関連情報検出結果の生成、優先順位の付け、修正済みであることの確認を行うことができません。 逆に、監視対象の資産は、修正措置が最大速度で実行されていなくても、リスク監視の目が届いています。

業界の独立系調査によると、レポートの重点を「パッチ適用速度」から「監視範囲・カバレッジ」へと移行させる必要性が強く裏付けられています。

• 修正の上限。Cyentia Institute による「予測に基づいた優先順位付け」という調査（36 億件の脆弱性観測データを分析）によると、規模、業界、成熟度にかかわらず、一般的な組織が毎月修正できる未対処の脆弱性は、その約 10% 程度であることが明らかです。したがってバックログの増加ペースを上回るペースでパッチを適用することはできないため、リスクを効果的に低減させる唯一の手段は、スピードではなく優先順位付けになります。
• MTTR の欠点。標準的な平均修復時間（MTTR）の算出では、未対処の脆弱性が除外されるため、指標が「迅速に解決しやすい項目」に偏ってしまいます。しかし、解決しやすい項目が、必ずしも最も重大度が高く、深刻度が高く、リスクの高い問題であるとは限りません。
• 資産構成の偏り。修正の半減期は資産の種類によって大きく異なり、Microsoft Windows システムでは平均 36 日であるのに対し、ネットワークアプライアンスでは 369 日となっています。MTTR の値が低いということは、多くの場合、Windows 資産に対する自動パッチ適用状況が明確に把握できていることを意味するに過ぎませんが、この KPI では、エッジデバイスや OT システムにおける持続的なサイバーエクスポージャーが隠れてしまう可能性があります。

BOD 26-04 は、この点を明確に規定しています。すなわち、修正の優先順位は、特定された脆弱性の総数ではなく、その脆弱性が悪用された場合に生じるリスクに基づいて決定することであり、この指令の「対応延期レベル」（システムアップグレード時に修正）は、データが常に示してきた事実、すなわち「ほとんどの脆弱性は後回しにしても問題ない」ということを正式に認めたことになります。 後回しにできないものは、エクスプロイトの証拠、サイバーエクスポージャー、自動化の可能性、影響の深刻度によって定義されます。

「今四半期、重大度の高い CVE の 95% にパッチを適用した」と報告するセキュリティ責任者は、BOD 26-04 によって不十分とみなされた指標を報告していることになります。 

ここで重要な質問は次の通りです。 ミッションクリティカルなシステムに現実的なリスクをもたらした脆弱性のうち、指令で定められた期限内にどの程度の割合を修正できたのか、また、その評価を行った時点で、アタックサーフェスのどの範囲が監視下にあったのか、ということです。

新しいセキュリティ指標: BOD 26-04 の要求

数量ベースの報告からリスクベースの報告への移行には、新たな KPI が必要となります。 BOD 26-04 を導入する組織は、同指令の 4 変数による優先順位付けモデルを反映した指標を検討する必要があります。

BOD 区分ごとの修正コンプライアンス状況。 各 BOD 段階（3 日間のフォレンジックトリアージ、3 日間、14 日間、60 日間、システムアップグレード）における脆弱性のうち、所定の期間内に修正されたものの割合。これがコンプライアンスの主要な指標です。 これにより、「修正までの時間」に代わり、3 日以内の修正が必要な重大度の高い検出結果と、対応を先送りできる低リスクの検出結果とを区別する、リスク加重型の指標が導入されます。

現在悪用されている脆弱性のカバレッジ。 環境内の KEV に登録されている脆弱性のうち、何パーセントが修正されているか。 これは、既知の脅威のうち最も危険なものに対する対応を測定するものであり、脆弱性の総数を測定するものではありません。

時間の経過に伴うサイバーエクスポージャーの減少。 「一般に公開されている」と分類される資産（BOD 変数 1）の傾向はどう変異しているか。インターネットに露呈している資産の数を減らすことで、脆弱性は「対応期間の短縮」から「対応延期」の階層へと直接移行します。Tenable が CISA の Vulnrichment コーパス全体を分析した結果、資産を公開状態（サイバーエクスポージャー）から除外することで、関連する CVE の 76.7% をより長い修正期間の対象へと移行できることが判明しました。これは、サイバーエクスポージャーの低減がコンプライアンスへの投資の中で最も効果的なものであることを示しています。

また、別の独立した研究により、評価のカバレッジが、パッチ適用速度よりもリスクの帰結を示すより優れた指標であることが裏付けられています。 XM Cyber と Cyentia Institute による共同分析では、1,000万のエンティティにわたる 6,000万件以上のサイバーエクスポージャーを調査した結果、セキュリティ上のエクスポージャーの 75% は重要な資産を危険にさらすものではなく、攻撃に至らないものであることが判明しました。サイバーエクスポージャーのうち、「チョークポイント」と呼ばれる、重要な資産へと至る複数の攻撃経路が通過する集約ポイントに位置するのは、わずか 2% に過ぎません。 これは、Tenable のテレメトリ調査結果を別の角度から裏付けるものです。つまり、監視対象にチョークポイントが存在するエンティティが含まれていない場合、残りの 98% に対する修正スピードは、リスクシグナルにおけるノイズに過ぎないのです。

重要な指標は、パッチを適用する速さではなく、攻撃経路が集中する場所まで可視性が及んでいるかどうかです。

フォレンジック・トリアージの完了率。リスクレベルが最も高い区分（KEV＋完全制御）に該当する脆弱性について、3 日間の期間内に、BOD 26-04 で義務付けられているフォレンジックトリアージがガイドライン通りに実施されたものは、全体の何パーセントを占めるか。これは、同指令の中で最も斬新かつ運用上の負担が大きいコンプライアンス要件への準拠状況を測定するものです。

修正延期根拠の文書化率。「システムのアップグレード時に修正」というレベルに分類された脆弱性のうち、リスク受容の決定が文書化されているものは何パーセントか。 BOD 26-04 では、各機関に対し、対応の延期決定についてその根拠を示すことを義務付けており、これは、対応が延期されたすべての脆弱性について、監査可能な根拠が必要であることを意味します。

KEV への追加から修正までの平均時間。KEV カタログに CVE が追加され、その BOD タイムラインが短縮された場合、組織はどのくらいの速さで対応しているか。 これは、タイムラインの動的な変更に対する組織の対応速度を測定するものです。

これらの指標には共通の特徴があります。それは、活動量ではなく、リスク低減の成果を測定する点です。 BOD 26-04 の基準下、パッチが適用される脆弱性の総数は少ないものの、3 日以内に「3 日レベル」の脆弱性を 100% 修正するセキュリティプログラムは、パッチが適用される CVE の総数が 2 倍でも重要な期限を守れていないプログラムよりも、優れたパフォーマンスであると認められます。

説明責任の要件: 脆弱性の修正を先送りする決定の正当根拠

BOD 26-04 は、連邦政府の脆弱性管理においてこれまで存在しなかったもの、すなわち優先順位付けの決定を正当化するための正式な要件を導入しています。 組織が脆弱性の修正を次回のシステムアップグレードサイクルまで先送りする場合、その決定は根拠に基づいて文書化されたものでなければなりません。

これにより、監査証跡の確保が求められることになります。先送りされた脆弱性について、組織は以下を実証することが要求されます。

• 4 つの変数のうち、どれが評価されたか
• どのような組み合わせによって、この脆弱性が「延期」レベルに分類されたのか 
• この延期によって容認できないリスクが生じないと確信している理由 

4 つの変数のいずれかに変化があった場合（KEV への CVE の追加、インターネットに新たに公開された資産など）、延期に関する決定を再評価しなければなりません。

セキュリティ責任者にとって、これは、脆弱性管理プログラムが有益かつ証拠に基づいたレポートを作成できることが必要であることを意味し、 ダッシュボードやレポートもコンプライアンスを実証する文献となります。 これらのレポートを生成するツールは、すべての資産におけるすべての CVE について 4 つの変数に基づく評価を記録し、経時的な変化を追跡し、変数の変化により延期決定が有効でなくなった場合にそれを明らかにできるものでなければなりません。

これは、Tenable One サイバーエクスポージャー管理プラットフォームであれば直接貢献できることです。継続的な資産検出とリスクベースの優先順位付けを組み合わせることができるので、BOD 26-04 の説明責任要件が求める、監査対応可能なデータ基盤を構築します。 すべての資産のサイバーエクスポージャー状況が継続的に更新され、すべての CVE に対して Vulnrichment 由来の変数評価が行われ、優先順位の決定がすべて記録されていれば、連邦政府機関やその他の組織は、直近のスキャン時だけでなく、どのような時点でもコンプライアンスを証明することができます。

Tenable One が BOD 26-04 をどのようにサポートしているか、詳細をご覧ください。

連邦政府機関の外にある 請負業者・サプライチェーンへの影響

BOD 26-04 は、連邦行政機関（FCEB）に対して拘束力があります。しかし、この指令の運用上の適用範囲は、その法的権限の範囲を超えています。CISA は各機関に対し、「本指令で求められる措置を遵守するためにどのような変更が必要かを判断するため、すべての契約を見直すこと」を求めています。すなわち、多数の連邦政府請負業者が通告を受けたことと同じです。

連邦政府との契約を締結している組織、政府機関に代わって連邦情報システムを運用したり、連邦政府の顧客にマネージドセキュリティサービスを提供したりしている組織や企業は、契約枠組みを通じて適用される BOD 26-04 のコンプライアンス要件に対応しなければならなくなります。 これらの組織にとって、この指令は単なる助言的なガイダンスではなく、作業要領書、セキュリティ要件マトリクス、び契約変更通知書に記載される契約上の義務となります。

報告体制の変革は、これらの組織にも及びます。 連邦政府のプログラム管理者は、この指令が各機関に対して求めているのと同じ質問を、請負業者に対して行うことになります。

• どの脆弱性を優先したか
• その理由は何であったか
• 期限を遵守したことは証明できるか

BOD 26-04 に準拠したリスク指標を提示できない請負業者は、契約更新や新規案件の獲得競争において不利になります。

連邦政府のサプライチェーンに関わる組織は、今から以下の取り組みを開始すべきです。

• 自社の脆弱性管理ツールが、BOD 26-04 で要求されるリスクエクスポージャー指標を算出できるかどうかを評価する
• 管理対象環境全体において、4 変数モデルを追跡できるかどうか評価する
• 優先順位付けの決定に関する、監査対応可能な文書を作成する準備をする

全体的な適合義務: BOD 26-04 が政府の枠を超えて重要な理由

BOD 26-04 は、サイバーセキュリティ業界全体におけるより広範な融合を反映した、報告体制の変革を推進しています。

保険引受業務は、合否だけを求める質問票に基づいた評価モデルから、エビデンスに基づくリスク評価へと移行しつつあります。サイバー保険会社は、「パッチ適用をどのように優先順位付けしているのか、また、リスクが最も高い脆弱性が最優先で修正されていることを実証できるか」を問いただすようになり、BOD 26-04 の枠組みは、この問いに対して説得力のある答えを示しています。

取締役会レベルで説明責任が課せられるため、活動指標よりもリスクエクスポージャー指標が求められるようになっています。取締役や役員がサイバーセキュリティガバナンスについて責任を問われるケースが増えています。「今四半期、5 万件の脆弱性にパッチを適用しました」と報告された取締役会では、その 5 万件の脆弱性へのパッチ適用が組織のリスク態勢に与える影響を評価することはできませんが、対照的に、「3 日間の優先度レベルの脆弱性は 100% が期限内に修正され、外部にさらされているアタックサーフェスが 15% 減少した」という報告を受けた取締役会は、十分な情報に基づいたガバナンス上の意思決定を行うことができます。

金融サービス、医療、重要インフラといった各業界における規制の方向性は、リスクベースの枠組みへと移行しつつあります。BOD 26-04 は連邦政府の規定ですが、その根底にある原則（理論上の深刻度ではなく、現実のリスクに基づいて優先順位を付けること）は、各業界固有の規制や基準にも反映されつつあります。 今、エクスポージャー指標を導入する組織は、今後どのような規制枠組みが導入されようとも、より有利な立場に立つことができるでしょう。

セキュリティ責任者がBOD 26-04のコンプライアンスに備える方法

BOD 26-04 の修正スケジュール適合は 180 日間以内に達成とあるので、2026 年 12 月頃が期限になりますが、報告体制の変革は直ちに開始すべきです。というのも、この指令に定められた方針更新の要件はすでに発効しているからです。セキュリティ責任者が成功を収めるためには、以下の 5 つの取り組みが重要になります。

1. 4 変数モデルに基づいて、現在の報告体制を監査る。 既存の脆弱性管理ダッシュボードおよび取締役会向け報告書を見直します。リスクレベルを区別せずにパッチ適用量を測定した場合、BOD 26-04 の説明責任要件を満たしたことにはなりません。新しい KPI（BOD ティアのコンプライアンス、KEV の適用範囲、サイバーエクスポージャーの低減、フォレンジックトリアージ率、延期理由）のうち、現在のツールで算出可能なものと、新たな機能が必要となるものを特定します。
2. リスクのエクスポージャーを報告するためのデータ基盤を構築。4 変数モデルでは、すべての資産上のすべての脆弱性について、以下の情報を把握しておく必要があります。 

• 資産は外部公開されているか 
• CVE は KEV に含まれているか
• 脆弱性のエクスプロイトは自動的に実行できるか 
• そのエクスプロイトによって完全または部分的な制御が奪取されるか

これらの質問に継続的に回答できない組織は、BOD 26-04 を遵守することも、同規定で求められるリスクエクスポージャー指標を作成することもできません。 Tenable One は、統合されたアタックサーフェス管理、KEV との連携、および Vulnrichment データの活用を通じて、この継続的な 4 つの変数からなるデータ基盤を提供します。

3. 監査証跡は、180 日間の期限を待たずに、今すぐ構築。 今後、組織が下すあらゆる優先順位付けの決定については、4 つの変数に基づく評価を用いて文書化する必要があります。監査人やプログラムマネージャーから「なぜこの脆弱性の対応を先送りしたのか」と尋ねられた場合、その回答は記録され、タイムスタンプが付けられ、決定当時の状態まで遡る追跡が可能であることが必要です。
4. 2 つの指標に基づく取締役会コミュニケーションモデルを採用。 上記で概説した 6 つの運用 KPI は、セキュリティ部門のために活用されます。 取締役会や経営陣とのコミュニケーションに関しては、Tenable の調査によると、よりシンプルな 2 つの指標からなるフレームワークが適しています。
5. 監視範囲の広さ、組織のアタックサーフェスのうち積極的に監視されている部分の割合を、主要なリスク指標とします。 カバレッジの範囲によって、組織が自らのリスクを把握できているかどうかを評価できます。
6. リスク階層別の修正率、すなわち、BOD（指令）が適用される期限内に修正された高リスクの脆弱性の割合を、後追い型パフォーマンス指標として採用。修正率は、組織が把握した事柄に基づいて行動しているかどうかを測る指標になります。

以上 2 点のどちらの指標も必要であり、どちらか一方だけでは不十分です。 役員は、これら 2 つの数値の推移を長期的に見ることによって、セキュリティプログラムが実際にリスクを低減させているのか、それとも視野が狭まる中で単に最適化を図っているだけなのかを評価することができます。

5. 移行は段階的に進める。 現在の取締役会への報告で、パッチ適用件数や CVSS の分布状況が網羅されている場合は、従来の指標を一夜にして置き換えるのではなく、リスクエクスポージャー指標を従来の指標と並行して段階的に導入していきます。 定期報告書の中で BOD 26-04 の文言（積極的に悪用されている脆弱性、公にさらされている資産、リスク階層別の修正）に触れるようにすれば、この移行が急激で混乱を招くものではなく、文脈に基づいた段階的なものであることが役員に伝わります。

「活動」から「説明責任」へ

指標の「その場しのぎの修正」からリスクエクスポージャー指標への移行は、連邦政府にコンプライアンス対応の建前を示す行為ではありません。 これは、ボリュームベースの脆弱性管理がもはや実際のリスクを反映していないという現実を背景に、サイバーセキュリティ業界全体が進んでいる方向を表しています。

Tenable による顧客テレメトリの分析によれば、監視範囲の広さがリスク態勢をより強く予測する要因であることが示されており、Cyentia、XM Cyber、CISA による独立した調査も、それぞれ異なる手法やデータセットを用いながらも、同様の結論に達しています。 

BOD 26-04 は、連邦機関におけるこの変更を正式に規定するものです。業種を問わず、BOD 26-04 指令をいち早く導入した組織こそが、自社のセキュリティプログラムが単にチケッティングを行うだけでなく、現実のリスクを低減していることを実証できる最良の立場にあると言えるでしょう。

Tenable の Research Special Operations (RSO) チームに 参加して、最新のサイバー脅威について Tenable Connect でさらに議論を深めてみませんか。

DX 時代のアタックサーフェスに向けたサイバーエクスポージャー管理プラットフォームである Tenable Oneの詳細をご覧ください。

もっと詳しく

• CISA BOD 26-04: リスクに基づいてセキュリティ更新プログラムの優先順位を決定する
• CISA BOD 26-04: よくあるご質問（Tenable）
• CTEM 精度向上の鍵: Tenable One の継続的コントロール検証が変革するエクスポージャー管理