米国商務省がNISTのNVD管理に関する監査報告書を公表(2026年6月6日公開)

2026年5月26日、米国商務省傘下の監察総監室（OIG）は、米国立標準技術研究所（NIST）による国家脆弱性データベース管理の評価報告書を公表した。

今回OIGが実施した監査は、NISTが国家脆弱性データベース（NVD）に報告されたサイバーセキュリティの脆弱性を管理するプロセスの、有効性と持続可能性を評価することを目的としている。これには、未処理となっている脆弱性のバックログを削減するためのNISTの戦略が持つ長期的な有効性や、将来的な処理遅延を防ぐための対策の評価も含まれている。

本報告書の構成は、以下の通りである。

はじめに  目的 監査結果と勧告 NISTの戦略的計画と断固たる行動の欠如により、未処理の脆弱性のバックログが増え続けている バックログ解消に向けたNISTの目標は非現実的であった NISTは深刻な脆弱性の処理を効果的に優先順位付けしていなかった NISTは代替となるエンリッチメント（情報の拡充）ソースの活用に時間を要した 勧告  NISTは持続可能性を確保するためにエンリッチメント・プロセスの効率性を向上させる必要がある NISTによる深刻度スコアの算出はもはや不要である可能性がある 該当製品・環境の特定の割り当ては手作業であり、時間を要している 勧告  NISTとCISAは大幅に重複する2つの脆弱性エンリッチメント・プログラムを運用しており、業務の重複と資金の浪費を招いている 勧告  NISTの不十分なコミュニケーションは、ステークホルダーを失望させ、NVDに対する信頼を低下させている 勧告 結論 NISTの回答概要およびOIG（監察総監室）の見解  NISTの回答に対するOIGの見解 附表 1. 監査の範囲と手法 附表 2. NVDバックログの形成経緯 附表 3. 潜在的な金銭的影響 附表 4. NISTの回答（全文） 附表 5. NISTの技術的コメント

NVDは、官民のサイバーセキュリティ専門家に極めて重要なデータを提供している。「エンリッチメント（情報の拡充）」と呼ばれるプロセスを通じて、NVDのアナリストは脆弱性記録を実用的な情報で更新する。セキュリティ専門家は、ソフトウェアやシステムにおける脆弱性の優先順位付けや修正を行う際、この情報を活用している。

サイバー脅威から防御するためには、NVDによるタイムリーなエンリッチメントが不可欠であるが、2024年2月以降、未処理の脆弱性のバックログが発生し、現在も増え続けている。この状況は、NVDの有用性と公的な信頼を損なうものとなっているという。

OIGの監査結果によると、NISTはNVDを米国のサイバーセキュリティ・インフラにおける要と位置づけているが、増大するバックログ（未処理案件）を解消するためのNISTの実際の行動は、その位置づけとは矛盾していると指摘している。具体的には、以下の点が判明した。

・戦略的計画と断固たる行動の欠如：NISTの戦略的計画の欠如と決断力に欠ける対応により、未処理の脆弱性のバックログは増え続けている。 ・効率性の向上の必要性：NISTは、持続可能性を確保するためにエンリッチメント（情報の拡充）プロセスの効率を向上させる必要がある。効率化により、NISTは今後2年間で約80万米ドルをより有効に活用できるとOIGは試算している。 ・重複によるリソースの浪費：NISTとサイバーセキュリティ・インフラセキュリティ庁（CISA）は、大幅に重複する2つの脆弱性エンリッチメント・プログラムを運用している。これにより業務の重複が生じており、2024年5月以降、約20万米ドルが浪費されている。 ・不十分なコミュニケーション：NISTの不十分な情報発信は、ステークホルダーを失望させ、NVDに対する信頼を低下させている。

このような監査結果を踏まえてOIGは、NISTがNVDの管理と優先順位付けを行い、エンリッチメント・プロセスの効率性と持続可能性を向上させ、政府リソースを最適に活用できるよう、標準技術担当商務次官が情報技術研究所（ITL）所長に対し、以下の通り6つの指示を行うよう勧告した。

1. 脆弱性管理のエコシステム全体におけるNVDの役割を反映し、優先順位を確立し、処理能力の長期的な持続可能性を確保する、NVDの戦略的計画を策定すること。
2. (1) 制約条件と処理能力の分析、(2) バックログ（未処理案件）解消の目標期日、(3) その目標を達成するためのマイルストーン（中間目標）、(4) 深刻な脆弱性を優先的に処理するプロセス、を含むバックログ管理計画を確立すること。
3. 深刻度スコア（Severity Scores）の算出に要するNISTの労力を最小限に抑えるための戦略を方針（ポリシー）として定義すること。この勧告を実施することで、約80万米ドルをより有効に活用することができる。
4. 外部の専門家や組織が、共通プラットフォーム識別子（CPE）の該当製品・環境の特定のエンリッチメント（情報の拡充）に貢献できる、効率的な手法をNVDに確保すること。
5. 重複するエンリッチメント活動を回避し、政府リソースを最適に活用するために、直ちにサイバーセキュリティ・インフラセキュリティ庁（CISA）との連携を開始すること。この勧告を実施することで、すでに20万米ドルの浪費を招いている業務の重複を防ぐことができる。
6. ステークホルダー（利害関係者）への継続的な情報提供を行い、NVDに対する信頼を醸成するためのコミュニケーション戦略を策定すること。

NISTはこれらOIGの勧告に同意し、その実施に向けて取り組んでいるとしている。

(参考文献) ・U.S. Department of Commerce Office of Inspector General, “Evaluation of NIST ’s Management of the National Vulnerability Database”, May 26, 2026 https://www.oig.doc.gov/reports/?entry=70787

笹原英司 https://www.linkedin.com/in/esasahara/ 旧労働省（現厚生労働省）労働基準監督官を経て、デジタルマーケティング全般（B2B／B2C）および健康医療／介護福祉／ライフサイエンス業界のガバナンス／リスク管理関連調査研究／コンサルティングに従事する 現在は、クラウドセキュリティアライアンス、在日米国商工会議所、在日デンマーク商工会議所などで、スタートアップ企業支援活動を行っている。 千葉大学大学院医学薬学府博士課程修了（博士・医薬学）

Eiji Sasahara, Ph.D., MBA After serving as a Labor Standards Inspector at the former Ministry of Labour (now the Ministry of Health, Labour and Welfare), engaged in various areas, including digital marketing (B2B/B2C) and research, studies, and consulting related to governance and risk management within the healthcare, nursing, welfare, and life sciences industries. Currently, get involved in supporting startup companies through organizations such as the Cloud Security Alliance, the American Chamber of Commerce in Japan, and the Danish Chamber of Commerce in Japan. Hold a Ph.D. in Medical and Pharmaceutical Sciences from the Graduate School of Medical and Pharmaceutical Sciences, Chiba University.