解説: CISA の BOD 26-04 と KEV の「フォレンジックトリアージ」— 追加直後の対応で何が変わったか

米国の連邦機関に向けた指令ですが、「修正の前に証拠を集める」という考え方は、民間の組織が自分の対応手順を見直すときにも使えます。

BOD 26-04 とは

CISA の公式ページによると、BOD 26-04（拘束的運用指令 26-04）は 2026 年 6 月 10 日に発出されました。対象は、米国の連邦文民行政部門（FCEB）の機関です。国家安全保障システムなどは対象外で、契約業者も、契約で指示がない限り対象外です。

期限の考え方

• 日数は、暦の日数（土日を含む）で数えます。
• 数え始めは、CISA が KEV に追加した時点か、機関が自分の資産でその脆弱性を見つけて資産管理の仕組み（CDM）を更新した時点の、早いほうです。
• 期限は、次の 4 つで決まります: 資産がインターネットから見えるか（公開性）、KEV に載っているか、攻撃者が手順を自動化できるか、悪用されたときの技術的な影響の大きさ。
• 公式ページの期限の表（表 1）にある具体的な日数は、画像で示されています。この記事には日数を載せていないので、公式ページで確認してください。
• 表 1 で「& forensic triage」が付くものは、3 日以内の修復または緩和と、フォレンジックトリアージ（被害の痕跡を調べる初動調査）が求められます。

初動調査の流れ（実装ガイダンス）

時間は「目標」であり、推奨される進め方です。必須なのは、適切なトリアージを行うことです。

1. 対象を絞る（KEV に追加されてから 2 時間以内）
2. 証拠を保全して集める（2〜24 時間以内）。メモリなど消えやすいデータを先に集め、できるかぎり、集める前に修復しない
3. 重要なパッチを当て、安定させる（2〜24 時間以内）
4. 封じ込めて、制御する（6〜24 時間以内）
5. 痕跡を分析する（24〜48 時間以内）
6. 次の対応を判断する（48〜72 時間以内）。侵害があったかどうかで、その後の対応が分かれます

KEV の項目との関係

KEV のデータには forensicTriage という項目があります。直近の追加では、多くが Yes でした。本サイトの KEV 記事では、この値を「初動調査」の欄として載せています。KEV に、その CVE 固有の手順が書かれている場合は、その手順が基本のガイダンスより優先されます。

民間の組織にとっての意味

BOD は連邦機関への指令で、民間企業の義務ではありません。ただし、「修正の前に証拠を集める」「パッチ適用と封じ込めの順番を決めておく」という考え方は、自分たちのインシデント対応の手順を見直す材料になります。

用語メモ

• KEV: 米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）が「実際に悪用された」と確認した脆弱性の一覧。
• フォレンジックトリアージ: 被害の痕跡があるかを素早く調べ、証拠を集める初動調査。

出典

• CISA Known Exploited Vulnerabilities Catalog（JSON。版 2026.10.29 で再確認）（2026-10-30 確認） — https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• BOD 26-04: Prioritizing Security Updates Based on Risk（2026-10-26 確認） — https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
• BOD 26-04: Implementation Guidance（2026-10-26 確認） — https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk