世界中のセキュリティ担当者が日々参照している脆弱性情報データベース、NIST NVDが深刻な機能不全に陥っていることが、米商務省の監察総監（OIG：Office of Inspector General）が2026年6月1日に公開した報告書（OIG-26-020-I）で明らかになりました。未処理の脆弱性は2024年2月の1万3,000件から、2025年末には2万7,000件超へと倍以上に膨れ上がっています。
本記事では、報告書で指摘された運営上の問題点と、日本企業のセキュリティ業務への影響、そして今後の代替手段について解説します。
NIST NVDとは何か
NVD（National Vulnerability Database）は、米国国立標準技術研究所（NIST）が運営する脆弱性情報データベースです。世界中のソフトウェアやハードウェアに発見された脆弱性に関する情報を集約し、深刻度スコアや影響を受ける製品の情報を付加して公開しています。
CVE（共通脆弱性識別子）が脆弱性に一意の番号を割り振る仕組みであるのに対し、NVDはそのCVEに対して「どのくらい危険なのか」「どの製品が影響を受けるのか」という付加情報を提供する役割を担っています。
セキュリティ担当者は、このNVDの情報を使って「どの脆弱性から優先的に対応すべきか」を判断しています。NVDが正しく機能しなくなると、世界中の組織の脆弱性管理業務に影響が及びます。
監察総監報告書が指摘した3つの問題点
報告書では、NVDの運営に関して大きく3つの問題が指摘されました。それぞれの内容を順に見ていきます。
問題1：未処理脆弱性のバックログ拡大
最も深刻な問題は、未処理の脆弱性が積み上がり続けていることです。バックログの推移は次の通りです。
| 時期 | 未処理脆弱性の件数 |
|---|---|
| 2024年2月 | 約1万3,000件 |
| 2025年12月末 | 2万7,000件超 |
このバックログ拡大の発端は、2024年2月にNISTが脆弱性処理を担当する委託業者への支払いを停止したことにあると報告書は指摘しています。NISTは2024年9月までに状況を改善すると約束していましたが、目標の月6,200件処理には届きませんでした。そもそもNISTは過去にも月5,000件を超える処理を実現したことがなく、達成計画もなかったと報告書は厳しく指摘しています。
問題2：CISAとの重複作業
2つ目の問題は、米サイバーセキュリティ・インフラセキュリティ庁（CISA）との連携不足です。CISAは2024年5月、独自の脆弱性情報補強プログラム「Vulnrichment」を立ち上げました。
しかしNISTはCISAからの協業の打診に応答せず、両機関がバラバラに作業を進めた結果、2024年5月から2025年12月の間に少なくとも2万1,000件の重複作業が発生しました。ある時点では、両機関が同一の委託業者に同じ作業を発注していたケースもあったといいます。
この重複作業によって、2024年5月以降で約20万ドル（約3,000万円）が無駄になったと報告書は試算しています。
問題3：深刻度スコアリングの非効率
3つ目は、NISTが時間をかけて行っている深刻度スコアリング作業の費用対効果が低いという指摘です。報告書では次のような点が問題視されています。
つまり、NISTのスコアリング作業は重複かつ精度も低いということになります。報告書は、この作業を縮小すれば今後2年間で約80万ドル（約1億2,000万円）の節約が可能だと提言しています。
日本企業のセキュリティ業務への影響
NVDの遅延は、日本企業のセキュリティ運用にも直接的な影響を及ぼします。多くの脆弱性管理ツールやSBOMスキャナーは、NVDのデータを参照して脆弱性の深刻度や影響範囲を判定しているためです。
具体的には次のような影響が考えられます。
ENEOSグループのITセキュリティ要領をはじめ、多くの企業のセキュリティガイドラインでは脆弱性対応の優先度判定にCVSSスコアを用いることが定められています。NVDの遅延が長期化すれば、こうしたガイドラインの運用そのものを見直す必要が出てくる可能性があります。
NISTの対応と今後の方向性
NIST代理長官のCraig Burkhardt氏は2026年4月付の書簡で、監察総監の勧告内容に同意し、改善作業に即座に着手すると表明しました。報告書では具体的に次のような対応が求められています。
一方、サイバー脅威同盟（Cyber Threat Alliance）のMichael Daniel CEOは「長期的な運用プログラムの運営はCISAのミッションにより適合する」として、NVDの運営主体をCISAへ移管すべきだと提言しています。
代替となる脆弱性情報源
NVDの機能回復には時間がかかる見込みのため、セキュリティ担当者は代替情報源の活用を検討する必要があります。主な選択肢を整理します。
| 情報源 | 運営主体 | 特徴 |
|---|---|---|
| CISA KEV Catalog | 米CISA | 実際に悪用が確認された脆弱性のみを掲載 |
| CISA Vulnrichment | 米CISA | NVDと同様の補強情報を提供 |
| JVN iPedia | IPA・JPCERT/CC | 日本国内向けに整備された脆弱性データベース |
| EUVD | ENISA（EUサイバーセキュリティ庁） | 欧州主導で2025年に運用開始 |
特に日本企業にとっては、JVN iPediaやJPCERT/CCの脆弱性関連情報が頼りになる存在です。一次情報の取得経路を複数確保し、NVDだけに依存しない運用への切り替えを進めることが望まれます。
業界全体への教訓
今回のOIG報告書は、グローバルな脆弱性管理基盤が一国の政府機関に依存する構造的なリスクをあらためて浮き彫りにしました。2025年4月にはCVEプログラムの運営契約が一時的に停止寸前まで追い込まれた経緯もあり、サイバーセキュリティの中核インフラが財政や運営の不安定さに左右される現実が続いています。
今後は次のような取り組みが業界全体に求められると考えられます。
まとめ
米商務省監察総監の報告書により、NIST NVDが運営の混乱で機能不全に陥っていることが公式に裏付けられました。未処理脆弱性2万7,000件超というバックログは、世界中のセキュリティ担当者の業務に直接影響を及ぼす深刻な状況です。
NISTは改善を約束しましたが、根本的な解決にはCISAとの連携強化や運営体制の見直しが不可欠です。セキュリティ担当者としては、NVDだけに依存しない情報収集体制を整え、JVN iPediaやCISA KEV Catalogなどの一次情報源を組み合わせた運用に移行することが、当面の現実的な対応策となるでしょう。
参考情報源
コメント