NVDの更新停滞 #

2024年2月頃、NVD(National Vulnerability Database)の更新が突如停滞しました。
NVDの更新が停滞した背景には、脆弱性報告の急増と対応スタッフの不足が主な原因とされています。
NVDの脆弱性情報は多くの企業やセキュリティ製品にとって重要な情報源であり、更新の停滞は重大な問題を引き起こしています。

NISTはこの問題に対応するため、コンソーシアムを設立し、新しい体制の構築を進めていると発表しましたが、具体的な開始時期は公表されていません。（2024年11月現在）

コンソーシアムが設立されるまでの間、NVDの代替として他の脆弱性データベースの利用や、3章で紹介しているSSVC、EPSS、KEVカタログなどCVSS以外の評価指標の採用を検討する必要があるでしょう。