CISA BOD 26-04がリスクベースのサイバーセキュリティパッチ適用を義務化
2026年6月10日、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、連邦政府システム全体におけるリスクベースの脆弱性修復に関する現代的なフレームワークを確立するため、CISA BOD 26-04を発令しました。本指令は、従来の画一的なパッチ適用スケジュールから脱却し、最も運用的脅威が高い脆弱性にリソースを集中させるよう各機関に求めています。サードパーティ環境やクラウド環境で事業を展開する企業にとって、受託業者やクラウドサービスプロバイダーに対し、インフラの監視方針を連邦政府のリスク指標に適合させることを義務付けるものであり、コンプライアンス管理に大きな変化をもたらします。
脆弱性のリスクを決定する4つの変数
指令の下では、ソフトウェア欠陥修復の緊急度は4つの明確な運用基準を用いて算出されます。これらの変数は、資産の露出度（asset exposure）、悪用実績のある脆弱性（KEV）カタログでのステータス、悪用の自動化可能性（exploit automation）、および技術的影響（technical impact）で構成されています。資産の露出度は、機関が所有するハードウェアやソフトウェアがパブリックネットワーク経由で未認証のエンティティからアクセス可能であるかどうかを評価します。悪用の自動化可能性は、攻撃者が脆弱性を悪用するために必要な全手順を自動化できるかを確認します。技術的影響は、制限されたソフトウェアアクセスやDOS攻撃などの部分的制御と、攻撃者がソフトウェアの挙動を完全に制御したりログイン資格情報を確実に取得したりできる完全な制御とを区別します。
連邦機関およびクラウドプロバイダーに対するBOD 26-04の要件
BOD 26-04の要件では、連邦文民執行機関（FCEB）に対し、脆弱性管理ポリシーを直ちに見直して更新することを義務付けています。米国法典第44編第3554条(a)(1)(B)(ii)に基づき、各機関は継続的な修復プロセスを確立し、実行のための明確な役割を割り当てなければなりません。サードパーティ環境にある連邦情報システムの場合、FedRAMP認証を取得した製品を提供する機関は、FedRAMPプログラム管理オフィスを通じて継続的なモニタリングを確保する必要があります。未認証のクラウドサービスプロバイダーを利用する場合、各機関はベンダーと直接連携し、基盤インフラがすべての指令ガイドラインを満たしていること、および技術的な逸脱が完全に文書化されていることを確認しなければなりません。
BOD 26-04 対 BOD 22-01 および過去の指令
BOD 26-04とBOD 22-01の比較において、新しい指令は2021年11月3日付けのBOD 22-01と2019年4月29日付けのBOD 19-02の両方を正式に撤回しました。CISAはこれらの個別のガイドラインを統合し、OMB Circular A-130および2014年連邦情報セキュリティ近代化法（FISMA）に準拠した単一のポリシーとしました。以前の基準ではインターネットからアクセス可能なすべてのシステムに対して一律の修復スケジュールが強制されていましたが、新フレームワークでは低リスクな欠陥への対応を後回しにし、高リスクな脆弱性にリソースを集中させます。また、高度な人工知能のイノベーションとセキュリティの推進に関する大統領令に基づき設定された国家的優先事項も推進します。
CISA BOD 26-04のコンプライアンスタイムラインと適用・執行
コンプライアンスタイムラインは、義務的なポリシー改定のために2026年6月10日に即時有効となり、重大な脅威が発生した場合には緊急のパッチ適用ウィンドウが設定されます。2026年10月26日（月）、CISAは2つの重要なPHP2Shellの脆弱性（CVE-2026-109618およびCVE-2026-109619）をKEVカタログに追加することで、この執行メカニズムを実証しました。セキュリティ研究者がベンダーによるパッチリリース前の4日間に広範な悪用試行を観察したことを受け、CISAは未パッチのシステムを2026年10月29日（木）までに保護するよう求める「CISA 3日以内のパッチ適用命令」を発令しました。
実施のためのリソースと技術的指導
CISAは、機関のセキュリティ担当者が運用ワークフローを更新できるように、メインの指令と並行してCISA BOD 26-04実施ガイドを公開しました。脆弱性スコアリングを簡素化するため、CISAはVulnrichmentプログラムなどのサービスを通じて、すべての共通脆弱性識別子に対してKEVステータス、悪用の自動化可能性、技術的影響の評価を提供しています。連邦機関は、パブリックネットワークインターフェース全体の資産露出度を評価する際、CISAのインターネット露出削減ガイドを適用するよう指示されています。
クラウドベンダーや連邦政府受託業者にとっての変更点
商用クラウドサービスプロバイダーや連邦政府向けIT事業者にとって、この指令は脆弱性修復の契約化および監視の方法を変更します。調達契約により義務付けられていない限り、本指令は民間の受託業者に直接適用されるわけではありませんが、連邦機関は契約担当官（CO）と協力してすべてのアクティブな契約を見直し、必要な修正を行うことが求められます。連邦機関にクラウドインフラを提供するベンダーは、明確なインベントリログを維持し、共同の継続的モニタリングをサポートし、高リスクな欠陥が特定された場合には緊急命令に対応できるようパッチ適用ワークフローを調整する必要があります。
質問と回答
CISAの拘束力のある運用指令（BOD）26-04とは何ですか？
CISA BOD 26-04は、米国法典第44編第3552条(b)(1)に基づき2026年6月10日に発令された強制的な指示であり、連邦文民執行機関（FCEB）に対してリスクベースの脆弱性修復基準を定めたものです。
CISA BOD 26-04における4つのリスク変数とは何ですか？
4つのリスク変数は、資産の露出度、悪用実績のある脆弱性（KEV）カタログでのステータス、悪用の自動化可能性、および技術的影響です。
BOD 26-04はFedRAMPおよび民間組織にどのような影響を与えますか？
FedRAMP認証環境でシステムを運用する機関は、コンプライアンスを維持するためにFedRAMPプログラム管理オフィスと連携する必要があり、民間の受託事業者は調達契約の条件を本指令の要件に合わせるため、機関の契約担当官と直接協力しなければなりません。
MOZGIIの視点
私たちならこう作ります
連邦のコンプライアンスを満たすリスクベースのパッチ適用エンジンを構築するなら、私たちがまず着手するのは3つのコアデータソースでしょう。ソフトウェア資産インベントリ、公開ネットワークの露出スキャン、そしてVulnrichmentのような脆弱性フィードです。これらのフィードを、資産の露出度、攻撃自動化の有無、システムの制御レベルを評価するスコアリングモデルに接続するでしょう。セキュリティアナリストは、攻撃の状況が不確実な場合や政府機関が技術的例外を要求した例外事例を審査するでしょう。自動化されたガードレールはパッチ適用期間を徹底させ、緊急性の高いチケットをインフラチームへ直接送信するでしょう。
サードパーティのクラウドインベントリログが不完全であったり古かったりすると、このシステムは破綻します。未登録のサーバーがインターネットに接続されると、スコアリングモデルは露出度を誤計算し、危険な欠陥を見落とすことになります。私たちが注視する唯一の指標は、CISAカタログへの追加から公開システムでのパッチ適用完了までの平均時間でしょう。
次に、適用されたセキュリティパッチが対象の欠陥を正常に解決したかをテストする自動検証チェックを構築するでしょう。また、ベンダーのクラウド環境が指令のガイドラインから逸脱した際に契約担当官へ通知する契約監視ツールも追加するでしょう。
出典
この記事の事実の出典です。