--- title: "脆弱性の情報を、どう集めて優先順位をつけるか。JVN・KEV・CVSSの使い方｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/vulnerability-information-sources/ description: "脆弱性の情報は、使っている製品の提供元の発表、JVN、IPAの注意喚起、米国CISAのKEVカタログなどから集めます。CVSSの値に、すでに悪用されているか、外から届くか、重要な情報を扱うかを加えて、対応の順番を決める考え方を説明します。" updated: 2026-11-07 publisher: "アメリア・テクノロジー株式会社" --- # 脆弱性の情報を、どう集めて優先順位をつけるか。JVN・KEV・CVSSの使い方 脆弱性の情報は、使っている製品の提供元の発表、JVN、IPAの注意喚起、米国CISAのKEVカタログなどから集めます。CVSSの値に、すでに悪用されているか、外から届くか、重要な情報を扱うかを加えて、対応の順番を決める考え方を説明します。 2026.11.07 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） ## この記事の要点 - 脆弱性の情報を集める前に、自社で使っている製品と版の一覧をつくり、どの情報が自社に関係するかを見分けられるようにします。 - 情報の集め先は、製品の提供元の発表を基本に、JVN・IPAの注意喚起・米国CISAのKEVカタログを組み合わせます。 - 対応の順番は、CVSSの値だけでなく、すでに悪用されているか、インターネットから届くか、重要な情報を扱うかを加えて決めます。 脆弱性の情報は、毎日のように公表されています。すべてに同じ速さで対応するのは難しいため、まず自社に関係する情報を見分け、次に対応の順番を決める、という2つの段階で考えると、限られた人手でも重要なものから手を打てます。 ## まず、何を使っているかを把握する 脆弱性の情報を集める前に、自社で使っている製品と版の一覧をつくります。一覧がないと、公表された情報が自社に関係するかどうかを判断できません。 - インターネットに面したもの：Webサイト、サーバー、VPN機器やファイアウォールなどの機器、クラウドのサービス - その上で動いているもの：OS、Webサーバー、データベース、[PHP](https://www.ameliatechnology.co.jp/glossary/php/) などの言語の実行の環境、CMSとプラグイン、ライブラリ - 社内のもの：パソコンのOS、よく使うソフトウェア、業務のシステム 一覧には、製品の名前、いまの版、担当、提供元のサポートの期限を書きます。サポートの終わった製品には、脆弱性が見つかっても修正が出ないため、入れ替えの計画の対象にします。 ## 情報の集め先 ### 製品の提供元の発表 基本になるのは、使っている製品の提供元が出すセキュリティの発表です。修正版の公開、影響を受ける版、一時的な回避策が書かれています。メールの配信や、発表のページの更新の通知を受け取れるようにしておきます。PHPであれば、php.net のニュースで修正版の公開が案内されます。 ### JVN と JVN iPedia JVN（Japan Vulnerability Notes）は、JPCERT/CC と IPA が共同で運営している、日本で使われているソフトウェアなどの脆弱性の情報と対策を提供するサイトです。日本語で読めるため、国内の製品の情報を確かめるときに役立ちます。脆弱性の情報を集めたデータベースとして、JVN iPedia もあります。 出典：[JVN](https://jvn.jp/)／[JVN iPedia](https://jvndb.jvn.jp/index.html) ### IPA の注意喚起 IPA は、影響が大きく、早めの対応が必要な脆弱性について「重要なセキュリティ情報」として注意喚起を出しています。対象になる製品を使っている場合は、優先して確かめます。 出典：[重要なセキュリティ情報（IPA）](https://www.ipa.go.jp/security/security-alert/index.html) ### 米国CISAの KEV カタログ 米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、実際に悪用されたことが確認された脆弱性の一覧として、[KEV](https://www.ameliatechnology.co.jp/glossary/kev/)（Known Exploited Vulnerabilities）カタログを公開しています。CISAは、このカタログを脆弱性の対応の優先順位づけに使うよう案内しています。日本の製品に限らないため、海外製の機器やソフトウェアを使っている場合に役立ちます。 出典：[Known Exploited Vulnerabilities Catalog（CISA）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) 脆弱性には、[CVE](https://www.ameliatechnology.co.jp/glossary/cve/)という共通の番号（例：CVE-2026-109618）が付けられていることが多く、同じ脆弱性の情報を、提供元の発表・JVN・KEVの間で照らし合わせるときの手がかりになります。 ## 優先順位のつけ方 脆弱性の深刻さを表す指標として、[CVSS](https://www.ameliatechnology.co.jp/glossary/cvss/)がよく使われます。CVSSの基本の値は、脆弱性そのものの深刻さを0.0から10.0で表したもので、自社にとっての危険の大きさとは限りません。対応の順番は、CVSSの値に、悪用の有無、インターネットから届くか、扱う情報の重要さ、修正版や回避策の有無の4点を加えて決めます。KEV カタログや提供元・IPA の発表で悪用が確認されているもの、外に公開しているサイトや機器のもの、個人情報や取引先の情報・業務を止められないシステムに関わるものは急ぎます。修正版が出ていれば当てる日を決め、すぐに当てられなければ回避策で危険を下げます。 CVSSの値に加えて確かめること - **すでに悪用されているか**：KEV カタログや提供元・IPA の発表で、**悪用が確認されている**ものは急ぐ - **インターネットから届くか**：外に公開しているサイトや機器の脆弱性は、社内だけで使うものより急ぐ - **重要な情報を扱うか**：個人情報や取引先の情報、業務を止められないシステムに関わるものは急ぐ - **修正版や回避策があるか**：修正版が出ていれば当てる日を決め、すぐに当てられなければ回避策で危険を下げる 同じCVSSの値でも、インターネットに公開しているサイトの脆弱性と、社内の限られた人しか使わないシステムの脆弱性では、急ぐ度合いが違います。反対に、CVSSの値が中程度でも、すでに悪用されていて、インターネットから届く機器であれば、早めに対応します。 ## 修正をすぐに当てられないとき 修正版を当てるには、動作の確かめや、サービスを止める時間の調整が要ることがあります。すぐに当てられない場合は、提供元が案内する回避策（機能を止める、設定を変える、外からの接続を制限するなど）で、当てるまでの間の危険を下げます。回避策は一時的なものと考え、修正版を当てる日を決めておきます。 修正を当てる手順や、誰が当てるかの決め方は、[脆弱性診断の後、直すところまで](https://www.ameliatechnology.co.jp/blog/after-assessment-remediation/)で説明しています。 ## 対応を記録に残す どの脆弱性の情報を確かめ、自社に関係するかをどう判断し、いつ、何をしたかを記録に残します。記録があれば、対応の漏れに気づきやすくなり、取引先や監査で対策の状況を説明するときの拠りどころにもなります。こうした一連の取り組みは[脆弱性管理](https://www.ameliatechnology.co.jp/glossary/vulnerability-management/)と呼ばれます。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、使っている製品と版の棚卸し、脆弱性の情報の確かめ方と優先順位の決め方づくり、修正の適用までをご支援しています。Webサイトの PHP の版とサポートの状況は、無料の[PHPバージョン診断](https://www.ameliatechnology.co.jp/diagnosis/php/)で確かめられます。 - 脆弱性 - JVN - KEV - CVSS - 脆弱性管理 - パッチ ## この記事に出てくる用語 - [脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/) - [インターネット](https://www.ameliatechnology.co.jp/glossary/internet/) - [Webサイト](https://www.ameliatechnology.co.jp/glossary/website/) - [サーバー](https://www.ameliatechnology.co.jp/glossary/server/) - [VPN](https://www.ameliatechnology.co.jp/glossary/vpn/) - [ファイアウォール](https://www.ameliatechnology.co.jp/glossary/firewall/) - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) - [Webサーバー](https://www.ameliatechnology.co.jp/glossary/web-server/) ## 関連する法令・指針（参考情報） - 指針 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」（第4.0版（2026年3月）） 中小企業の経営者と実務の担当者が、情報セキュリティ対策を進めるための手順と考え方をまとめたガイドラインです。付録に、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などがあります。 [発行元の公式ページで開く](https://www.ipa.go.jp/security/guide/sme/about.html) - 指針 経済産業省・独立行政法人情報処理推進機構（IPA）「サイバーセキュリティ経営ガイドライン」（Ver 3.0（2023年3月）） 大企業と中小企業（小規模事業者を除く）の経営者を対象に、経営者が認識する必要がある3原則と、担当の幹部（CISO など）に指示すべき重要10項目をまとめたガイドラインです。 [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [VPN機器の脆弱性とランサムウェア。入り口になりやすい機器の守り方](https://www.ameliatechnology.co.jp/blog/vpn-device-vulnerability/) - [PHPの脆弱性とは。サポートの終わった版を使い続けると何が起きるのか](https://www.ameliatechnology.co.jp/blog/php-vulnerability-support/) - [PHPのバージョンアップの進め方。サイトを止めずに版を上げる手順](https://www.ameliatechnology.co.jp/blog/php-version-upgrade-steps/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 業務で使うWebシステムをつくる 社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。 [Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「脆弱性の情報を、どう集めて優先順位をつけるか。JVN・KEV・CVSSの使い方｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/vulnerability-information-sources/