月例パッチではもう遅い？米政府が変えた脆弱性対応の優先順位【世界のDX潮流】

日本の中小企業が直面する現実：人手不足の中の脆弱性対応

米国連邦機関の話は分かりやすい半面、「うちには関係ない」と感じる方もいるかもしれません。しかし国内の脆弱性情報の流通量と、中小企業の現場体制を突き合わせると、優先順位の判断はすでに経営課題であることが見えてきます。この章では、国内データと現場実態を突き合わせて整理します。

JPCERT/CCへの届出は累計6,000件超：情報量に人手が追いつかない

JPCERT/CCが公開している2025年第1四半期の脆弱性関連情報届出レポートによれば、届出の累計は6,041件、JVN公表の累計は2,949件に達しています。四半期ごとにも数十件単位で新規届出が積み上がり、海外CVE、KEVカタログ、各ベンダーのセキュリティアドバイザリが日々流れてきます。

専任のセキュリティ担当者がいる企業でも追い切れない情報量を、兼任担当者が業務の合間で処理するのは現実的とは言えません。まず「全部を追う」を諦め、「自社に関係あるものだけ確実に拾う」へ発想を切り替える必要があります。

一人情シス・兼任担当者が抱える「何から直せばいいか分からない」問題

多くの中小企業では、情報システム担当者が一人、あるいは総務や経理と兼務で、次のようなありとあらゆるシステムのセキュリティを担っています。

ここに脆弱性情報の判定業務を追加で乗せることは、時間的にも精神的にも過負荷です。

こうした担当者の本音は「全部を即日直せというのは無理なので、本当に危険なものから判断できる基準が欲しい」というところにあります。『BOD 26-04』が示した4軸は、この本音への実質的な回答になります。

更新を先送りしても、更新を急いでも、どちらもリスクになる

現場を悩ませる別の壁が、パッチ適用そのもののリスクです。更新によって業務システムが停止する、既存機能が動かなくなる、といったトラブルは実際に起こります。特に古い基幹系や、ベンダーサポートが薄い業務ソフトの上で走っているシステムは、更新を怖がる気持ちにも根拠があるのです。

しかし、直さないままにすれば侵入リスクが積み上がり、直せば業務停止のリスクが生じるジレンマを、現場担当者一人で抱え込むのは筋違いです。ここは経営判断の領域であり、後段で改めて触れます。

出典・参照：

• JPCERT/CC(ソフトウェア等の脆弱性関連情報に関する届出状況について、2025年第1四半期)
• IPA(脆弱性関連情報の届出受付、2025年度更新)
• IPA(2025年度 情報セキュリティ注意喚起)

「全部直す」から「危険な順に直す」へ：自社版の優先順位ルールをどう作るか

『BOD 26-04』の考え方は米連邦機関向けの指令ですが、判断軸そのものは業種や規模を問わず応用できます。この章では、中小企業が自社版の優先順位ルールを組み立てるための手順を、段階を追って示します。特別なツールがなくても、表計算ソフト一枚で始められる範囲です。

ステップ1「資産の棚卸し」：何を守っているかが分からなければ順位は付けられない

最初にやるべきは、自社で使っているシステム関連の資産一覧表を作ることです。

表計算ソフト一枚で構いませんので、すべての要素を書き出しましょう。優先順位を付ける以前に、「何が自社にあるか」が分からなければ、KEVカタログと照合すらできません。

なお、この棚卸しは一度作って終わりではなく、四半期に一度は見直すことをお勧めします。SaaSは知らない間に増えますし、退職者のアカウントが残っているケースも見つかります。EOL(サポート終了)予定日も同じ表に書いておくと、リプレース計画にも直結するので便利です。

ステップ2「外部公開資産の識別」：VPN機器、公開サーバ、SaaS認証基盤

次に、一覧の中でインターネットから到達可能なものに印を付けます。

などが該当します。ここに載る資産は、SSVCの判断軸1で優先度が跳ね上がる対象です。

意外と見落とされがちなのが、テスト用に開けたポートが本番のまま残っているケースや、社外パートナー連携のために期間限定で作った公開点が閉じられていないケースです。棚卸しの際は、実際の通信ログや外部からのポートスキャン結果と突き合わせると精度が上がります。

ステップ3「KEV照合と自動化リスクの評価」：月例を待たない判断をする

外部公開資産に紐づく製品名・バージョン情報が揃ったら、CISAのKEVカタログ、およびIPAのJVN注意喚起と定期的に照合します。掲載されている脆弱性が自社の資産と一致した瞬間、それは「月例パッチを待たずに対応すべき」対象です。

同時に、その脆弱性の攻撃コードが公開ツールに組み込まれていないか(自動化されていないか)も可能な範囲で確認します。ベンダーのセキュリティアドバイザリや、JPCERT/CC・IPAの注意喚起には、この観点の記述が含まれていることが多く、判断材料になります。

ステップ4「事業影響の評価」：止まると困る順に並べる

最後に、資産ごとに「止まったら事業がどれだけ困るか」を評価します。売上直結の受注システム、顧客情報を扱う基幹系、生産ラインを制御する機器、これらが止まった際の1時間・1日・1週間の影響を、経営層と一緒に整理します。

技術的な深刻度と、事業影響の両方が高い資産こそ、最優先で守る対象です。逆に、技術的深刻度は高くても事業影響が限定的なら、対応順序は下げられます。この「事業影響」の観点は、CISAの4軸の外側にある、中小企業経営者ならではの視点です。

現場だけに背負わせない：経営判断としての脆弱性対応

『BOD 26-04』の実装ガイダンスで強調されているのは、期限が短いパッチほど「業務停止を伴う判断」を求められる点です。3日以内の対応を現場担当者だけに丸投げすると、運用は続きません。この章では、経営側が持つべき役割を整理します。

誰が業務停止を承認するのか

緊急パッチの適用には、業務システムの一時停止や再起動が伴います。営業時間中に止めるべきか、夜間まで待つべきか、これは技術判断ではなく事業判断です。経営者または事業責任者が、事前に「どのレベルの脆弱性が確認されたら、営業時間中の停止を承認するか」というルールを決めておく必要があります。

このルールがないと、現場担当者は「勝手に止めたら怒られる」と考えて先送りします。そして先送りしている間に侵入されれば、結果的に事業停止時間は長期化してしまうのです。

誰が取引先・顧客への説明責任を負うのか

侵害が疑われた場合、あるいは緊急パッチ適用でサービス停止が発生した場合、取引先や顧客への説明が発生します。

これらは平時に決めておくべき事項です。

インシデント対応の窓口が決まっていない中小企業は多い印象ですが、これは経営が担うべき整理事項です。現場担当者を守るためにも、平時の役割分担が要となります。

検証環境と暫定回避策の準備は経営投資である

緊急パッチを本番へ即適用する前に、検証環境で最低限の動作確認を行う体制があれば、事故のリスクは下げられます。また、パッチ提供までの間に取れる暫定回避策(該当ポートを閉じる、アクセス元IPを絞る、機能を一時無効化するなど)も整理しておきたい対象です。

これらは費用が発生する領域ですが、事業停止や顧客流出のコストと比べれば、経営としての投資に値します。予算計画に組み込むこと自体が、脆弱性対応を経営マターに引き上げる第一歩です。

EUの動向は脆弱性対応が製品供給や取引継続の条件になりつつある

視野を広げると、欧州委員会は2026年7月に『サイバーセキュリティとAIに関する行動計画』を提示し、AIによる攻撃速度の上昇と、動的な検知・対応の必要性を打ち出しました。さらに『EU Cyber Resilience Act(EUサイバーレジリエンス法)』では、ネットワーク機器などが「Class II」と呼ばれる高リスク製品カテゴリに分類され、脆弱性対応や報告が製品供給の前提条件になっていく方向です。

FortiGateなどの製品がClass II要件に該当するとの分析も出ており、これは製造業や輸出業を営む日本の中小企業にとって「取引先からの要求が変わる」ことを意味します。脆弱性対応は、社内の技術問題から取引の継続条件へと位置付けが変わりつつあります。

出典・参照：

• 欧州委員会(New EU plan to address risks and opportunities of advanced AI in cybersecurity、2026年7月)
• Cyber Resilience Act(FortiGateがCRA Class IIに該当との分析、2026年)

今日から始める中小企業のための現実的な行動計画

制度や指令の理解だけでは現場は動きません。前章で整理した「資産棚卸し」「外部公開資産の識別」「KEV照合」は、実際には今週のうちに着手できる作業です。この章では、それらを土台に、経営側が今日から動かせる最後の1ステップに絞って提示します。

今週中に資産一覧とKEV照合に着手する

前述した「優先順位ルールを組み立てるための手順」のステップ1〜3（資産の棚卸し、外部公開資産の識別、KEV照合）は、特別なツールがなくても紙一枚・表計算ソフト一枚で始められます。ただし、担当者を一人に固定すると休暇時に穴が空くため、副担当を必ず立ててください。ここまでで作業時間はおおむね1日程度です。

例外ルールを経営承認で決めておく

月例メンテナンスは続けて構いません。ただし、次の条件を満たす脆弱性が確認された場合は、定例日を待たずに緊急対応するという例外ルールを、経営承認で決めておきます。

この例外ルールを紙一枚で明文化しておくと、緊急時に現場担当者が「今すぐ止めていいのか」で迷わずに済みます。経営承認の紙があるという事実そのものが、現場を守ります。

出典・参照：

• CISA(Known Exploited Vulnerabilities Catalog、最新版)
• IPA(2025年度 情報セキュリティ注意喚起)

まとめ：月例パッチは続けつつ「危険な順に直す例外ルール」を組み込む

米CISAが2026年6月に出した『BOD 26-04』は、日本の中小企業に法的義務を課すものではありません。しかし、その底にある考え方は貴社の実務にも直接応用できるものです。改めて要点を整理します。

『BOD 26-04』が示した本質は、脆弱性対応を「早さ」で競う発想から、「どこが本当に危険か」を見極める発想へ切り替えたことにあります。すべてを一律に急いで直そうとする運用は、限られた人手で回している中小企業にとって、むしろ本当に危険な脆弱性を見落とす副作用を生み出しかねません。

月例パッチ運用そのものは、今後も現実的な選択肢であり続けるはずです。しかし、その運用に「危険な兆候が重なった脆弱性だけは、定例日を待たずに動く」という一線を持たせられるかどうかは、技術部門だけでは決められません。経営が判断軸を持つかどうかにかかっています。米国政府が行った転換は、規模の大小を問わず、脆弱性対応をどう位置付け直すべきかという問いを、日本の中小企業にも投げかけていると言えるでしょう。