--- title: "解説: CISA の BOD 26-04 と KEV の「フォレンジックトリアージ」— 追加直後の対応で何が変わったか" url: https://n-t-p.io/worldsecurity/articles/bod-26-04-kev-forensic-triage lang: ja kind: 解説 category: 解説・入門 author: World Security 編集部 published: 2026年10月30日 updated: 2026年10月30日 --- # 解説: CISA の BOD 26-04 と KEV の「フォレンジックトリアージ」— 追加直後の対応で何が変わったか > **TL;DR:** CISA の拘束的運用指令 BOD 26-04（2026-06-10 発出）は、KEV に載った脆弱性の対応期限を「公開されているか・自動化できるか・影響の大きさ」で決め、一部は 3 日以内の対応と、被害の初動調査を求める。 **要点** - BOD 26-04 は 2026-06-10 に発出。対象は米国の連邦文民行政部門（FCEB）の機関 - 対応期限は、資産の公開性・KEV か・自動化できるか・技術的な影響で決まる。一部は 3 日以内の対応と初動調査が必要 - 民間に義務はないが、「修正前に証拠を集める」順番は手順の見直しに使える 米国の連邦機関に向けた指令ですが、「修正の前に証拠を集める」という考え方は、民間の組織が自分の対応手順を見直すときにも使えます。 ## BOD 26-04 とは CISA の公式ページによると、BOD 26-04（拘束的運用指令 26-04）は 2026 年 6 月 10 日に発出されました。対象は、米国の連邦文民行政部門（FCEB）の機関です。国家安全保障システムなどは対象外で、契約業者も、契約で指示がない限り対象外です。 ## 期限の考え方 - 日数は、暦の日数（土日を含む）で数えます。 - 数え始めは、CISA が KEV に追加した時点か、機関が自分の資産でその脆弱性を見つけて資産管理の仕組み（CDM）を更新した時点の、早いほうです。 - 期限は、次の 4 つで決まります: 資産がインターネットから見えるか（公開性）、KEV に載っているか、攻撃者が手順を自動化できるか、悪用されたときの技術的な影響の大きさ。 - 公式ページの期限の表（表 1）にある具体的な日数は、画像で示されています。この記事には日数を載せていないので、公式ページで確認してください。 - 表 1 で「& forensic triage」が付くものは、3 日以内の修復または緩和と、フォレンジックトリアージ（被害の痕跡を調べる初動調査）が求められます。 ## 初動調査の流れ（実装ガイダンス） 時間は「目標」であり、推奨される進め方です。必須なのは、適切なトリアージを行うことです。 1. 対象を絞る（KEV に追加されてから 2 時間以内） 2. 証拠を保全して集める（2〜24 時間以内）。メモリなど消えやすいデータを先に集め、できるかぎり、集める前に修復しない 3. 重要なパッチを当て、安定させる（2〜24 時間以内） 4. 封じ込めて、制御する（6〜24 時間以内） 5. 痕跡を分析する（24〜48 時間以内） 6. 次の対応を判断する（48〜72 時間以内）。侵害があったかどうかで、その後の対応が分かれます ## KEV の項目との関係 KEV のデータには `forensicTriage` という項目があります。直近の追加では、多くが Yes でした。本サイトの KEV 記事では、この値を「初動調査」の欄として載せています。KEV に、その CVE 固有の手順が書かれている場合は、その手順が基本のガイダンスより優先されます。 ## 民間の組織にとっての意味 BOD は連邦機関への指令で、民間企業の義務ではありません。ただし、「修正の前に証拠を集める」「パッチ適用と封じ込めの順番を決めておく」という考え方は、自分たちのインシデント対応の手順を見直す材料になります。 ## 用語メモ - **KEV**: 米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）が「実際に悪用された」と確認した脆弱性の一覧。 - **フォレンジックトリアージ**: 被害の痕跡があるかを素早く調べ、証拠を集める初動調査。 ## 出典 - CISA Known Exploited Vulnerabilities Catalog（JSON。版 2026.10.29 で再確認）（2026-10-30 確認） — https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json - BOD 26-04: Prioritizing Security Updates Based on Risk（2026-10-26 確認） — https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk - BOD 26-04: Implementation Guidance（2026-10-26 確認） — https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ## 出典 - [CISA Known Exploited Vulnerabilities Catalog（JSON。版 2026.10.29 で再確認）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA - [BOD 26-04: Prioritizing Security Updates Based on Risk](https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk) — CISA - [BOD 26-04: Implementation Guidance](https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/bod-26-04-kev-forensic-triage