CISA「BOD 26-04」発令——重大脆弱性は3日以内にパッチ適用義務、リスクベース管理を義務化
CISA「BOD 26-04」発令——重大脆弱性は3日以内にパッチ適用義務、リスクベース管理を義務化
| 項目 | 内容 |
|---|---|
| ジャンル | セキュリティ |
| 日付 | 2026-06-12 |
| 元記事 | SecurityWeek |
要約
米CISAが拘束力のある運用指令「BOD 26-04」を発令した。米連邦民間機関に対してCISAの既知悪用脆弱性（KEV）カタログに基づくリスク優先パッチ管理を義務付けるもので、リスクレベルに応じた期限が定められた。公開されており自動化可能または全資産制御権を与えうる最重大脆弱性は3日以内、中リスクは14日以内、最低リスクは60日以内の修正が必要だ。機関はKEVカタログの更新を継続的に監視し、外部公開資産のインベントリ整備と脆弱性修正状況の自動報告も求められる。BOD 22-01の後継指令にあたり、フラットなパッチ管理から真のリスクベース管理への転換を促す。CISAは60日以内に詳細なデータ要件を公開予定。実質的にゼロデイ悪用が確認された脆弱性への対応を抜本的に加速させる効果が期待される。